SSL ist das Kürzel für Secure Sockets Layer, welches seit der Version 3.0 als TLS (Transport Layer Security) bezeichnet wird. Es dient als sicherer Tunnel: Alle Daten, die ihn durchqueren, sind vor Hackern geschützt. So gelangt keine unbefugte Person an Ihre Passwörter oder Kartennummern. Um den Datenverkehr vor Missbrauch zu bewahren, sind digitale SSL Zertifikate eine gute Wahl, doch es gibt verschiedene Arten mit jeweils anderen Einsatzgebieten.
Wie funktioniert ein SSL-Zertifikat?
Ein Verbraucher möchte ein neues Smartphone kaufen. Es soll ein teures Gerät sein, welches er mit seiner Kreditkarte bezahlt. Natürlich wünscht er sich eine sichere Übertragung seiner Daten, da es sich um vertrauliche Informationen handelt. Werden sie von Dritten abgefangen, erntet der Händler eine negative Kritik und muss mit hohen Umsatzeinbußen rechnen.
Damit das nicht passiert, wird der Datenverkehr mittels SSL-Zertifikaten verschlüsselt:
1. Das Smartphone ist ausgewählt und der Kunde möchte seine Daten hinterlegen. Bevor er das tun kann, fragt der Client beim Server eine verschlüsselte Verbindung an. Der Browser des Kunden ist der Client, während der Seitenbetreiber für den Server zuständig ist.
2. Daraufhin erhält der Client ein SSL-Zertifikat von seiner Zertifizierungsstelle. Häufig wird diese als CA bezeichnet, was die Kurzform für Certificate Authority ist. Das Zertifikat wurde virtuell unterschrieben und bestätigt somit die Identität des Betreibers. Wenn es gültig ist, wird der Vorgang fortgesetzt.
3. Beide Seiten wissen nun, dass sie sich gegenseitig vertrauen können. Sie einigen sich auf einen Schlüssel, der zur Kodierung der zu übertragenen Daten genutzt wird. Fängt eine dritte Partei die Bankdaten des Kunden ab, kann sie mit ihnen nichts anfangen. Denn ihr fehlt der Schlüssel, um den Datenverkehr zu dekodieren und damit zu lesen – den haben nur die beiden Verbindungspartner.
4. Als Nutzer bekommen Sie von diesem komplexen Vorgang kaum etwas mit. Achten Sie nur darauf, dass die SSL-Verbindung über ein https:// vor der Adresse eingeleitet wird. Im letzten Schritt bestätigt die Zertifizierungsstelle das digitale Zertifikat mit einem verriegelten Schloss oder einer grünen Adressleiste.
5. Erst jetzt kann der Verbraucher seine Daten eintragen und die Bestellung ohne Sicherheitsbedenken abschließen. Der komplette Vorgang nimmt höchstens wenige Sekunden in Anspruch. Somit wird das Shopping-Erlebnis des Kunden nicht durch langwierige Wartezeiten getrübt.
Welche Typen von Zertifikaten gibt es?
Für jeden Bedarf existiert das passende Zertifikat. Es kommt darauf an, wie gut eine Seite geschützt sein soll. Vor allem bei der Stärke der Verschlüsselung bestehen enorme Unterschiede: Ein SSL-Zertifikat mit 32 Bit ist technisch veraltet, da der aktuelle Standard bei mindestens 128 Bit liegt. Sehr hohe Verschlüsselungen weisen sogar einen Wert von 2.048 Bit auf. Zudem fällt die Identitätsprüfung unterschiedlich aus.
Es ist sinnvoll, die SSL-Zertifikate in folgende Kategorien einzuteilen:
Domain Validation
Diese Form ist weit verbreitet, da sie kostengünstig und leicht zu verifizieren ist. Die Identitätsprüfung erfolgt über eine Abfrage der Whois-Adresse. Der automatische Roboter schickt eine Nachricht und vergleicht damit den Auftraggeber und Inhaber einer Domain. Mit der Domain Validation sind SSL-Zertifikate innerhalb von wenigen Minuten ausgestellt. Diese Verschlüsselung wird mit einem Klick auf das Schloss-Symbol angezeigt.
Organisation Validation
Neben dem Domaincheck werden bestimmte Unterlagen per Hand überprüft. Dabei kann es sich um einen Auszug aus dem Handelsregister oder einer Kopie des Personalausweises handeln. Einige Anbieter führen eine telefonische Prüfung durch und vergleichen die gesammelten Infos mit dem Whois-Eintrag. Die Organisation Validation bietet Inhabern und Kunden höhere Sicherheiten im Datenverkehr. Zudem enthält das Schloss weitere Angaben zum Unternehmen, welche die Domain Validation nicht zu bieten hat.
Extended Validation
Dieses SSL-Zertifikat richtet sich an gehobene Ansprüche: Der Nutzer kann es sofort an der grünen Adressleiste im Browser erkennen. Zusätzlich zur Identitäts- und Whois-Prüfung muss der Antragsteller seine Mitarbeit im Unternehmen nachweisen. Bei dieser Variante weiß der Kunde sofort, dass es sich um eine offizielle Webseite handelt. Es wird eine Verschlüsselung von mindestens 256 Bit vorausgesetzt, was die Browser mit der bestmöglichen Akzeptanz belohnen.
Die genannten Varianten sichern bestimmte Domains ab, doch es sind nicht alle Subdomains erfasst. Erstellen Sie eine neue Seite, müssen Sie weitere Zertifikate erwerben. Das ist relativ teuer und ein aufwendiges Verfahren. Um dem zu entgehen, ist ein Wildcard-SSL-Zertifikat zu empfehlen. Man könnte sagen, es ist die Verschlüsselung mit Sternchen: Neben der Hauptdomain sind Subdomains bis zu einer vorgegebenen Stufe abgesichert, was Ihnen den Kauf einzelner Zertifikate erspart. In der Regel gilt dieser Schutz bis zur dritten Ordnung (beispiel.domain.com), aber nicht für die vierte Stufe (shop.beispiel.domain.com).
Besitzen Sie mehrere Domains, kostet es viel Zeit, für jede Webseite zahlreiche SSL-Zertifikate zu kaufen. Hier profitieren Sie vom Multidomain-SSL-Zertifikat, welches sich für verschiedene Seiten (a-domain.com, a-dom.com und b-domain.com) ausstellen lässt.
Für wen ist welches SSL-Zertifikat geeignet?
Blogs, Foren oder kleine Webseiten brauchen keine teuren Zertifikate. Für Einzelpersonen reicht die Domain Validation absolut aus, was sich bei Onlineshops anders verhält. Abhängig von der Reichweite ist Organisation Validation oder Extended Validation zu empfehlen. Zudem kommt es darauf an, welche Produkte Sie verkaufen. Handelt es sich um einen regionalen Anbieter mit kleinen Umsätzen, darf es auch ein günstiges SSL-Zertifikat sein. Bei größeren Unternehmen erscheint alles andere als die Extended Validation unseriös.
Fazit: SSL-Zertifikate erhöhen das Vertrauen und tragen effektiv zur Sicherheit bei. Kein moderner Onlineshop kommt ohne diese Verschlüsselung aus. Entscheiden Sie sich für ein Zertifikat, welches Ihren Bedürfnissen am ehesten entspricht.
