Zertifizierungsstelle
Eine Zertifizierungsstelle ist eine Organisation, die digitale Zertifikate ausstellt und damit bestätigt, dass eine Webseite oder ein Dienst tatsächlich zu dem angegebenen Betreiber gehört. Ohne sie wäre verschlüsselte Kommunikation im Internet nicht vertrauenswürdig.
Wenn du eine Webseite aufrufst und ein Schloss-Symbol in der Adressleiste siehst, steckt dahinter eine Kette aus Vertrauen. Dein Browser will sichergehen, dass er wirklich mit der Bank oder dem Shop spricht — und nicht mit jemandem, der sich als diese ausgibt. Dafür braucht er jemanden, dem er blind vertraut und der für andere bürgt. Diese Rolle übernimmt die Zertifizierungsstelle. Sie ist eine Organisation, die digitale Ausweise — sogenannte Zertifikate — ausstellt und damit bestätigt: „Ja, diese Webseite gehört wirklich zu diesem Unternehmen.“ Zertifizierungsstellen gibt es weltweit mehrere hundert, aber nur einige Dutzend gelten als sogenannte Stammzertifizierungsstellen, denen Browser und Betriebssysteme direkt vertrauen.
Fundament der verschlüsselten Kommunikation
Ohne Zertifizierungsstellen hätte Verschlüsselung im Internet ein grundlegendes Problem. Stell dir vor, du erhältst einen Brief mit dem Stempel „Ihre Bank“. Woher weißt du, dass der Stempel echt ist? Im echten Leben gibt es Behörden und gedruckte Ausweise, die das sicherstellen. Im Internet übernehmen Zertifizierungsstellen genau diese Aufgabe.
Ihr Wert liegt darin, dass sie eine unabhängige, vertrauenswürdige dritte Partei sind. Weder der Betreiber einer Webseite noch der Nutzer allein kann sich selbst bestätigen — das wäre so, als würde man seinen eigenen Reisepass ausstellen. Erst durch die neutrale Stelle entsteht echter Vertrauensanker. Gerät eine Zertifizierungsstelle in Verruf, kann das Millionen von Webseiten gleichzeitig betreffen: 2011 wurde die niederländische CA DigiNotar gehackt, woraufhin alle großen Browser ihr Vertrauen entzogen — ein Totalausfall für die gesamte Infrastruktur, die auf ihr aufgebaut hatte.
Wie eine Zertifizierungsstelle ein Zertifikat ausstellt
Der Ablauf beginnt beim Webseitenbetreiber. Er erzeugt ein Schlüsselpaar — einen öffentlichen und einen privaten Schlüssel — und schickt eine Anfrage mit dem öffentlichen Schlüssel und seinen Angaben an die Zertifizierungsstelle. Die Stelle prüft dann, ob der Antragsteller wirklich die Kontrolle über die angegebene Domain hat. Bei einfachen Zertifikaten reicht dafür ein automatischer Test, zum Beispiel das Ablegen einer bestimmten Datei auf der Webseite. Bei Zertifikaten, die auch den Firmennamen im Ausweis nennen sollen, werden zusätzlich Handelsregisterauszüge geprüft.
Ist alles in Ordnung, unterschreibt die Zertifizierungsstelle das Zertifikat mit ihrem eigenen privaten Schlüssel — das nennt sich digitale Signatur. Dein Browser kennt die öffentlichen Schlüssel aller vertrauenswürdigen Stammzertifizierungsstellen und kann diese Unterschrift prüfen. Passt sie, gilt die Verbindung als sicher. Die meisten Zertifikate laufen nach 90 Tagen oder einem Jahr ab und müssen dann erneuert werden, damit veraltete Schlüssel kein Sicherheitsrisiko bleiben.
In der Praxis gibt es oft eine Zwischenstufe: Eine Stammzertifizierungsstelle unterschreibt nicht direkt jedes Webseiten-Zertifikat, sondern zunächst das einer sogenannten Intermediate CA. Diese stellt dann die eigentlichen Zertifikate aus. So bleibt der besonders wertvolle Stammschlüssel offline und gut geschützt.
Zertifizierungsstellen im Alltag und in den News
Jedes Mal, wenn du eine Webseite mit „https“ in der Adresse besuchst, steckt im Hintergrund ein Zertifikat einer CA. Die bekanntesten Anbieter sind Let’s Encrypt — eine gemeinnützige Initiative, die Zertifikate kostenlos ausstellt —, sowie kommerzielle Anbieter wie DigiCert oder Sectigo. Let’s Encrypt hat die Verbreitung von HTTPS massiv beschleunigt: Seit dem Start 2015 wurden über drei Milliarden Zertifikate ausgestellt.
In Tech-News tauchen Zertifizierungsstellen meist dann auf, wenn etwas schiefläuft. Google hat mehrfach damit gedroht, einzelnen CAs das Vertrauen zu entziehen, weil sie Zertifikate nicht sorgfältig genug ausgestellt hatten. 2024 stand Entrust, eine der ältesten CAs, kurz davor, aus Chrome und Firefox entfernt zu werden. Solche Entscheidungen treffen de facto die Browserhersteller und Betriebssystementwickler, die festlegen, welche Stammzertifizierungsstellen in ihrer vorinstallierten Vertrauensliste stehen.
Auch in Unternehmensnetzwerken spielen CAs eine Rolle. Firmen betreiben oft eigene, interne Zertifizierungsstellen, um Verbindungen innerhalb des Firmennetzwerks zu sichern. Wer schon einmal ein Arbeits-Laptop eingerichtet und dabei ein „Unternehmens-Zertifikat“ installiert hat, hat genau das erlebt: Das Gerät lernt, der internen CA zu vertrauen.