Interview: Verschlüsselung, die Vertrauen schafft: Warum SSL/TLS-Zertifikate essenziell sind

Sicher, vertrauenswürdig, unverzichtbar – dafür stehen SSL/TLS-Zertifikate!

Sichere Verbindungen, verschlüsselte Kommunikation und Vertrauen auf den ersten Blick – SSL/TLS-Zertifikate leisten weit mehr als nur das Anzeigen eines Schloss-Symbols in der Adressleiste. Vom Schutz sensibler Daten bis hin zur DSGVO-Compliance: Digitale Zertifikate sind der Schlüssel zu einem sicheren Onlineauftritt. Doch was macht den Unterschied zwischen einem einfachen Domain-Zertifikat und einer Extended Validation? Und welche Risiken drohen, wenn eine Website auf SSL/TLS verzichtet?

Im Interview mit Frau Melior, seit 25 Jahren Mitarbeiterin bei der IBH IT-Service GmbH, erfahren Sie, wie SSL/TLS-Zertifikate helfen, Vertrauen und Kundenbindung zu stärken.

Frau Melior, erklären Sie, warum SSL/TLS-Zertifikate heute für Unternehmen unverzichtbar sind?
Vertrauensbildung und Kundenbindung
Digitale Zertifikate sind für Unternehmen unverzichtbar, da sie Vertrauen schaffen und Datensicherheit gewährleisten. Nutzer achten zunehmend auf Sicherheitsmerkmale wie das Schloss-Symbol in der Adressleiste, das für eine SSL/TLS-Verschlüsselung steht. Eine solche Verschlüsselung signalisiert, dass ein Unternehmen den Schutz sensibler Daten ernst nimmt. Über HTTPS wird eine sichere Verbindung zwischen Website und Besucher hergestellt. Die Zertifikate sollten von einer anerkannten Zertifizierungsstelle (CA) erworben werden. Diese erstellt basierend auf den bereitgestellten Informationen ein Zertifikat und ein Schlüsselpaar, wodurch eine vertrauenswürdige Basis für die verschlüsselte Kommunikation entsteht.

Datensicherheit und Verschlüsselung
In einer Zeit hoher Cyberkriminalität spielt die Verschlüsselung sensibler Daten eine zentrale Rolle. SSL/TLS-Zertifikate schaffen eine sichere Verbindung zwischen Browser und Server (z. B. Webshop oder Fileserver). Durch technische Standards und Prüfprozesse, die vom CA/Browser Forum (CAB Forum) festgelegt werden, bauen die Zertifikate zusätzlich Vertrauen auf. Zudem sorgen HTTPS-Zertifikate für eine verschlüsselte Übertragung sensibler Daten, sodass diese nicht von Dritten abgefangen oder manipuliert werden können.

Authentifizierung und Identitätsnachweis
Auch Identitätsdiebstähle nehmen stetig zu, sodass die Authentifizierung von Nutzern und Systemen für Unternehmen immer wichtiger wird. Hier kommen SSL/TLS-Zertifikate ins Spiel: Je nach Art des Zertifikats (Domain-validiert, Inhaber-validiert oder erweitert validiert) wird die Identität des Website-Betreibers überprüft. Dies bietet Besuchern zusätzliche Sicherheit und Gewissheit über die Echtheit der Website. Das Verschlüsselungszertifikat wird ebenso bei Firmengateways angewendet, sodass sich ein externer und autorisierter Nutzer im gesicherten Modus am Gateway anmelden kann. Eine Erweiterung erfolgt oft durch Zwei-Faktor-Authentifizierung (2FA). Diese Kombination aus Verschlüsselung, Authentifizierung und Identitätsnachweis stärkt nicht nur die IT-Sicherheit, sondern auch die Glaubwürdigkeit von Unternehmen gegenüber Kunden und Partnern.

Compliance und Datenschutz
Letztendlich dienen Sicherheitszertifikate als wichtige Maßnahmen im Bereich Informationssicherheit und Datenschutz. Sie tragen dazu bei, Anforderungen der DSGVO und anderer Datenschutzrichtlinien zu erfüllen, insbesondere, wenn personenbezogene Daten übertragen werden.

Welche Vorteile bieten SSL/TLS-Zertifikate für die Sicherheit einer Website?
SSL/TLS-Zertifikate gewährleisten, dass sowohl Verbindungsdaten als auch der Informationsaustausch zwischen Client und Server nicht manipuliert oder ausgelesen werden können. Der gesamte Nachrichtenaustausch erfolgt verschlüsselt und schützt so vor Datendiebstahl.

Können Sie uns mehr über die Unterschiede zwischen Domain-, Organisations- und Extended-Validation-Zertifikaten erzählen?
Der Unterschied liegt in der Identitätsprüfung des Zertifikatsinhabers:

Domain-validiertes Zertifikat (DV):
Es wird lediglich die administrative Kontrolle über die Domain geprüft – per DNS-Eintrag oder E-Mail-Abfrage. Es erfolgt keine Prüfung der Identität des Zertifikatsinhabers.

Organisations-validiertes Zertifikat (OV):
Zusätzlich zur Domainprüfung wird die Existenz des Unternehmens überprüft, z. B. anhand eines nationalen Registereintrags und eines Telefonanrufs. Unternehmensname und Standort sind im Zertifikat hinterlegt.

Extended-Validation-Zertifikat (EV):
Es erfolgt eine umfassende Identitätsprüfung sowohl des Domainbesitzes als auch des Unternehmens. Ausführliche Identitätsangaben sind im Zertifikat hinterlegt.

Für alle Zertifikatsarten gilt: Im Browser erscheint das Schloss-Symbol. Die hinterlegten Identitätsangaben können abgerufen werden, sofern sie im Zertifikatstyp enthalten sind.

Welche Risiken bestehen, wenn eine Website keine SSL-Verschlüsselung nutzt?
Manipulationsgefahr:
Inhalte der Website können verändert werden.

Vertrauensverlust:
Browser zeigen eine Warnung, dass die Verbindung unsicher ist. Dies schreckt Besucher ab und führt zu Vertrauensverlust.

Rechtsverstöße:
Insbesondere bei der Übertragung personenbezogener Daten besteht ein Verstoß gegen die DSGVO.

Welche Schritte sind notwendig, um ein SSL-Zertifikat auf einer Website zu implementieren?
1. CSR-Generierung auf dem Server oder Gateway.
2. Bestellung eines Zertifikats bei einer CA (Certificate Authority).
3. Validierung der Domain oder des Unternehmens.
4. Ausstellung des Zertifikats durch die CA.
5. Installation des Zertifikats auf dem Server/Endgerät.

Wichtig ist die Wahl eines geeigneten Verschlüsselungsalgorithmus (z. B. RSA oder ECC) und einer ausreichenden Schlüssellänge (mindestens 2.048 Bit, empfohlen 4.096 Bit).

Was ist das von den Kunden am meisten unterschätzte Thema bezüglich Sicherheitszertifikate?
Die fortgeschrittene digitale Signatur sowie die Ende-zu-Ende-Verschlüsselung (End-to-End Encryption; E2EE) werden häufig unterschätzt. Ein weiterer wichtiger Punkt ist der Zeitaufwand, der für das Management von Zertifikaten erforderlich ist.

Wie hebt sich das Konzept für Sicherheitszertifikate der IBH in Bezug auf Auswahl, Pflege und Konfiguration von anderen Anbietern ab?
Unser Konzept ist sehr individuell und projektbezogen.

Können Sie uns Best-Practice-Beispiele nennen, die Ihnen in Erinnerung geblieben sind?
- Bereitstellung von S/MIME-Zertifikaten für den Energiesektor
- Bereitstellung von EV-Zertifikaten für Shopsysteme
- Bereitstellung von Zertifikaten zur Dokumentensignierung für Ingenieurbüros
- Bereitstellung von SSL-Zertifikaten für zahlreiche Endkunden
- Codesigning für Software-Entwickler

Wie groß ist der Zeitfaktor in Unternehmen, um sich mit der Thematik SSL auseinanderzusetzen und letztlich ein funktionierendes Sicherheitszertifikat zu besitzen?
Um SSL- oder S/MIME-Zertifikate in größerer Anzahl zu managen, benötigt ein Unternehmen eine ePKI oder greift auf Cloudservices der CA direkt zu. Die IBH fungiert hier als Schnittstelle zwischen CA und Unternehmen.

Sind Unternehmen die ganze Zeit arbeitsfähig?
Ja, solange die Zertifikate nicht in ihrer Gültigkeit abgelaufen sind. Ein automatisiertes Zertifikatsmanagement oder ein Dienstleister wie die IBH, der über die Zertifikatsgültigkeit wacht, bietet hierbei Vorteile.

Wie ist der zeitliche Ablauf?
1. Mit der IBH als Dienstleister sieht der Ablauf folgendermaßen aus: Bedarf ermitteln, Angebot erstellen und ein zeitnaher Kundenauftrag (~ 1 Woche).
2. Bestellung bei der CA, Prüfung durch die CA entsprechend der Vorschriften des Zertifikatstyps, Ausstellung des Zertifikats durch die CA (~ bis zu 4 Tage).
3. Zertifikatsinstallation durch den Kunden selbst oder durch die IBH.

Welche Arten von Zertifikaten werden bei der IBH angeboten und können Sie jeweils ein paar Worte dazu sagen?
SSL-Zertifikate
- Domain-validiertes Zertifikat (DV): Nur die administrative Kontrolle über die Domain wird überprüft.
- Organisations-validiertes Zertifikat (OV): Zusätzliche Prüfung der Existenz des Unternehmens; Angaben wie Unternehmensname und Standort werden im Zertifikat hinterlegt.
- Extended-Validation-Zertifikat (EV): Umfassende Prüfung von Domainbesitz und Unternehmensidentität; ausführliche Identitätsangaben sind im Zertifikat hinterlegt.
- Laufzeit: 1 Jahr (vom CAB Forum festgelegt).
- Wildcard- und Multidomain-Zertifikate sind verfügbar.

S/MIME-Zertifikate
- Einfaches E-Mail-Zertifikat ohne intensive Prüfung.
- Personen- und Abteilungszertifikat mit Domain- und Unternehmensprüfung.
- Laufzeit: Bis zu 3 Jahre.
- Es sind keine Wildcard-Zertifikate für Maildomainnamen (z. B. @ibh.de) möglich.
- Spezielle E-Mail-Zertifikate für den Energiesektor mit speziellem Verschlüsselungsalgorithmus.
- Laufzeit: 1 Jahr.

Zertifikate zur Dokumentensignierung
- Die Signatur erfolgt tokenbasiert.

CodeSigning-Zertifikate
- Zur Absicherung von ausführbarem Programmcode.
- Die Signatur erfolgt ebenfalls tokenbasiert.