<\/p>\n
Was sind Zertifikate?<\/h2>\n
Ein digitales Zertifikat ist ein digitaler Datensatz, der bestimmte Eigenschaften von Personen oder Objekten best\u00e4tigt und dessen Authentizit\u00e4t und Integrit\u00e4t durch kryptografische Verfahren gepr\u00fcft werden kann (Quelle: Gabler Wirtschaftslexikon<\/a>). Wem diese sehr formelle Definition zu kompliziert ist, f\u00fcr den macht es die folgende Erkl\u00e4rung wohl einfacher: Ein digitales Zertifikat kann man sich als digitalen Ausweis vorstellen, der der Identifizierung des Zertifikatinhabers dient und der Informationen \u00fcber den Zertifikateinhaber sowie dessen -aussteller enth\u00e4lt. <\/p>\n Diese allgemeine Definition von Zertifikaten l\u00e4\u00dft unterschiedliche Zertifikateformen zu. Ein Beispiel f\u00fcr ein Zertifikat aus dem Alltagsleben sind die QR-Codes auf online gekauften Bahntickets. Sie identifizieren den Reisenden und dessen Reiseroute. Per Abgleich mit der BahnCard oder dem Personalausweis wird dann sichergestellt, dass der gebuchte Reisende im Zug sitzt.<\/p>\n In der Informationstechnologie (IT) sind mit Zertifikaten meist Public-Key-Zertifikate gemeint. Ein Public-Key-Zertifikat ist ein Zertifikat, das genutzt wird, um den Eigent\u00fcmer eines \u00f6ffentlichen Schl\u00fcssels (englisch: public key) zu best\u00e4tigten. Ein solches Zertifikat enth\u00e4lt <\/p>\n Wenn der Zertifikats dem Zertifikatsaussteller vertraut, dann wird die Identit\u00e4t best\u00e4tigt und \u00fcber den ausgetauschten \u00f6ffentliche Schl\u00fcssel kann verschl\u00fcsselt kommuniziert werden. Public-Key-Zertifikate erf\u00fcllen also zwei Funktionen: Zum einen Authentifizieren Sie den Sender eines Zertifikats und zum anderen stellen sie einen \u00f6ffentlichen Schl\u00fcssel f\u00fcr eine verschl\u00fcsselte Verbindung bereit.<\/p>\n Jenachdem werden die Korrektheit des Zertifikatinhalts best\u00e4tigt, unterscheidet man zwischen Zertifikaten, die durch unabh\u00e4ngige Zertifizierungsstellen ausgestellt wurden, und sogenannten selbst signierten Zertifikaten. F\u00fcr die Verschl\u00fcsselung der Daten von gro\u00dfen Webseiten kommen in den meisten F\u00e4llen Zertifikate von anerkannten Zertifizierungsstellen zur Anwendung. Solche Zertifikate werden von Browsern automatisch als vertrauensw\u00fcrdig eingesch\u00e4tzt. So erkl\u00e4rt sich auch, dass der Nutzer von Ihnen gar nichts mit bekommt. Selbst erstellte Zertifikate werden vor allem von Unternehmen im internen Netzwerkverkehr oder von Privatpersonen eingesetzt. Da Browser sie zun\u00e4chst immer als “nicht vertrauenesw\u00fcrdig” einstufen, muss man diese explizit akzeptieren. Erst danach kann verschl\u00fcsselt kommuniziert werden.<\/p>\n Umgangssprachlich werden elektronische Signaturen h\u00e4ufig auch als digitale Signaturen und somit als Zertifikate bezeichnet. Dies ist nicht korrekt. Der Zertifikats-Begriff stammt aus dem technischen Bereich, wohingegen die elektronische Signatur ein rechtlicher Begriff ist. Elektronische Signaturen sind das digitale Gegenst\u00fcck zur handschriftlichen Signatur. Sie kommen zur Anwendung, wenn Dokumente elektronisch versendet und dennoch nachpr\u00fcfbar vom Absender unterzeichnet werden sollen (z.B. bei Vertr\u00e4gen). Die elektronische Signatur identifiziert den Absender und best\u00e4tigt die Authentizit\u00e4t. Ein Scan der eigenen Unterschrift ist somit keine digitale Signatur.<\/p>\n Beim ersten Schritt, dem Authentifizieren verhalten sich Zertifikate, wie das digitale \u00c4quivalent zu einer schriftlichen Beglaubigung. Das Zertifikat best\u00e4tigt dabei die Identit\u00e4t einer Person bzw. eines Unternehmens mittels eines asymmetrischen Schl\u00fcssels. Das Zertifikat stellt somit sicher, dass die Person\/das Unternehmen tats\u00e4chlich die Person\/das Unternehmen ist, f\u00fcr die\/das es sich ausgibt.<\/p>\n Zertifikate erm\u00f6glichen, durch den kryptographischen Aspekt, den Aufbau von verschl\u00fcsselten Verbindungen und somit die \u00dcbertragung von Daten und Informationen, ohne dass sie von dritten unterwegs mitgelesen werden k\u00f6nnen. Zu der verschl\u00fcsselten Verbindung kommt, dass Ihre Daten zus\u00e4tzlich verschl\u00fcsselt werden. Durch das Verschl\u00fcsseln Ihrer, \u00fcber das Internet, gesendeten Daten und der verschl\u00fcsselten Verbindung, wird es Fremden erschwert eventuell abgefangene Daten auszulesen.<\/p>\n Das Beispiel Online Banking bietet sich an, um die Konsequenzen des Fehlens von Zertifikaten darzustellen: Sie verbinden sich mit der Webseite Ihrer Bank und schauen sich Ihre Kontoausz\u00fcge an, ohne dass eine gesicherte Verbindung aufgebaut ist. Dann kann jeder, der ein wenig Ahnung vom PC hat, Ihre \u00fcber das Internet gesandten Daten mitschneiden. Das hei\u00dft, die mitschneidende Person hat Zugang zu Ihren Kontoausz\u00fcgen, genauso wie zu Ihrem Login bei der Bank und Ihre pers\u00f6nlichen Kontoinformationen. Und es wird noch schlimmer: Nachdem Sie Ihre Kontoausz\u00fcge angesehen haben, nehmen Sie noch eine \u00dcberweisung vor. Sie werden nach Ihrer TAN gefragt und nachdem Sie diese eingegeben und best\u00e4tigt haben wird Ihnen gesagt, dass die TAN ung\u00fcltig ist. Was ist passiert? Jemand hat Ihre TAN abgefangen und kann nun \u00fcber Ihr Bankkonto eine \u00dcberweisung t\u00e4tigen. Ihr ganzes Geld wird von Ihrem Konto auf ein anderes verschoben. Das wollen Sie mit Sicherheit nicht. Zertifikate arbeiten mit Hilfe eines Schl\u00fcsselpaares: einem \u00f6ffentlichen Schl\u00fcssel und einem privaten Schl\u00fcssel. Der \u00f6ffentliche Schl\u00fcssel ist in jedem Zertifikat enthalten und somit jedem Browser, der das Zertifikat gespeichert hat bekannt. Den Privaten Schl\u00fcssel besitzt nur der Inhaber des Zertifikats, zum Beispiel die Bank. Um die Funktionsweise von Zertifikaten und das Zusammenspiel von \u00f6ffentlichem und privaten Schl\u00fcssel zu verdeutlichen, schauen wir uns kurz an, was beim Aufruf des Online Bankings Ihrer Bank passiert bzw. passieren sollte. Wenn eine Webseite ein Zertifikat zur Verschl\u00fcsselung des Webtraffics verwendet, erkennt man das daran, dass vor der Webadresse ein \u201ehttps:\/\/\u201c steht (HTTPS<\/strong>, H<\/strong>ypert<\/strong>ext T<\/strong>ransfer P<\/strong>rotocol S<\/strong>ecure). HTTPS steht damit f\u00fcr die sichere Variante des HTTP, welches nur unverschl\u00fcsselte Informationen \u00fcbertr\u00e4gt und verarbeitet.<\/p>\n Die Authentifizierung und Verschl\u00fcsselung erfolgt bei HTTPS \u00fcber Zertifikate, die mit dem TLS-Protokoll, welches unter seinem alten Namen SSL wohl eher bekannt ist, erstellt wurden. Mit der Authentifizierung, der Signatur des unterzeichnenden Unternehmens, erkennt der Browser die Echtheit des Zertifikates an und verschl\u00fcsselt Ihre Daten und die Verbindung zum Webserver des Zertifikatsinhabers. Diese Authentifizierungsmethode ist dem PGP<\/strong> (P<\/strong>retty G<\/strong>ood P<\/strong>rivacy) Prinzip \u00e4hnlich. Das PGP Prinzip besagt, hat eine Person das Zertifikat unterschrieben die ich kenne, ist das Zertifikat echt. Wenn man dies in die analoge Welt holt, bedeutet das, ist der Brief den Sie bekommen von Ihrem Bekannten unterschrieben, werden Sie dem Brief eher trauen. (Wenn Sie mehr \u00fcber das PGP Prinzip wissen m\u00f6chten, lesen Sie doch unseren Wissensartikel E-Mail Verschl\u00fcsselung \u201eE-Mail made in Germany\u201c vs. Thunderbird+PGP<\/a>).<\/p>\n Sicher bedeutet aber nicht gleich vertrauensw\u00fcrdig. Ob ein Zertifikat vertrauensw\u00fcrdig ist, erkennt Ihr Browser automatisch. Dazu bekommt jeder Browser eine Liste mit Zertifikatsstellen, denen er vertrauen kann. Steht also vor der Webadresse ein \u201ehttps:\/\/\u201c ist dies ein Zeichen daf\u00fcr, dass die Webseite sicher ist. Ein weiteres Zeichen ist, dass vor dem \u201ehttps:\/\/\u201c ein Schloss ist, welches unverschl\u00fcsselten Webseiten fehlt (siehe Abbildung).<\/p>\n Leider ist es gar nicht so schwer ein Zertifikat zu f\u00e4lschen, in diesem Jahr war Google Opfer von gef\u00e4lschten Zertifikaten. Allerdings fallen solche gef\u00e4lschte Zertifikate selten auf, dass diese nur selten auffallen liegt daran, dass es weit \u00fcber hundert Zertifizierungsstellen (Certification Authorites, CA) gibt. Und als ob das noch nicht reichen w\u00fcrde, um es un\u00fcbersichtlich zu machen, gibt es noch zahllose Unter-CAs. Diese Unter-CAs sind berechtigt und in der Lage, im Namen der Haupt-CAs zu unterzeichnen. Diese Unter-CAs genie\u00dfen ein v\u00f6llig unbeschr\u00e4nktes Vertrauen. So kann zum Beispiel die Firma T\u00fcrkTrust g\u00fcltige Zertifikate auf den Namen der Deutschen Bank ausstellen. Auch die chinesische Firma CNNIC darf Zertifikate ausstellen zum Beispiel f\u00fcr Google. Deren Unter-CA, MCS Holding, hat massenhaft gef\u00e4lschte Zertifikate in Umlauf gebracht, womit es der Chinesischen Regierung m\u00f6glich war, auf Ihrer gro\u00dfen Firewall, den Google-Mail-Verkehr seiner Untertanen zu \u00fcberwachen. Das diese Zertifikate Google trotzdem aufgefallen sind liegt an der neuen Methode des \u201eCertificate Pinning\u201c. Bei dieser Methode wird dem Browser die Information mitgegeben wie zum Beispiel ein Google Zertifikat auszusehen hat und wer dieses Zertifikat unterzeichnen darf.<\/p>\n Nicht beglaubigte Zertifikate kommen immer wieder vor und sind nicht generell schlecht. Wie bereits unter \u201eWas sind Zertifikate?\u201c erw\u00e4hnt, setzen viele kleine Unternehmen oder Privatpersonen auf selbst erzeugte Zertifikate (siehe Abbildung), welche nicht von einer Zertifizierungsstelle erzeugt wurden. Diese nicht beglaubigten Zertifikate funktionieren genauso wie die beglaubigten Zertifikate. Trotzdem darf man nicht blind allen Zertifikaten Vertrauen schenken. Sollte zum Beispiel Ihre Banking Webseite auf einmal nachfragen, ob Sie dem Zertifikat vertrauen m\u00f6chten, sollten alle Alarmglocken angehen. Dann sollten Sie sich schnellstm\u00f6glich Hilfe suchen. Wir von ionas haben dabei recht viel Erfahrung, da wir selbst mit Zertifikaten arbeiten.<\/p>\n Mit jedem Browser werden die vertrauensw\u00fcrdigen Zertifikatsstellen, bei der Installation, mitgeschickt. Nur wenn der Browser die vertrauensw\u00fcrdigen Zertifikatsstellen besitzt, kann er die Identit\u00e4t der Zertifikate verifizieren, die vom Webserver des jeweiligen Unternehmen \u00fcbermittelt werden. Generell werden alle Zertifikate gespeichert egal ob selbst erstellt oder nicht. Nat\u00fcrlich k\u00f6nnen Sie sich diese Zertifizierungsstellen ansehen. Dazu gehen Sie in die Zertifikatsverwaltung des jeweiligen Browsers. In Firefox zum Beispiel finden Sie diese, indem Sie oben rechts auf die drei Waagerechten Balken klicken anschlie\u00dfend auf \u201eErweitert\u201c und dort auf \u201eZertifikate\u201c. Mit Zertifikate anzeigen sehen Sie die Liste der Zertifikatsstellen, denen Firefox vertraut. (siehe Abbildung)<\/p>\n\n
Wozu ben\u00f6tigt man Zertifikate?<\/h2>\n
\nUm eben dies zu vermeiden, muss eine sichere Verbindung zum Bank Server hergestellt werden.<\/p>\nWie funktionieren Zertifikate?<\/h2>\n
\nUm eine sichere Verbindung aufzubauen, teilt Ihr Browser dem Webserver der Bank mit, dass er kommunizieren m\u00f6chte. Der Webserver antwortet Ihrem Browser, indem er ihm sein Zertifikat, inklusive seines \u00f6ffentlichen Schl\u00fcssels, sendet. Der Browser gleicht das Zertifikat ab, mit der Liste der Vertrauensw\u00fcrdigen Authentifizierungsstellen. Erkennt Ihr Browser das Zertifikat als vertrauensw\u00fcrdig an, erzeugt Ihr Browser einen Sitzungsschl\u00fcssel, der mit dem \u00f6ffentlichen Schl\u00fcssel der Bank verschl\u00fcsselt wird. Dieser Sitzungsschl\u00fcssel wird anschlie\u00dfend an den Webserver der Bank \u00fcbertragen. Mit dem privaten Schl\u00fcssel, der im Besitz der Bank ist, wird der Sitzungsschl\u00fcssel entschl\u00fcsselt und eine sichere Verbindung zwischen Ihrem Browser und dem Webserver der Bank hergestellt. Ab diesem Zeitpunkt werden alle Informationen verschl\u00fcsselt gesendet. Alle gesendeten Daten werden mit dem Sitzungsschl\u00fcssel verschl\u00fcsselt und an den Webserver der Bank geschickt. Bei jeder Neuanmeldung auf der Webseite Ihrer Bank wird ein neuer Sitzungsschl\u00fcssel erstellt (siehe Abbildung).<\/p>\n![\"Wie](\"https:\/\/www.ionas.com\/wissen\/wp-content\/uploads\/2015\/11\/zertifikate.png\")
<\/a><\/p>\nWoran erkennt man, dass ein Zertifikat genutzt wird und vertrauensw\u00fcrdig ist?<\/h2>\n
![\"vertrauensw\u00fcrdige](\"https:\/\/www.ionas.com\/wissen\/wp-content\/uploads\/2015\/09\/zertifikat7.jpg\")
<\/a><\/p>\nWas soll man bei einer Webseite ohne beglaubigtes Zertifikat machen?<\/h2>\n
![\"selbsterstelltes](\"https:\/\/www.ionas.com\/wissen\/wp-content\/uploads\/2015\/09\/zertifikate4.jpg\")
<\/a><\/p>\nWo befindet sich die Liste der Zertifizierungsstellen?<\/h2>\n
![\"Zertifikate](\"https:\/\/www.ionas.com\/wissen\/wp-content\/uploads\/2015\/09\/zertifikate5.jpg\")
<\/a><\/p>\nWie kann man sich Zertifikate ansehen?<\/h2>\n
![\"Detailansicht](\"https:\/\/www.ionas.com\/wissen\/wp-content\/uploads\/2015\/09\/zertifikat1-286x300.jpg\")
<\/a><\/p>\n