Integration von SSL-Zertifikaten wird künftig zur Pflicht

Google plant Markierung unverschlüsselter Websites

[datensicherheit.de, 13.04.2016] Online-Händler, deren Webformulare Daten unverschlüsselt übertragen, sollen künftig nicht mehr nur von Datenschutzbehörden angemahnt werden – auch Google plant, bald alle Webseiten ohne SSL-Verschlüsselung mit einem roten X zu markieren, meldet die PSW GROUP.

Das Internet sicherer machen

Offenbar sei das nun Googles nächster Schritt, um das Internet sicherer zu machen, nachdem schon seit 2014 HTTPS ein Ranking-Signal sei. Bereits seit Sommer jenen Jahres listet Google demnach mit HTTPS verschlüsselte Webseiten in den Suchergebnissen besser.
Nahezu jede Website enthält heutzutage die Möglichkeit, sensible Daten einzugeben – Kontaktformulare, Bestellformulare für Webshops oder Kommentarfunktionen, zu deren Nutzung Kunden mindestens ihren Namen und ihre E-Mail-Adresse angeben müssen. Um den Austausch sensibler Daten abzusichern, gibt es SSL/TLS-Zertifikate, deren Aufgabe es ist, die Kommunikation zwischen Server und Client zu verschlüsseln. Somit sei es unbefugten Dritten nicht mehr möglich, die Daten mitzulesen, erklärt Christian Heutger, Geschäftsführer der PSW GROUP.

OpenSSL als kostenloses Toolkit für einfache Zertifikatserstellung

Um ein SSL/TLS-Zertifikat zu erstellen, rät Heutger zur Installation eines Toolkits, mit dem sich die SSL/TLS-Zertifikate auch verwalten lassen. „OpenSSL“ gehöre hierbei zu den am meisten verbreiteten Lösungen. Bevor das eigentliche SSL-Zertifikat erstellt werden könne, müsse jedoch zunächst ein „Certificate Signing Request“ (CSR) angelegt werden. Die CSR werde für die Bestellung des eigentlichen SSL/TLS-Zertifikats bei einer Zertifizierungsstelle benötigt. Im CSR seien Informationen über den Antragsteller und der zu verschlüsselnden Domain gespeichert, außerdem finde sich dort der öffentliche Schlüssel für die Verschlüsselung von Daten, so Heutger.

Private Key muss zwingend privat und geheim bleiben

Auf dem Server erzeuge der Anwender sodann ein aus dem privaten Schlüssel und der CSR selbst bestehendes Schlüsselpaar. Da das SSL/TLS-Zertifikat ausschließlich mit der angegebenen Domain genutzt werden kann, empfiehlt Heutger diese so exakt wie möglich, beispielsweise als „www.example.com“ und nicht verkürzt als „example.com“, im CSR anzugeben.
Der private Schlüssel dürfe unter keinen Umständen veröffentlicht oder Dritten anvertraut werden. Er sei untrennbar mit dem SSL/TLS-Zertifikat verbunden und diene der Entschlüsselung der Daten. Auf dem Server werde der Zugriff auf den „Private Key“ übrigens über Dateizugriffsrechte geschützt. Heutger rät jedoch zusätzlich zu einer Sicherheitskopie der .key-Datei, die ebenfalls vor unbefugtem Zugriff geschützt werden sollte.

Browser-Kompatibilität beachten

Aufgrund von Schwierigkeiten mit Browser-Kompatibilitäten betrachtet der Experte die Möglichkeit, ein eigenes SSL-Zertifikat zu erstellen, als kritisch. SSL/TLS-Zertifikate sollten so ausgestellt werden, dass auch ältere „Internet Explorer“-Versionen sowie sämtliche mobilen Browser und selbst Exoten wie „Opera Mobile“ einbezogen würden. Hinzu komme, dass mit selbst erstellten Zertifikaten die Identitätsprüfung der Zertifizierungsstellen wegfalle, so dass ein wertvoller Zweck des Zertifikats, nämlich die Authentifizierung, verlorengehe, erläutert Heutger.
SSL/TLS-Zertifikate seien bereits ab 15 Euro jährlich erhältlich. Hierbei handele es sich um domainvalidierte Zertifikate, bei denen eine Zertifizierungsstelle prüfe, ob der Antragsteller der Domaininhaber ist. Die für den Verbraucher Vertrauen spendenden Zeichen im Browser seien kaum sichtbar, für private Websites wie Blogs sei das aber völlig in Ordnung.
Betreibern kommerzieller Blogs und geschäftlicher Websites rät er dagegen zu organisationsvalidierten SSL/TLS-Zertifikaten, bei denen die Prüfung über die Inhaberschaft der Domain hinaus geht.
Idealerweise sollten aber EV-Zertifikate („Extended Validation“) verwendet werden. Die Prüfung durch die Zertifizierungsstelle bedinge auch Dokumente, die das Vorhandensein der Organisation belegten, etwa einen Handelsregisterauszug. Auch die Darstellung im Browser werde umfangreicher – EV-Zertifikate ließen die Adressleiste in Browsern grün werden, wodurch der Datenschutzgedanke für Benutzer sofort sichtbar und die Identität mit einem Klick auf die Adressleiste nachvollziehbar werde, betont Heutger.

Weitere Informationen zum Thema:

PSW GROUP, 22.03.2016
Verschlüsselung / SSL/TLS-Zertifikat erstellen