Certificate Transparency
Certificate Transparency ist ein öffentliches Protokoll, das jedes ausgestellte TLS-Zertifikat in einem manipulationssicheren Logbuch erfasst. So kann jeder prüfen, ob für eine Website ein gefälschtes oder unerlaubtes Zertifikat ausgestellt wurde.
Wenn du eine Website über HTTPS aufrufst, weist sie sich mit einem Zertifikat aus — einer digitalen Bescheinigung, die belegt, dass du wirklich mit dem echten Server sprichst und nicht mit einem Angreifer. Diese Zertifikate werden von Organisationen ausgestellt, die man Zertifizierungsstellen nennt. Davon gibt es weltweit Hunderte. Jede einzelne davon könnte theoretisch ein Zertifikat für jede beliebige Domain ausstellen — auch für eine, die ihr gar nicht gehört. Certificate Transparency ist ein System, das genau das verhindern soll: Es zwingt Zertifizierungsstellen, jedes ausgestellte Zertifikat in ein öffentliches, unveränderliches Logbuch einzutragen. Wer möchte, kann dieses Logbuch einsehen und prüfen, ob für seine Domain unbekannte Zertifikate existieren.
Der Preis gefälschter Zertifikate
Ein gültiges, aber erschlichenes Zertifikat ist eine gefährliche Waffe. Damit kann ein Angreifer eine täuschend echte Kopie einer bekannten Website betreiben — und der Browser des Opfers zeigt trotzdem das grüne Schloss. Solche Angriffe sind in der Vergangenheit tatsächlich vorgekommen: 2011 wurde die niederländische Zertifizierungsstelle DigiNotar kompromittiert und stellte unbemerkt Zertifikate für Google, Mozilla und andere aus. Nutzer konnten den Betrug nicht erkennen, weil es damals kein öffentliches Register gab.
Certificate Transparency macht solche Angriffe deutlich schwerer zu verbergen. Selbst wenn eine Zertifizierungsstelle ein betrügerisches Zertifikat ausstellt, taucht es im Logbuch auf. Website-Betreiber können automatisch überwachen, ob für ihre Domain neue Einträge erscheinen. Das Ziel ist nicht, den Missbrauch unmöglich zu machen — sondern dafür zu sorgen, dass er entdeckt wird.
Aufbau des Logbuchs
Das Herzstück von Certificate Transparency ist eine Datenstruktur namens Merkle Tree — ein Baum, bei dem jeder Eintrag mit allen anderen mathematisch verknüpft ist. Das klingt abstrakt, hat aber eine praktische Konsequenz: Wer nachträglich einen Eintrag löscht oder verändert, zerstört die gesamte Prüfsumme des Baums. Manipulationen sind damit sofort nachweisbar. Es gibt nicht ein einziges globales Logbuch, sondern viele unabhängige, die von verschiedenen Organisationen wie Google oder Cloudflare betrieben werden.
Damit ein Zertifikat von Browsern wie Chrome oder Firefox als gültig anerkannt wird, muss es in mindestens zwei dieser Logbücher eingetragen sein. Als Nachweis erhält die Zertifizierungsstelle einen sogenannten Signed Certificate Timestamp — kurz SCT —, eine Art Eingangsbestätigung des Logbuchs. Diesen SCT liefert die Website beim Verbindungsaufbau mit aus, sodass der Browser ihn prüfen kann, ohne selbst im Logbuch nachzuschlagen.
Google hat die Anforderung, einen SCT mitzuliefern, im Jahr 2018 für Chrome verpflichtend gemacht. Zertifikate ohne diesen Nachweis werden seitdem als nicht vertrauenswürdig eingestuft — egal wie seriös die ausstellende Zertifizierungsstelle ist. Das war ein entscheidender Schritt, weil er den Standard praktisch für das gesamte Web verbindlich machte.
Certificate Transparency im Alltag und in den News
Als normaler Nutzer siehst du Certificate Transparency nicht direkt — es läuft unsichtbar im Hintergrund ab, wenn dein Browser eine HTTPS-Verbindung aufbaut. Sichtbarer wird es für Website-Betreiber und Sicherheitsforscher. Dienste wie crt.sh ermöglichen es, das gesamte öffentliche Logbuch zu durchsuchen. Sicherheitsforscher nutzen das regelmäßig, um neu registrierte Zertifikate für verdächtige Domains zu finden — oft, bevor entsprechende Phishing-Seiten überhaupt aktiv sind.
In den News taucht Certificate Transparency meist dann auf, wenn eine Zertifizierungsstelle in die Kritik gerät. Mozilla und Google führen öffentliche Listen vertrauenswürdiger Stellen und haben in der Vergangenheit Organisationen daraus entfernt, wenn Verstöße im Logbuch sichtbar wurden — zum Beispiel Zertifikate, die ohne Wissen des Domain-Inhabers ausgestellt wurden. Das Logbuch fungiert dabei als Beweismittel.
Ein häufiger Irrtum: Certificate Transparency verschlüsselt nichts und schützt keine Daten direkt. Es ist kein Sicherheitsmechanismus, der Angriffe blockiert, sondern ein Transparenz- und Auditierungssystem. Die Stärke liegt in der Abschreckung — wer weiß, dass jedes Zertifikat öffentlich sichtbar ist, überlegt zweimal, bevor er eines missbraucht.