Zertifikate und PKI — warum der Browser dem Server glaubt
Ein Zertifikat beantwortet eine einzige Frage: Gehört dieser öffentliche Schlüssel wirklich zu diesem Server? Wer die Vertrauenskette versteht, kann jede TLS-Fehlermeldung erklären.
Was ein Zertifikat enthält
Ein X.509-Zertifikat ist strukturierte Public-Key-Infrastruktur (PKI) in Datenform. Die wichtigsten Felder:
| Feld | Bedeutung |
|---|---|
| Subject | Für wen das Zertifikat ausgestellt ist (Domain, Organisation) |
| Public Key | Der öffentliche Schlüssel des Inhabers |
| Issuer (CA) | Wer das Zertifikat signiert hat |
| Gültigkeit | „notBefore"/„notAfter" — Ablaufdatum |
| Serial Number | eindeutige Nummer, für Widerruf nötig |
| Extensions | Nutzungszweck, alternative Namen (SAN), Constraints |
| Signatur | Signatur der CA über alle Felder |
Die Vertrauenskette
Zertifikate werden nicht „einfach so" vertraut, sondern über eine Kette:
- Root-CA: ihr Zertifikat ist im Betriebssystem oder Browser vorinstalliert (das ist der Vertrauensanker).
- Intermediate-CA: von der Root signiert, stellt die eigentlichen Serverzertifikate aus.
- Serverzertifikat: für die Domain, signiert von der Intermediate.
Der Browser prüft also nicht „ist dieses Zertifikat echt?", sondern: Führt die Signaturkette zu einem meiner Wurzelzertifikate, ist die Domain passend und der Zeitraum gültig?
Prüfschritte bei HTTPS
- Kette bis zum vertrauten Root nachvollziehen (Signatur mit öffentlichem Schlüssel der CA prüfen).
- Namensabgleich: Steht die aufgerufene Domain im Zertifikat (CN/SAN)?
- Gültigkeitszeitraum prüfen — abgelaufen führt zur Warnung.
- Widerruf prüfen über OCSP oder CRL.
- Erst danach wird der symmetrische Sitzungsschlüssel ausgetauscht und der Datenstrom verschlüsselt.
Zertifikatstypen
- DV (Domain Validation): nur Domain geprüft — schnell, günstig, üblich.
- OV (Organization Validation): Organisation geprüft.
- EV: erweiterte Prüfung, früher mit grüner Adressleiste.
- Wildcard: gilt für alle Subdomains einer Ebene (
*.beispiel.de). - Let's Encrypt: kostenlose DV-Zertifikate, 90 Tage Laufzeit, deshalb automatisiert erneuern.
Typische Prüfungsfallen
- Zertifikat = Verschlüsselung? Nein — es dient der Authentizität; die Verschlüsselung macht der Session-Key.
- Self-Signed im Browser: Kette endet nicht bei einem vertrauten Root → Warnung. Im internen Netz mit eigener Root-CA lösbar.
- Wildcard deckt nur eine Ebene ab:
*.beispiel.degilt nicht füra.b.beispiel.de. - Ablaufdatum ignorieren: Fehlermeldung „abgelaufen" heißt nicht „gefälscht", aber trotzdem Warnung.
- Widerruf braucht die Seriennummer — deshalb ist sie im Zertifikat unverzichtbar.
Weiter üben
Das Grundlagenwissen steht hier frei — geübt wird in der Lernplattform: über 1.300 Prüfungsfragen mit ausführlicher Erklärung zu jeder Antwort, Fortschritt im eigenen Konto.
Passende Videos
Externer Inhalt, geöffnet in einem neuen Tab. Keine Einbettung — solange du nicht selbst klickst, werden keine Daten an YouTube übertragen.