Zwischenzertifikat
Ein Zwischenzertifikat ist ein digitales Dokument in einer Vertrauenskette, das die Echtheit von Webseiten-Zertifikaten bestätigt, ohne dafür die höchste und am stärksten gesicherte Stelle direkt einzusetzen. Es verbindet die allgemein anerkannte Wurzelstelle mit den Zertifikaten, die täglich im Internet ausgestellt werden.
Wenn du eine Webseite aufrufst und ein Schloss-Symbol im Browser siehst, steckt dahinter ein System aus digitalen Ausweisen. Diese Ausweise heißen Zertifikate. Sie belegen, dass du wirklich mit der richtigen Seite verbunden bist und nicht mit einer gefälschten. Dein Browser vertraut einem Zertifikat aber nicht blind — er prüft, wer es ausgestellt hat. Dahinter steckt eine Kette: Ganz oben steht eine sogenannte Wurzelzertifizierungsstelle, eine Organisation, der Browser und Betriebssysteme grundsätzlich vertrauen. Direkt darunter sitzt das Zwischenzertifikat. Es wirkt als Bindeglied zwischen dieser Wurzelstelle und den Zertifikaten, die Webseiten tagtäglich bekommen.
Warum nicht einfach die Wurzelstelle direkt ausstellen lässt
Die Wurzelzertifizierungsstelle ist das wertvollste Glied der ganzen Kette. Ihr geheimer Schlüssel — die Datei, mit der sie neue Zertifikate unterschreibt — ist extrem schutzbedürftig. Viele Betreiber lagern diesen Schlüssel auf Computern, die physisch vom Internet getrennt sind und in gesicherten Räumen stehen.
Würde man mit diesem Schlüssel täglich Tausende Zertifikate ausstellen, wäre das Risiko enorm. Wird der Schlüssel gestohlen oder kompromittiert, müssten alle jemals ausgestellten Zertifikate weltweit gesperrt werden. Das wäre ein Desaster. Deshalb bleibt die Wurzelstelle weitgehend offline und ruhend — sie unterschreibt fast nur Zwischenzertifikate. Diese übernehmen dann das Tagesgeschäft.
Ein weiterer Vorteil: Wenn ein Zwischenzertifikat kompromittiert wird, lässt es sich einzeln sperren. Die Wurzelstelle und alle anderen Zwischenzertifikate bleiben davon unberührt. Der Schaden bleibt begrenzt.
Wie die Vertrauenskette vom Browser geprüft wird
Ruft dein Browser eine Webseite auf, bekommt er deren Zertifikat übermittelt. Dann fragt er: Wer hat dieses Zertifikat unterschrieben? Die Antwort lautet: eine Zwischenzertifizierungsstelle. Der Browser prüft dann, ob er deren Zwischenzertifikat kennt oder es ebenfalls verifizieren kann. Er steigt die Kette hoch, bis er bei einem Wurzelzertifikat ankommt, das in seiner eigenen Liste vertrauenswürdiger Stellen steht. Diesen Vorgang nennt man Kettenvalidierung.
Die meisten Webseiten senden deshalb nicht nur ihr eigenes Zertifikat mit, sondern gleich die ganze Kette — also auch das oder die Zwischenzertifikate. Fehlt ein Glied, bricht die Prüfung ab. Der Browser zeigt dann eine Sicherheitswarnung, obwohl das eigentliche Zertifikat technisch korrekt sein könnte. Dieses Problem tritt in der Praxis überraschend häufig auf, weil Serveradministratoren die Zwischenzertifikate vergessen oder falsch konfigurieren.
Es können auch mehrere Zwischenzertifikate hintereinander stehen, die Kette hat also nicht zwingend nur drei Stufen. Jede Stufe unterschreibt die nächste, bis die Kette beim Wurzelzertifikat endet.
Wo Zwischenzertifikate im Alltag sichtbar werden
Immer dann, wenn ein Browser eine Zertifikatswarnung anzeigt, ist oft ein Problem mit einem Zwischenzertifikat die Ursache. Die Fehlermeldung „Zertifikatskette unvollständig“ oder „Aussteller unbekannt“ deutet fast immer darauf hin. Wer als Schüler oder Entwickler jemals eine eigene Webseite mit HTTPS betrieben hat, kennt das: Das eigene Zertifikat ist korrekt eingebunden, aber der Browser beschwert sich trotzdem — weil das Zwischenzertifikat auf dem Server fehlt.
In Sicherheitsnachrichten taucht der Begriff auf, wenn eine Zertifizierungsstelle gehackt wird. Im Jahr 2011 wurde der Anbieter DigiNotar kompromittiert. Angreifer stellten gefälschte Zwischenzertifikate aus und konnten damit Datenverkehr unbemerkt abfangen. Der Vorfall führte dazu, dass DigiNotar aus allen Vertrauenslisten gestrichen wurde und innerhalb weniger Monate insolvent war. Er zeigt, wie viel Macht in einem einzigen Zwischenzertifikat stecken kann.
Auch Unternehmen setzen Zwischenzertifikate intern ein: Sie betreiben eine eigene kleine Zertifizierungsstelle für ihr Firmennetzwerk, stellen darunter Zwischenzertifikate aus und verteilen dann Zertifikate an interne Server und Dienste. Das funktioniert, weil die firmeneigene Wurzelstelle auf allen Firmengeräten als vertrauenswürdig eingetragen ist.