Was ist SSL?

Stellen Sie sich eine normale Geschäftstransaktion vor. Woran denken Sie dabei? An die Kassenschlange in Ihrem örtlichen Lebensmittelgeschäft? Oder vielleicht an den Getränkekiosk am Ende der Straße?

Höchstwahrscheinlich denken Sie nicht an eine Internetseite. Und doch werden heute mehr Transaktionen digital abgewickelt als je zuvor. Tatsächlich wird der weltweite E-Commerce-Umsatz bis 2027 die Marke von 8 Billionen USD übersteigen. Das ist ein Anstieg von 42 % im Vergleich zu 2023.

Hier liegt das Problem: Bei Online-Transaktionen werden sensible Daten häufig über potenziell unsichere Geräte und Netzwerke übertragen. Daher müssen digitale Interaktionen privat und sicher abgewickelt werden. Glücklicherweise sind digitale Zertifikate und die Secure Sockets Layer (SSL) genau dafür gedacht.

Das wussten Sie nicht? Macht nichts. Wir sind hier, um Sie auf den neuesten Stand zu bringen. Lesen Sie weiter, um mehr über die SSL-Sicherheit, die Bedeutung von Verschlüsselungen und die Auswahl des richtigen digitalen Zertifikats für Ihr Unternehmen zu erfahren.

Was ist Transport Layer Security (TLS)?

Die Transport Layer Security (TSL) ist in jeder Hinsicht der moderne Nachfolger des ursprünglichen SSL-Sicherheitsprotokolls. Viele Leute verwenden jedoch immer noch den Begriff SSL, auch wenn sie eigentlich TLS meinen. Heutzutage kann man sogar eine Kombination der beiden Akronyme sehen: SSL/TLS-Verschlüsselung

Allerdings sind sie nicht einfach gegeneinander austauschbar, denn es gibt einen klaren Unterschied.

Einfach ausgedrückt: Die TLS-Verschlüsselung ist sicherer als ihre Vorgängerin. Im Laufe der Jahre gab es verschiedene Versionen der SSL-Sicherheit, die alle Schwachstellen aufwiesen, die später entdeckt wurden. Aus diesem Grund wird SSL seit 1996 nicht mehr aktualisiert und gilt mittlerweile als veraltet

TLS ist also das Standard-Sicherheitsprotokoll auf dem heutigen Markt, auch wenn es im Allgemeinen immer noch als SSL bezeichnet wird Transport Layer Security 1.3 ist die neueste Version und behebt viele Schwachstellen früherer Versionen. Dies ist damit die sicherste Verbindung, die es gibt. Das National Institute of Standards in Technology (NIST) verlangt von allen regierungseigenen TLS-Servern und -Clients die Unterstützung von TLS 1.2 und empfiehlt den Behörden, die Einführung von TLS 1.3 für 2024 vorzusehen.

Was sind digitale Zertifikate?

Ein digitales Zertifikat ist ein elektronisches Dokument, das die Authentizität eines Geräts, Webservers, Benutzers oder einer anderen Einheit durch Kryptographie und Public Key Infrastructure (PKI) nachweist. Digitale Zertifikate sind wertvolle Hilfsmittel, mit denen Unternehmen sicherstellen können, dass nur vertrauenswürdige Stellen Zugriff auf ihre Netzwerke haben.

Wie wir noch erläutern werden, werden sie auch häufig genutzt, um die Authentizität einer Internetseite gegenüber einem Webbrowser zu bestätigen, so dass sich mit SSL eine verschlüsselte Verbindung herstellen lässt. Diese besondere Art von Zertifikat wird als SSL-Zertifikat oder TLS-Zertifikat bezeichnet. Doch dazu später mehr.

Für Inhaber einer Internetseite sind SSL- und TLS-Zertifikate notwendig, um ihr Unternehmen, ihre Kunden und ihre Mitarbeiter vor den immer dreisteren Angriffen zu schützen, die die moderne Cybersicherheit bedrohen. Unverschlüsselte Internetseiten und Server sind anfällig für Angriffe. Das bedeutet, dass Ihr Schatz an sensiblen Daten in Gefahr sein könnte.

Der Betrieb einer Internetdomain sollte nicht auf die leichte Schulter genommen werden. Es gibt mehrere Gründe für den Einsatz eines SSL- oder TLS-Zertifikats:

• Datensicherheit: Die SSL-Sicherheit stellt sicher, dass sensible Daten nicht von unbefugten Benutzern eingesehen werden können, sondern nur von den vorgesehenen Empfängern. Das ist besonders wichtig für den Schutz von Anmeldedaten, Finanzdaten, personenbezogenen Informationen und anderen hochwertigen Zieldaten.
• Phishing-Resistenz: Digitale Zertifikate verhindern zudem bestimmte Arten von Cyberangriffen, wie z. B. das Phishing. Hacker versuchen häufig, ahnungslose Opfer dazu zu verleiten, ihre sensiblen Daten auf einer gefälschten Internetseite einzugeben, weil sie diese Seite für echt halten. Ein TLS-Zertifikat kann jedoch den Webserver authentifizieren und dem Benutzer mitteilen, ob die Domain richtig zugeordnet ist oder nicht.
• Identitätssicherheit: Die SSL-Sicherheit verschlüsselt Benutzernamen, Kennwörter und Formulare, die zur Übermittlung personenbezogener Daten verwendet werden, und sorgt so für mehr Sicherheit für Ihre Kunden.
• Kundenbindung und Konversion: Interessenten, die Ihre Internetseite besuchen, schließen mit größerer Wahrscheinlichkeit einen Kauf ab, wenn sie wissen, dass der Bezahlvorgang durch eine sichere Verbindung geschützt ist. SSL-Sicherheit kann Ihnen die Peinlichkeit einer Datenschutzverletzung ersparen, denn es ist bekannt, dass eine solche mindestens 83 % der Verbraucher abschreckt.
• Suchmaschinenplatzierungen: Google bestraft Internetseiten ohne SSL-Zertifikate, indem es sie als unsicher einstuft, was sich negativ auf die Platzierung bei der Suchmaschinenoptimierung (SEO) und auf die Sichtbarkeit der Internetseite auswirken kann.
• Compliance: Die steigenden Anforderungen zwingen Unternehmen dazu, die sichere Kommunikation ernst zu nehmen. Die europäische Datenschutzgrundverordnung (DSGVO) sieht beispielsweise strenge Standards für die Verschlüsselung vor. Unternehmen, die gegen die DSGVO-Vorschriften verstoßen, müssen mit Geldbußen in Höhe von 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes des Unternehmens aus dem vorangegangenen Geschäftsjahr rechnen, je nachdem, welcher Betrag höher ist.

Somit ist klar, dass die SSL-Verschlüsselung wichtig ist. Aber wie funktioniert SSL? Das wollen wir uns ganz genau ansehen und Schritt für Schritt erklären.

Generell läuft das Verfahren wie folgt ab:

1. Ein Browser oder Server versucht, eine Verbindung zu einer mit SSL gesicherten Internetseite (d. h. zu einem Webserver) herzustellen. Der Web-Client benachrichtigt den Server, um den Prozess zu starten.
2. Als Antwort sendet die Internetseite eine Kopie ihres SSL-Zertifikats zurück, auch als öffentlicher Schlüssel bekannt.
3. Der Browser/Server prüft, ob er dem SSL-Zertifikat vertraut oder nicht. Dann wird ein privater Schlüssel erstellt und an die Internetseite zurückgeschickt.
4. Der Webserver empfängt und entschlüsselt den privaten Schlüssel. Anschließend wird eine verschlüsselte Verbindung hergestellt und die Inhalte für den Client bereitgestellt.
5. Der Client entschlüsselt dann den Inhalt, und die Sitzung kann sicher beginnen.

Der Vorgang wird häufig als SSL-Handshake bezeichnet. Warum? Im Grunde handelt es sich um eine Vereinbarung zwischen zwei Seiten, die für gegenseitiges Vertrauen sorgt. Oberflächlich betrachtet mag das langwierig erscheinen, aber in Wirklichkeit geschieht es in wenigen Millisekunden. Tatsächlich hat es praktisch keine Auswirkungen auf die Erfahrung des Endbenutzers.

SSL kann nur von Internetseiten hinzugefügt werden, die über ein SSL- oder TLS-Zertifikat verfügen. Diese Zertifikate fungieren als eine Art Ausweis, der den Inhaber der Internetseite authentifiziert und verifiziert. Ein wichtiger Aspekt des TLS-Zertifikats ist der öffentliche Schlüssel der Internetseite. Dies ist ein Verfahren, das die Verschlüsselung ermöglicht.

Die Geräte zeigen den öffentlichen Schlüssel an und verwenden ihn zur Erstellung sicherer Schlüssel für dem Webserver. Gleichzeitig verfügt der Webserver über einen privaten Schlüssel, der stets geheim gehalten wird, da er zur Entschlüsselung der mit dem öffentlichen Schlüssel verschlüsselten Daten verwendet wird.

Das sind ziemlich viele Schlüssel. Daher hier noch einmal die Definitionen:

• SSL-Handshake: Eine Vereinbarung zwischen zwei Parteien, normalerweise einem Browser/Server und einem Webserver, die eine sichere Verbindung herstellt.
• Öffentlicher Schlüssel: Ein kryptografischer Schlüssel, der zur Verschlüsselung von Nachrichten verwendet wird, die für einen bestimmten Empfänger bestimmt sind, und der nur mit Hilfe eines zweiten Werkzeugs, nämlich dem privaten Schlüssel, entschlüsselt werden kann.
• Privater Schlüssel: Dieser auch als geheimer Schlüssel bezeichnete Schlüssel wird zum Ver- und Entschlüsseln von Daten verwendet, wodurch eine sichere Sitzung eingeleitet wird.

Digitale Zertifikate können nach Typ und Validierungsstufe aufgeschlüsselt werden. Sehen wir uns zunächst die drei wichtigsten SSL- und TLS-Zertifikatstypen an:

1. Einzeldomain: Wie der Name schon besagt, gilt ein Einzeldomain-SSL-Zertifikat nur für eine einzelne Internetseite. Es kann nicht zur Authentifizierung einer anderen Domain verwendet werden, auch nicht für Subdomains der Internetseite, für die es ausgestellt wurde.
2. Wildcard: Auch ein Wildcard-Zertifikat gilt nur für eine Domain, kann aber zudem deren Subdomains einschließen. So können Sie sensible Informationen schützen und alles unter der Dachdomain authentifizieren.
3. Multidomain: Im Gegensatz dazu kann ein Multidomain-SSL-Zertifikat mehrere nicht miteinander verbundene Domains auf einer SSL-Zertifizierung aufführen.

Digitale Zertifikate gibt es mit verschiedenen Validierungsstufen, die von einer Zertifizierungsstelle (CA) genutzt werden, um den Besitz einer Domain nachzuweisen. Das Spektrum reicht von einer Minimalvalidierung bis hin zu strengen Hintergrundkontrollen. Schauen wir uns die einzelnen Zertifikate mal genauer an:

Erweiterte Validierung (EV SSL-Zertifikat)

Die meisten Online-Nutzer bevorzugen das EV SSL-Zertifikat, weil es die umfassendste Verifizierungsprüfung ermöglicht, die sowohl die Überprüfung der Domain als auch Gegenprüfungen umfasst, die das Unternehmen mit einem bestimmten physischen Standort in Verbindung bringen.

Bei dieser Art der Verifizierung entstehen belastbare Aufzeichnungen, die den Kunden im Falle eines Betrugs bei der Transaktion auf dieser Website einen Regressanspruch bieten.

Organisationsvalidierung (OV SSL-Zertifikat)

Domains, die ein OV-Zertifikat erhalten, werden einem etwas weniger strengen Verfahren unterzogen. Die Zertifizierungsstelle setzt sich mit der Person oder dem Unternehmen, die oder das das Zertifikat beantragt hat, in Verbindung, führt aber keine vollständige Überprüfung des Hintergrunds durch.

Zusätzlich zu den Domainbesitzern wird das Unternehmen validiert, und die Zertifikatsdetails können in den meisten gängigen Webbrowsern angezeigt werden, so dass die Benutzer feststellen können, ob die Internetseite, auf der sie sich befinden, rechtlich korrekt ist.

Domain-Validierung (DV SSL-Zertifikat)

Eine mit einem DV-Zertifikat gesicherte Internetseite zeigt nur ein Schloss-Symbol in der Adressleiste an, aber keine Details zum Unternehmen an, da diese nicht existieren. Diese Zertifikate bestätigen nur den Besitz der Domain, können anonym erworben werden und binden eine Domain nicht an eine Person, einen Ort oder ein Unternehmen.

Digitale Zertifikate gibt es in allen Formen und Größen, und sie bieten unterschiedliche Schutz- und Sicherheitsstufen an. Es ist wichtig, das richtige SSL/TLS-Zertifikat für Ihre geschäftlichen Anforderungen auszuwählen, da Sie sonst ein erhöhtes Risiko für potenzielle Angriffe und Verstöße gegen die Compliance eingehen.

Überlegen Sie sich zunächst, welches Maß an Validierung für Ihr Unternehmen erforderlich ist. Gibt es in Ihrer Branche strenge Datenschutz- und Verschlüsselungsstandards? Welche Art von Sicherheit wünschen sich Ihre Zielkunden? Welche Arten von personenbezogenen Daten erfassen Sie? Diese Fragen sollten Sie in die richtige Richtung leiten.

Als nächstes müssen Sie den für Ihre Zwecke geeigneten Zertifikatstyp auswählen. Fragen Sie sich: Was ist Ihr Hauptverwendungszweck? Müssen Sie Standard-Webserver-Anfragen oder einen Cluster von Austauschservern abdecken? Benötigen Sie ein Multidomain-Zertifikat?

Sie sind sich immer noch nicht sicher? Probieren Sie unser SSL-Zertifikat-Auswahltool aus, um weitere Hilfestellung zu erhalten.

Erwerb Ihres Zertifikats

Sobald Sie Ihre Auswahl eingegrenzt haben, müssen Sie eine Zertifikatsanforderung (Certificate Signing Request, CSR) an eine autorisierte Zertifizierungsstelle (CA) wie Entrust übermitteln.

Außerdem ist für jede in einem Zertifikat enthaltene Domain die Genehmigung des Domaininhabers erforderlich. Eine CA kann keine Zertifikatsanfragen bearbeiten, wenn der Domainname nicht auf das anfragende Unternehmen, seine Muttergesellschaft oder eine seiner Tochtergesellschaften registriert ist. Sie müssen eine geschäftliche Telefonnummer und die Kontaktinformationen einer Führungskraft angeben. Insgesamt benötigen Sie:

• Gültige Zahlungsinformationen
• Autorisieren von Kontaktdaten
• Technische Kontaktinformationen
• Kontaktdaten für die Rechnungsstellung
• Eine vollständige CSR
• Eine Liste aller Domains

Entrust sorgt für einen flexiblen und bequemen Zugang zu einer großen Auswahl an SSL/TLS-Zertifikaten, die es Ihnen ermöglichen, die beste Wahl für Ihre Organisation zu treffen.

Entrust ist Gründungsmitglied des Certificate Authority (CA) Security Council und des CA/Browser-Forums. Unsere Experten für digitale Sicherheit tragen aktiv zur Entwicklung von Industriestandards für TLS/SSL, Document Signing, Code Signing-Zertifikate und Zertifikatsmanagement bei.

Wir sind nicht nur Marktführer, sondern bieten ein robustes und vertrauenswürdiges Portfolio von digitalen Zertifikaten für eine Vielzahl von Unternehmensanforderungen an. Die preisgekrönten Zertifikatsplattform von Entrust gewährt Ihnen folgende Vorteile:

• Preisgekrönter Support
• Universelle Browser-Kompatibilität
• Unbegrenzte Wiederausstellungen
• Unbegrenzte Serverlizenzierung
• 128-bis-256-Bit-Verschlüsselung
• Alle Entrust-Zertifikate sind mit der weithin akzeptierten internationalen x.509-Public-Key-Infrastruktur (PKI) konform.