Extended-Validation-Zertifikate: Was „EV“ wirklich belegt und ob es noch von Bedeutung ist

Jedes Zertifikat vom Typ „ SSL “ bzw. „TLS “ im öffentlichen Internet basiert auf derselben Familie kryptografischer Verfahren. Ein domänenvalidiertes Zertifikat verschlüsselt eine Verbindung genauso effektiv wie das teuerste „Extended Validation“-Zertifikat. Wenn also das Vorhängeschloss und die Verschlüsselung identisch sind – was bringt dann der Aufpreis für „Extended Validation“ eigentlich?

Die kurze Antwort lautet: Identität, nicht Geheimhaltung. Extended-Validation-Zertifikate (EV-Zertifikate) machen eine Verbindung auf kryptografischer Ebene nicht sicherer. Sie legen die Messlatte in einem Punkt höher: Durch einen strengen Überprüfungsprozess wird nachgewiesen, welche juristische Person genau hinter einer Website steht. Dieser Leitfaden erklärt, was ein EV-Zertifikat nachweist, wie es sich im Vergleich zu anderen Validierungsstufen verhält, warum sein auffälligstes Merkmal schon vor Jahren aus den Browsern verschwunden ist und ob es sich immer noch lohnt, dafür zu bezahlen. EV zu verstehen bedeutet auch zu verstehen,wie digitale ZertifikateüberhauptVertrauen schaffen.

Was ein EV-Zertifikat tatsächlich belegt

Ein EV-Zertifikat bietet das höchste Maß an digitaler Identitätssicherung, das bei SSL/TLS -Zertifikaten verfügbar ist. Während alle Zertifikate dem Kunden bestätigen, dass er mit dem Zertifikatsinhaber kommuniziert, wird bei einem Extended-Validation-Zertifikat die rechtliche Identität des Website-Betreibers gegenüber der Zertifizierungsstelle (CA) überprüft.

Das CA/Browser Forum, das für diese Regeln zuständige Gremium, definiert die Hauptfunktion eines EV-Zertifikats darin, „die juristische Person zu identifizieren, die eine Website kontrolliert“, und eine angemessene Sicherheit dafür zu bieten, dass die Website „von einer bestimmten juristischen Person kontrolliert wird, die im EV-Zertifikat namentlich, mit der Anschrift ihres Geschäftssitzes, dem Rechtsraum ihrer Gründung oder Registrierung sowie der Registrierungsnummer oder anderen eindeutigen Informationen identifiziert wird“.

Praktisch gesehen verknüpft ein EV-Zertifikat vier konkrete Fakten mit einer Website:

• Der verifizierte Name der juristischen Person der Organisation, die die Website betreibt.
• Die Anschrift des Geschäftssitzes.
• Der Ort, an dem das Unternehmen gegründet oder eingetragen wurde.
• Sein Kennzeichen (oder andere Informationen zur eindeutigen Identifizierung).

Diese Zertifikate unterliegen den EV-Richtlinien des CA/Browser-Forums, die 2007 festgelegt wurden. Diese Rahmenbedingungen sorgen dafür, dass die Identitätsdaten in einem EV-Zertifikat bei allen ausstellenden Zertifizierungsstellen einheitlich und vertrauenswürdig sind.

Wie sich EV im Vergleich zu anderen Validierungsstufen darstellt

Am besten lässt sich EV durch einen Vergleich verstehen, da alle öffentlichen Zertifikate auf derselben kryptografischen Grundlage basieren. Was die Validierungsstufen voneinander unterscheidet, ist nicht die Verschlüsselungsstärke, sondern der Umfang, in dem die Zertifizierungsstelle die Identität vor der Ausstellung überprüft, sowie der Umfang, in dem diese Identität angezeigt wird. Diese Überprüfung lässt sich bis zuder Zertifizierungsstelle zurückverfolgen,die das Zertifikat ausstellt und signiert.

Auf der niedrigsten Stufe bestätigt die Überprüfung lediglich die Kontrolle über die Domain. Auf der mittleren Stufe bestätigt die Zertifizierungsstelle zudem die rechtliche Existenz der Organisation und nimmt diese Angaben in das Zertifikat auf. Auf der höchsten Stufe, der EV-Stufe, führt die Zertifizierungsstelle eine eingehende Überprüfung der rechtlichen, physischen und betrieblichen Existenz der Organisation durch, wobei der Antrag von der Organisation selbst und nicht von einer informell handelnden Einzelperson gestellt werden muss.

Validierungstiefe	Was die CA überprüft	Was wird angezeigt?	Typischer Anwendungsfall	Ausstellungszeitpunkt
Nur Domain-Verwaltung	Der Antragsteller verwaltet die Domain	Nur ausstellende Behörde, keine Angaben zur Organisation	Persönliche oder interne Websites	Protokoll
Verifizierte Organisation	Kontrolle über die Domain sowie die rechtliche Existenz der Organisation	Angaben zur Organisation im Zertifikat	Kommerzielle Websites, die Nutzerdaten erfassen	Stunden bis Tage
Umfassende rechtliche, physische und betriebliche Überprüfung (EV)	Rechtliche, physische und betriebliche Existenz sowie die Kontrolle über die Domain, initiiert durch die Organisation	Angaben zur Identifizierung einer verifizierten Organisation	Websites mit hohem Vertrauensgrad und hohem Risiko	Der längste der drei

Das Fazit lautet: Ein Aufstieg auf der Stufe erhöht nicht die kryptografische Stärke. Er sorgt vielmehr für eine gesicherte Identitätsfeststellung und damit für ein höheres Maß an Vertrauen bei Besuchern, die sich die Zeit nehmen, das Zertifikat zu prüfen.

Was wird bei der EV-Prüfung überprüft?

Bei der EV-Prüfung wird der Mehrwert erzielt. Gemäß den Richtlinien des CA/Browser-Forums überprüft eine öffentliche Zertifizierungsstelle (CA) die betriebliche und physische Identität der Organisation, die das Zertifikat beantragt. Sie bestätigt die rechtliche Identität des Website-Inhabers, überprüft, ob der Antragsteller Eigentümer und alleiniger Verwalter der Domain ist, und bestätigt, dass der Antragsteller befugt ist, das Zertifikat im Namen der Organisation zu beantragen.

Um die Identität und Anschrift einer Organisation festzustellen, verlässt sich eine Zertifizierungsstelle nicht einfach auf die Angaben des Antragstellers. Sie stützt sich vielmehr auf unabhängige, schwer zu fälschende Nachweise, wie zum Beispiel:

• Unterlagen einer Behörde in dem Rechtsgebiet, in dem die Organisation rechtmäßig gegründet oder anerkannt wurde.
• Eine zuverlässige Datenbank eines Drittanbieters, die regelmäßig aktualisiert und auf ihre Richtigkeit überprüft wird.
• Eine Besichtigung vor Ort durch die CA oder einen in ihrem Auftrag handelnden Beauftragten.
• Ein offizielles Bestätigungsschreiben, das unter Umständen durch Unterlagen wie eine Strom-, Gas- oder Wasserrechnung, einen Kontoauszug oder ein von einer Behörde ausgestelltes Steuerdokument zur Bestätigung der Anschrift ergänzt wird.

Im Gegensatz dazu stehen die einfachen Domain-Kontrollen auf niedrigeren Validierungsstufen, bei denen eine Zertifizierungsstelle (CA) lediglich einen WHOIS-Eintrag abfragt, einen vom Antragsteller erstellten „ DNS “-Eintrag bestätigt oder eine auf der Website hinterlegte Datei überprüft. Diese Prüfungen belegen die Kontrolle über eine Domain innerhalb weniger Minuten. Die EV-Prüfung ist naturgemäß langsamer und gründlicher, da sie eine reale Organisation überprüft und nicht nur eine technische Verbindung zu einem Domainnamen.

Die Geschichte der Benutzeroberfläche: vom grünen Balken zum schlichten Vorhängeschloss

Jahrelang war das Wesentliche an EV etwas, das ein Besucher auf einen Blick erkennen konnte. Vor Herbst 2019 konnte ein Besucher einer EV-geschützten Website diese daran erkennen, dass der Firmenname in grüner Schrift angezeigt wurde oder dass in der Adressleiste ein grüner Balken zu sehen war, auf dem der rechtliche Name und der Standort der Organisation angezeigt wurden. Dies war ein sichtbares Zeichen für eine verifizierte Identität.

Dann verschwand das Symbol. Im Herbst 2019 haben sowohl Google Chrome als auch Mozilla Firefox diese Anzeige entfernt. Heute wird für jedes Zertifikat – unabhängig davon, ob seine Überprüfung Minuten oder Wochen gedauert hat – in der Adressleiste des Browsers dasselbe neutrale Vorhängeschloss angezeigt. In Forschungsarbeiten und Branchenkommentaren wurde in Frage gestellt, ob Nutzer die grüne Leiste überhaupt bemerkt oder darauf reagiert haben, und die Browser haben sich weiterentwickelt.

Durch diese Änderung wurden die EV-Identitätsdaten nicht entfernt. Es wurde lediglich die automatische Anzeige dieser Daten deaktiviert. Um zu überprüfen, ob eine Website heute ein EV-Zertifikat verwendet, klicken Sie auf das Vorhängeschloss und rufen Sie die Zertifikatsdetails auf. Ein EV-Zertifikat zeigt die verifizierten Identitätsdaten der Organisation an, während bei anderen Zertifikatstypen lediglich die ausstellende Stelle angezeigt wird. Die Informationen sind nach wie vor vorhanden; man muss nur bewusst darauf klicken, um sie zu finden.

Diese Informationen finden Sie auch im Terminal, beispielsweise mit Tools wie OpenSSL.

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -text

Durchsuchen Sie die Ausgabe nach der Erweiterung „X509v3 Certificate Policies“. Ein Extended-Validation-Zertifikat trägt die reservierte Kennung 2.23.140.1.1. Beachten Sie, dass dieser Bogen eine Komponente kürzer ist als die für die anderen Stufen verwendeten Kennungen; lesen Sie ihn daher vollständig aus, anstatt nur die letzten Ziffern abzugleichen. Jede andere reservierte Kennung an dieser Position verweist auf eine andere Stufe. Auf unserer speziellen Seite zur Zertifikatsvalidierung erfahren Sie, welche Anforderungen die einzelnen Stufen an die Zertifizierungsstelle stellen.

Lohnt sich ein Elektroauto? Kosten und Nutzen abwägen

Hier ist die ehrliche Antwort: Es hängt von Ihrem Risikoprofil ab, und für viele Websites lohnt sich EV nicht. EV-Zertifikate sind teurer als andere Zertifikate, und ihre Ausstellung dauert aufgrund der damit verbundenen Überprüfung länger.

EV spielt seine Stärken vor allem bei hochwertigen Phishing-Zielen aus. Es eignet sich am besten für die Arten von Websites, als die sich Angreifer am häufigsten ausgeben: Banken, große Einzelhändler, Finanzinstitute und öffentlich zugängliche Behörden. Allgemeiner gesagt kann jede Website, die Daten erfasst, Anmeldungen verarbeitet oder Online-Zahlungen abwickelt, von der Anzeige einer verifizierten Markenidentität profitieren. Wenn eine stärkere Identitätssicherung und ein hohes Maß an Vertrauen für Ihr Unternehmen wichtig sind, spielt EV eine klare Rolle.

Für alle anderen sind die zusätzlichen Kosten und die langsamere Ausstellung schwerer zu rechtfertigen. Es lohnt sich, klar zu erkennen, was ein EV-Zertifikat garantiert und was nicht. Ein EV-Zertifikat belegt, dass eine eingetragene juristische Person Eigentümerin der Domain ist und die Kontrolle darüber ausübt. Es belegt jedoch nicht, dass die Website selbst von Natur aus vertrauenswürdig oder in guter Absicht betrieben wird. Der Sicherheitsforscher Troy Hunt wies bereits 2016 darauf hin, dass der Wert von EV letztlich vom menschlichen Faktor abhängt: davon, inwieweit Menschen und Organisationen diese Zertifikate verstehen und Maßnahmen zu deren Schutz ergreifen. Diese Einschränkung ist der Grund, warum EV als eine Ebene des Vertrauens und nicht als Garantie betrachtet werden sollte.

Warum die Validierung von Elektrofahrzeugen nach wie vor wichtig ist

Auch nach der Umgestaltung der Browser-Oberfläche behält die EV-Validierung in dreierlei Hinsicht ihren dauerhaften Wert.

Erstens: Anti-Phishing. Phishing-Websites, die sich als seriöse Unternehmen ausgeben, sind ein Hauptweg für den Diebstahl sensibler Daten, und Kriminelle können auf Dark Markets kostengünstige, domänenvalidierte Zertifikate erwerben, um betrügerische Websites seriös erscheinen zu lassen. EV erschwert dies. Gestohlene EV-Zertifikate sind auf denselben Märkten weitaus seltener und deutlich teurer, was die Kosten und den Aufwand für eine überzeugende Identitätsfälschung erhöht. Durch die Anzeige einer verifizierten Identität im Zertifikat bietet EV vorsichtigen Besuchern die Möglichkeit, zu überprüfen, mit wem sie es tatsächlich zu tun haben.

Zweitens: die verifizierte Markenidentität. Die Identität der Organisation ist im Zertifikat selbst verankert, sodass die Sicherheit unabhängig davon gewährleistet bleibt, wie ein bestimmter Browser das Zertifikat anzeigt.

Drittens: Unterstützung bei der Einhaltung gesetzlicher Vorschriften. Vorschriften wie HIPAA, PCI DSS und DSGVO verpflichten Unternehmen zum Schutz medizinischer, finanzieller und personenbezogener Daten. EV-Zertifikate tragen dazu bei, nachzuweisen, dass eine verifizierte Identität und wirksame Schutzmaßnahmen vorhanden sind, was zu einem erfolgreichen Audit hinsichtlich dieser Anforderungen beitragen kann.

Automatisierung der EV- und Zertifikatsvalidierung in großem Maßstab

Es gibt einen entscheidenden Faktor, der darüber entscheidet, ob EV in der Praxis erfolgreich ist oder scheitert: das Lebenszyklusmanagement. Die Identitätssicherung eines Zertifikats ist wertlos, wenn das Zertifikat unbemerkt abläuft und dadurch ein Dienst ausfällt.

Die Gültigkeitsdauer von Zertifikaten verkürzt sich rapide. Früher waren Zertifikate ein bis drei Jahre lang gültig. Heute beträgt die maximal zulässige Gültigkeitsdauer 200 Tage, und das CA/Browser Forum hat in einer Abstimmung beschlossen, die maximale Gültigkeitsdauer bis 2029 auf nur noch 47 Tage zu verkürzen. Kürzere Gültigkeitsdauern spiegeln einen allgemeinen Branchentrend hin zu mehr Agilität wider, machen die manuelle Nachverfolgung jedoch zu einem echten Risiko. Wer eine Verlängerung versäumt, riskiert Ausfälle, Sicherheitslücken und Verstöße gegen Compliance-Vorgaben.

EV erfüllt sein Versprechen nur dann, wenn sein Lebenszyklus durchgesetzt wird, ohne dass sich die Nutzer an irgendetwas erinnern müssen. Hier kommt das ACME-Protokoll (Automated Certificate Management Environment) ins Spiel. ACME automatisiert die Ausstellung, Erneuerung und Sperrung von Zertifikaten, indem es die Interaktionen zwischen Ihrem Webserver und den Zertifizierungsstellen optimiert. Ursprünglich für Let’s Encrypt entwickelt, wird es mittlerweile von zahlreichen Zertifizierungsstellen und PKI-Anbietern unterstützt. Die Automatisierung der Zertifikatsvalidierung und -erneuerung reduziert manuelle Fehler, entlastet die IT-Ressourcen und verhindert kostspielige Ausfallzeiten, die durch ein versäumtes Ablaufdatum entstehen.

Wie Keyfactor helfen Keyfactor

Genau dieses Problem soll „ Keyfactor “ lösen. Mit „ Keyfactor “ können Sie alle Zertifikate in Ihrem Unternehmenerfassen,verwalten undautomatisieren, sodass die Überprüfung und Erneuerung von Zertifikaten nicht mehr von der Wachsamkeit einzelner Mitarbeiter abhängt. Die Plattform unterstützt Teams dabei, von reaktiven Maßnahmen zu proaktiver Transparenz überzugehen – dank einer durchgängig automatisierten Public-Key-Infrastruktur (PKI) und einem automatisierten Zertifikatslebenszyklusmanagement.

Damit werden die oben genannten Herausforderungen direkt angegangen. Da die Gültigkeitsdauer auf maximal 47 Tage sinkt, sorgen die automatisierte Erkennung und Erneuerung dafür, dass EV-Zertifikate und alle anderen Zertifikate gültig bleiben und durchgesetzt werden, ohne dass eine manuelle Nachverfolgung erforderlich ist. Dank ACME-Unterstützung und vollständiger Automatisierung des Lebenszyklus können Sie die durch EV gewährte Identitätssicherheit aufrechterhalten und gleichzeitig Ausfälle vermeiden, die durch abgelaufene Zertifikate verursacht werden.