Was ist eine Domain-Validierung?

Die Domain-Validierung ist eine Vertrauensentscheidung, keine Formalität

Jedes HTTPS-Schloss in Ihrem Browser steht für eine Entscheidung. Bevor eine Zertifizierungsstelle (CA) das hinter diesem Schloss stehende Zertifikat ausgestellt hat, musste sie entscheiden, ob sie der Anfrage vertrauen kann und welche Angaben das Zertifikat enthalten darf. Diese Entscheidung wird als Validierung bezeichnet und ist der unscheinbare Mechanismus, der verhindert, dass das Vertrauen im Internet zu einem wilden Durcheinander wird.

Die Validierung ist wichtig, da die kryptografischen Garantien zwischen Client und Server allein nicht ausreichen. Man kann sich das so vorstellen: Zertifikate vom Typ „ SSL “ bzw. „TLS “ erfüllen zwei Aufgaben: Die Kryptografie stellt sicher, dass die Kommunikation mit dem Zertifikatsinhaber hergestellt wurde und der Datenverkehr von Lauschangreifern weder gelesen noch manipuliert werden kann; andererseits gewährleistet die Validierung, dass die beiden kommunizierenden Parteien tatsächlich diejenigen sind, für die sie sich im Zertifikat ausgeben. Die Public-Key-Infrastruktur (PKI), die Zertifikate verwaltet, funktioniert wie eine digitale Kraftfahrzeugbehörde: Sie prüft und vergibt Zertifikate an Identitäten, die diese beantragen; und ein Zertifikat selbst ist ein bisschen wie ein Führerschein, der Informationen über seinen Inhaber und ein Ablaufdatum enthält.

Die Domain-Validierung (DV) ist die gängigste und schnellste dieser Vertrauensentscheidungen. In diesem Leitfaden wird erläutert, was die DV tatsächlich nachweist, wie sie sich im Vergleich zu strengeren Validierungsstufen darstellt, wer die Regeln festlegt, wie Zertifizierungsstellen die Validierung durchführen und automatisieren und warum die korrekte Durchführung der Validierung eine grundlegende Sicherheitsentscheidung und nicht nur ein einmaliger Einrichtungsschritt ist. Wenn Sie sich zunächst einen Überblick über die Zertifikatsstruktur verschaffen möchten, ist es hilfreich zu verstehen,was ein „ SSL “- bzw. „TLS “-Zertifikat ist.

Was die Domain-Validierung tatsächlich belegt

Hier ist die „Answer-First“-Definition: Bei der Domain-Validierung wird bestätigt, dass der Antragsteller die im Zertifikat genannte Domain kontrolliert – und nichts weiter. Eine Zertifizierungsstelle, die ein DV-Zertifikat ausstellt, überprüft, ob der Antragsteller Eigentümer der Domain ist oder diese kontrolliert, in der Regel durch eine einfache Überprüfung. Es werden keine Angaben zur Organisation überprüft oder angezeigt.

Anders ausgedrückt: DV-Zertifikate überprüfen die Identität des Servers, während Zertifikate mit höherer Sicherheitsstufe darüber hinausgehen und die rechtliche Identität der hinter der Website stehenden Organisation überprüfen. Es ist wichtig, den Geltungsbereich genau zu definieren. Ein DV-Zertifikat belegt, dass Ihre Verbindung die von Ihnen angeforderte Domain erreicht. Es sagt nichts über die rechtliche Identität des Unternehmens aus, das die Website betreibt, und auch nichts darüber, ob dieses Unternehmen vertrauenswürdig ist.

Die Kryptografie selbst ist identisch. DV-Zertifikate ermöglichen die Verwendung derselben kryptografischen Algorithmen und Protokolle wie jedes andere Zertifikat auch. Der einzige Unterschied zwischen den verschiedenen Validierungsstufen besteht in der Sicherheitsstufe, d. h. in der Gründlichkeit der Identitätsprüfung, die die Zertifizierungsstelle durchführt, sowie in den Informationen, die sie im Zertifikat festhält.

Was eine Domain-Validierung nicht belegt (und warum das wichtig ist)

Da DV-Zertifikate lediglich die Kontrolle über die Domain bestätigen, nicht aber das dahinterstehende Unternehmen, ist ein gültiges DV-Zertifikat kein Garant für Seriosität. Diese Lücke hat konkrete Folgen. Kriminelle können relativ günstige DV-Zertifikate erwerben – manchmal sogar auf dem Schwarzmarkt –, um Phishing- und Identitätsbetrugs-Websites seriös erscheinen zu lassen und ahnungslose Besucher dazu zu verleiten, finanzielle oder persönliche Daten preiszugeben. Ein mangelhaftes Zertifikatsmanagement verschärft das Problem noch, da sich ein kompromittiertes oder gestohlenes DV-Zertifikat nur schwer von einem legitimen unterscheiden lässt.

Die Kernaussage ist nicht, dass DV schlecht ist. Vielmehr bestätigen das Vorhängeschloss und ein DV-Zertifikat eine private, verschlüsselte Verbindung zu einer bestimmten Domain – nicht jedoch, dass der Domaininhaber Ihr Vertrauen verdient. Diese Unterscheidung bildet die Grundlage sowohl für den folgenden Vergleich als auch für den Abschnitt darüber, warum die Validierung wichtig ist.

Ein Vergleich der Domain-Validierung mit höheren Validierungsstufen

Aus Sicht des DV unterscheiden sich die drei Validierungsstufen darin, wie streng die Zertifizierungsstelle die Identität überprüft, welche Angaben im Zertifikat enthalten sind und wie lange die Ausstellung dauert. Die Kryptografie ist bei allen drei Stufen identisch.

Validierungsstufe	Was die CA überprüft	Übliche Bearbeitungszeit	Optimaler Anwendungsfall
Domain-validiert (DV)	Nur Verwaltung der Domain; keine Angaben zur Organisation	Protokoll	Persönliche Websites, Blogs, interne oder nichtkommerzielle Dienste
Von der Organisation validiert (OV)	Domain-Kontrolle sowie die rechtliche Existenz der Organisation, wie aus dem Zertifikat hervorgeht	Länger, erfordert Kontakt mit der CA	Kommerzielle Websites und Anwendungen, die Nutzerdaten erfassen
Erweiterte Validierung (EV)	Eine von der Organisation selbst initiierte eingehende Überprüfung ihrer rechtlichen, physischen und operativen Identität	Längste und strengste Überprüfung	Bekannte Websites, die häufig Ziel von Phishing-Angriffen sind, wie beispielsweise Banken und große Einzelhändler

Die Domain-Validierung ist die grundlegendste und schnellste Validierungsart, die in der Regel innerhalb weniger Minuten erfolgt, was zu einem großen Teil der Grund dafür ist, dass es sich um das im Internet am häufigsten verwendete Zertifikat handelt. Bei der Organisationsvalidierung wird zusätzlich die rechtliche Existenz der Organisation überprüft und diese Angaben im Zertifikat festgehalten. Die erweiterte Validierung, die den EV-Richtlinien des CA/Browser-Forums unterliegt – die, wie Keyfactor anmerkt, 2007 festgelegt wurden –, umfasst die strengste Prüfung und kann in einigen Browsern erweiterte Identitätsindikatoren auslösen. Die Organisationsvalidierung und die erweiterte Validierung werden hier nur als Anhaltspunkte behandelt, da sie an anderer Stelle ausführlich behandelt werden.

Um zu überprüfen, welche Validierungsstufe dem Zertifikat entspricht, können Sie ein Terminal öffnen und folgenden Befehl ausführen:

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -text

Suchen Sie in der Ausgabe nach der Erweiterung „X509v3 Certificate Policies“. Die Domänenvalidierung wird durch die reservierte Kennung 2.23.140.1.2.1 gekennzeichnet. Ein anderer Wert in diesem Feld bedeutet, dass das Zertifikat auf einer anderen Stufe ausgestellt wurde. Weitere Informationen zu den Unterschieden zwischen diesen Stufen finden Sie auf unserer speziellen Seite zurZertifikatsvalidierung.

Wann eine Domain-Validierung ausreicht (und wann nicht)

Die praktische Entscheidung hängt davon ab, wozu Ihre Website dient. Da bei der DV-Zertifizierung keine Unternehmensdaten überprüft werden, eignet sie sich besser für private oder interne Websites, Blogs und nichtkommerzielle Dienste, bei denen Geschwindigkeit und Einfachheit wichtiger sind als die angezeigte Identität.

Bei kommerziellen und öffentlich zugänglichen Websites sieht die Sache anders aus. Websites, die Anmeldungen verarbeiten, Zahlungen entgegennehmen oder regulierte Daten verarbeiten, sollten OV oder EV in Betracht ziehen, die für kommerzielle Websites und Anwendungen empfohlen werden, die Nutzerdaten erfassen. Die höheren Stufen bieten Besuchern eine verifizierte Unternehmensidentität, der sie vertrauen können – was gerade dort am wichtigsten ist, wo Angreifer ihre Phishing-Angriffe konzentrieren. Wenn es sich bei Ihrer Website um ein Hobbyprojekt oder ein internes Tool handelt, ist DV in der Regel die richtige Wahl. Falls sensible Daten erfasst werden, sollten Sie DV als Mindeststandard betrachten, nicht als Obergrenze.

Wer ist für die Validierung zuständig und was gilt als maßgebliche Quelle?

Die Validierung ist kein Verfahren, das jede Zertifizierungsstelle eigenständig entwickelt. Die Regeln stammen vom CA/Browser-Forum, einem freiwilligen Zusammenschluss von Zertifizierungsstellen sowie Anbietern von Browsern und anderer Web software , die Zertifikate nutzen. Das Forum veröffentlicht die „ TLS Baseline Requirements“, in denen die zulässigen Methoden zur Validierung der Domänenkontrolle festgelegt sind, die eine Zertifizierungsstelle anwenden muss, und von den Zertifizierungsstellen wird erwartet, dass sie diese befolgen.

Um die Kontrolle zu bestätigen, greift eine Zertifizierungsstelle auf externe Informationsquellen zurück, anstatt sich allein auf die Angaben des Antragstellers zu verlassen. WHOIS und sein Nachfolgeprotokoll RDAP identifizieren den registrierten Ansprechpartner für eine Domain. DNS stellt verbindliche Einträge bereit, die nur von jemandem geändert werden können, der die Kontrolle über die Zone der Domain besitzt. Und an der Basis steht die Root-CA, die als vertrauenswürdige Quelle für die Integrität der gesamten Kette dient: Ihr Browser vertraut dem Zertifikat, da es bis zu einer Root-CA zurückverfolgt werden kann, der er bereits vertraut. Diese mehrschichtige Struktur ist der Grund dafür, dass die Kontrolle über eine Domain – nachgewiesen anhand von Einträgen, die der Antragsteller nicht ohne Weiteres fälschen kann – ausreicht, um ein DV-Zertifikat zu verankern.

Das Rahmenwerk wird aktiv durchgesetzt und zunehmend verschärft. Die derzeit zulässige maximale Gültigkeitsdauer eines Zertifikats beträgt 200 Tage, doch das CA/Browser Forum hat in einer Abstimmung beschlossen, die maximale Gültigkeitsdauer drastisch zu verkürzen – auf 100 Tage bis 2027 und auf nur noch 47 Tage bis 2029. Kürzere Gültigkeitsdauern bedeuten, dass Validierungen und Erneuerungen wesentlich häufiger stattfinden, was der wichtigste Grund dafür ist, dass die Branche von manuellen Prüfungen auf Automatisierung umstellt.

So erfolgt die Domain-Validierung: die Validierungsmethoden

Wenn eine Zertifizierungsstelle (CA) überprüfen muss, ob ein Antragsteller die Kontrolle über eine Domain hat, stützt sie sich auf eine kleine Auswahl standardisierter Verfahren, die in den Baseline Requirements definiert sind. Bei jedem dieser Verfahren wird der Antragsteller aufgefordert, seine Kontrolle auf eine Weise nachzuweisen, die sich nur schwer vortäuschen lässt – in der Regel, indem er belegt, dass er eine Nachricht an einer Infrastruktur empfangen oder dort einen bestimmten Wert hinterlegen kann, über die ausschließlich der Domaininhaber die Kontrolle hat. Die folgenden drei Verfahren sind diejenigen, mit denen die meisten Website-Betreiber am häufigsten konfrontiert sind.

E-Mail an einen Domain-Ansprechpartner

Bei diesem Verfahren sendet die Zertifizierungsstelle (CA) eine Nachricht mit einem eindeutigen Zufallswert an eine mit der Domain verknüpfte Adresse; die Kontrolle wird bestätigt, wenn der Empfänger diesen Wert zurücksendet. Früher konnte die CA den registrierten Ansprechpartner im WHOIS-Eintrag nachschlagen, doch die heute weit verbreitete Variante sieht vor, dass eine E-Mail an eine konstruierte Adresse gesendet wird: ein Standard-Postfach wie admin@, administrator@, webmaster@, hostmaster@ oder postmaster@ bei der zu validierenden Domain. Der Antragsteller ruft den Zufallswert ab und antwortet, um die Kontrolle nachzuweisen. Der Zufallswert ist für diese Anfrage nur einmal verwendbar und bleibt gemäß den Baseline Requirements höchstens 30 Tage lang gültig. Die Logik ist einfach: Nur jemand, der die Kontrolle über das E-Mail-System der Domain hat, kann den Code empfangen und zurücksenden.

DNS Änderung des Datensatzes

Hier weist der Antragsteller seine Berechtigung für die Zone „ DNS “ der Domain nach, indem er einen von der Zertifizierungsstelle bereitgestellten Wert veröffentlicht. Die Zertifizierungsstelle verlangt, dass ein eindeutiger Zufallswert oder ein Anforderungstoken in einem „ DNS “-Eintrag – in der Regel einem TXT-Eintrag, manchmal auch einem CNAME- oder CAA-Eintrag – unter dem Autorisierungsdomainnamen erscheint, häufig unter einem mit einem Unterstrich beginnenden Label. Sobald die Zertifizierungsstelle DNS abfragt und den erwarteten Wert sieht, gilt die Kontrolle als bestätigt. Da nur die Partei, die die DNS einer Domain verwaltet, Einträge zur Zone hinzufügen kann, ist eine erfolgreiche Überprüfung von DNS ein starker Nachweis für die Kontrolle, und diese Methode eignet sich gut für die Automatisierung sowie für die Validierung von Wildcard-Domains.

HTTP-Datei (Verifizierungsdatei) – Methode

Bei der dateibasierten Methode muss der Antragsteller ein von der Zertifizierungsstelle bereitgestelltes Token an einer Stelle ablegen, auf die nur der Betreiber der Website Zugriff hat. Die Zertifizierungsstelle stellt ein Anforderungstoken oder einen Zufallswert bereit, und der Antragsteller speichert diesen in einer Datei auf dem Webserver im Verzeichnis „/.well-known/pki-validation/“. Die Zertifizierungsstelle ruft diese Datei anschließend über HTTP oder HTTPS auf einem autorisierten Port ab und muss eine erfolgreiche Antwort (2xx) erhalten, die den erwarteten Wert enthält. Moderne automatisierte Varianten dieses Ansatzes, darunter die in RFC 8555 definierte ACME-HTTP-Challenge, funktionieren im Kern auf dieselbe Weise: Der Nachweis der Kontrolle erfolgt durch die Bereitstellung eines bestimmten Werts vom Webserver selbst. Wie bei den anderen Methoden ist das Token auf maximal 30 Tage befristet.

Automatisierung der Domain-Validierung mit ACME

Die manuelle Durchführung dieser Überprüfungen ist noch überschaubar, wenn ein Zertifikat ein Jahr lang gültig ist. Wenn Zertifikate jedoch nur wenige Wochen gültig sind, wird dies unpraktisch. Hier kommt die „Automated Certificate Management Environment“ (ACME) ins Spiel. ACME ist ein Protokoll, mit dem ein Client und eine Zertifizierungsstelle (CA) die Domain-Validierung, die Ausstellung, die Verlängerung und den Widerruf programmgesteuert durchführen können, ohne dass ein Mensch auf einen Bestätigungslink klicken muss.

ACME erleichtert die automatische Ausstellung, Erneuerung und Sperrung von Zertifikaten, indem es die Interaktionen zwischen einem Webserver und der Zertifizierungsstelle (CA) optimiert. Es wurde ursprünglich für Let’s Encrypt entwickelt und wird mittlerweile von zahlreichen Zertifizierungsstellen und PKI-Anbietern unterstützt. Sein Aufstieg hängt direkt mit den zuvor beschriebenen immer kürzer werdenden Gültigkeitsdauern zusammen: Da die maximale Gültigkeitsdauer bis 2029 auf 47 Tage sinken wird, können manuelle Validierung und Erneuerung einfach nicht mehr Schritt halten, und die Automatisierung wird zum einzigen zuverlässigen Weg, um Ablaufdaten zu vermeiden. ACME ist eines von mehrerenautomatisierten Registrierungsprotokollen wie SCEP und EST,die die Zertifikatsverwaltung skalierbar machen.

Warum die Zertifikatsüberprüfung wichtig ist

Die Validierung bildet die Grundlage für die Vertrauensentscheidung, die Ihr Browser bei jeder sicheren Verbindung trifft. Durch die Bestätigung, dass ein Zertifikat tatsächlich zu der von Ihnen besuchten Domain gehört, verhindert die Validierung sogenannte „Man-in-the-Middle“-Angriffe, bei denen ein Angreifer den Datenverkehr zwischen Ihnen und einer Website abfängt, um Zugangsdaten oder Informationen zu stehlen. Ohne eine vertrauenswürdige Validierung könnte ein Angreifer eine gefälschte Website einrichten und unbemerkt Ihre Online-Banking-Sitzung als Proxy abwickeln.

Die Validierung ist auch die Schwachstelle, die Angreifer auszunutzen versuchen. Da DV-Zertifikate kostengünstig und schnell erhältlich sind, nutzen Kriminelle sie, um Phishing-Seiten zu tarnen – genau aus diesem Grund ist eine Identitätssicherung, die über die Domain-Kontrolle hinausgeht, für Websites, die sensible Transaktionen abwickeln, von entscheidender Bedeutung. Zudem unterstützt die Validierung die Einhaltung gesetzlicher Vorschriften: Vorschriften und Standards wie PCI DSS, HIPAA und DSGVO verpflichten Unternehmen zum Schutz finanzieller, medizinischer und personenbezogener Daten, und ordnungsgemäß validierte, gut verwaltete Zertifikate tragen zur Erfüllung dieser Verpflichtungen bei.

Schließlich ist die Validierung kein einmaliger Vorgang mehr. Da die Lebensdauer immer kürzer wird, sind zuverlässige Validierung und Verlängerung zu laufenden betrieblichen Notwendigkeiten geworden. Eine versäumte Verlängerung kann dazu führen, dass eine Website oder Anwendung offline geht, das Vertrauen der Nutzer untergräbt und eine Sicherheitslücke entsteht. Daher ist eine zuverlässige Validierung mittlerweile eine fortlaufende Anforderung und nicht mehr nur ein Häkchen, das man bei der Inbetriebnahme setzt.

Wie Keyfactor helfen Keyfactor

Auf Unternehmensebene besteht die Herausforderung selten darin, eine einzelne Domain zu validieren. Vielmehr geht es darum, Tausende von Zertifikaten konsistent zu validieren, auszustellen und zu erneuern, während deren Gültigkeitsdauer immer weiter sinkt. Mit „ Keyfactor “ können Sie jedes Zertifikat in Ihrem gesamten Unternehmen erfassen, verwalten und automatisieren, sodass Ihre Teams nicht mehr reaktiv auf Probleme reagieren müssen, sondern proaktiv Transparenz und Kontrolle gewinnen.

Das bedeutet eine automatisierte Erfassung, sodass Sie genau wissen, wie viele Zertifikate Sie besitzen und wann die einzelnen ablaufen, sowie eine automatisierte Ausstellung und Erneuerung über Standardprotokolle wie ACME und eine einheitliche Validierung und Durchsetzung von Richtlinien über mehrere Zertifizierungsstellen hinweg. Keyfactor AgileSecermöglicht die Erfassung und erstellt ein Inventar der kryptografischen Ressourcen, einschließlich Zertifikaten, im gesamten Unternehmen. Keyfactor Command konzentriert sich auf die Automatisierung des Zertifikatslebenszyklus und die Vermeidung von Ausfällen, während EJBCA die moderne PKI-Ausstellung in großem Maßstab unterstützt. Gemeinsam helfen sie Unternehmen dabei, dem Trend zu 47-Tage-Zertifikaten ohne manuellen Aufwand einen Schritt voraus zu sein undBest Practices für das Zertifikatslebenszyklusmanagementroutinemäßig und nicht nur als einmalige Sondermaßnahme umzusetzen.