Was die Organisationsvalidierung (OV) belegt und warum sie für „ SSL “-Zertifikate von Bedeutung ist

Fast jede Website zeigt mittlerweile ein Vorhängeschloss in der Adressleiste des Browsers an, und viele Besucher interpretieren dieses Vorhängeschloss als Zeichen dafür, dass die Website sicher ist. So einfach ist es jedoch nicht. Das Vorhängeschloss bestätigt zwar, dass die Datenübertragung zwischen dem Browser und dem Server verschlüsselt ist, sagt aber für sich genommen nichts darüber aus, wer die Website tatsächlich betreibt.

Genau in dieser Lücke kommt es auf die Validierungsstufen der Zertifikate an. Jedes „ SSL “-Zertifikat – egal ob „Domain Validated“, „Organization Validated“ oder „Extended Validation“ – bietet die gleichen kryptografischen Garantien zwischen dem Nutzer und dem Server. Der Unterschied liegt darin, wie streng die Zertifizierungsstelle die Identität des Website-Betreibers vor der Ausstellung des Zertifikats überprüft. „Organization Validation“ (OV) liegt in der Mitte dieses Spektrums: Es bindet eine verifizierte juristische Person an eine Domain und hält die Details dieser Organisation im Zertifikat fest.

In diesem Leitfaden wird erläutert, was ein OV-Zertifikat tatsächlich bescheinigt, was die Zertifizierungsstelle vor der Ausstellung eines solchen Zertifikats überprüft, welche Datenquellen dieser Überprüfung zugrunde liegen, wie sich OV im Vergleich zu anderen Validierungsstufen darstellt und warum die Identitätssicherung für kommerzielle Websites von Bedeutung ist. Behalten Sie dabei stets einen Gedanken im Hinterkopf: Da alle Validierungsstufen auf derselben Kryptografie basieren, liegt der eigentliche Unterschied im Vertrauen in die Identität und nicht in der Stärke der Verschlüsselung.

Was ist die Organisationsvalidierung (OV)?

Die Organisationsvalidierung ist eine Stufe der Zertifikatsvalidierung, bei der die Zertifizierungsstelle (CA) vor der Ausstellung des Zertifikats zwei Dinge überprüft: dass der Antragsteller die Kontrolle über die Domain hat und dass die dahinter stehende Organisation rechtmäßig existiert. Sobald beide Prüfungen bestanden sind, bettet die CA die verifizierten Angaben zur Organisation, wie beispielsweise deren Namen und Standort, direkt in das Zertifikat ein.

Genau dieser zusätzliche Schritt verleiht OV-Zertifikaten mehr Glaubwürdigkeit als einer reinen Domain-Validierung. Ein domänenvalidiertes Zertifikat bestätigt lediglich, dass jemand die Domäne kontrolliert, liefert jedoch keine Informationen über die dahinter stehende Organisation. Ein OV-Zertifikat geht darüber hinaus und fungiert alsdigitale Berechtigungsnachweise, die die Identität an einen Schlüssel binden, sodass ein Besucher oder ein System erkennen kann, welche verifizierte Organisation hinter der Website steht. Aus diesem Grund werden OV-Zertifikate für kommerzielle Websites und für Anwendungen empfohlen, die Nutzerdaten erfassen – also dort, wo es wirklich darauf ankommt, zu wissen, mit wem man es zu tun hat.

Um zu verstehen, wie diese Anmeldedaten vertrauenswürdig werden, ist es hilfreich, sich anzusehen,wie eine Zertifizierungsstelle Vertrauen aufbaut, noch bevor das Zertifikat überhaupt ausgestellt wird.

Was OV tatsächlich beweist

Den Wert eines OV-Zertifikats lässt sich am besten anhand der konkreten Garantien verstehen, die es bietet – und anhand der einen wichtigen Garantie, die es nicht bietet.

Dies belegt, dass hinter der Domain eine echte, rechtmäßig eingetragene Organisation steht

Ein OV-Zertifikat bestätigt, dass die Website von einer verifizierten juristischen Person und nicht von einer anonymen Partei betrieben wird. Vor der Ausstellung stellt die Zertifizierungsstelle sicher, dass eine eingetragene Organisation – und nicht nur ein namenloser Domaininhaber – für die Website verantwortlich ist. Dies stellt eine bedeutende Verbesserung gegenüber einem Zertifikat dar, das lediglich die Kontrolle über die Domain bestätigt.

Es verknüpft verifizierte Unternehmensdaten mit der Domain

Bei OV-Zertifikaten werden der Name und der Standort der Organisation im Zertifikat selbst vermerkt und bleiben in den Zertifikatsdetails sichtbar. Dadurch wird eine bestätigte Identität mit der Domain verknüpft, sodass jeder, der das Zertifikat einsehen kann, erkennen kann, welche Organisation von der Zertifizierungsstelle geprüft wurde. Reine Domain-Zertifikate enthalten keine derartigen Informationen.

Das beweist nicht, dass die Website in jeder Hinsicht vertrauenswürdig ist

Die Validierung bestätigt die Identität, nicht jedoch die Absicht oder die geschäftliche Qualität. Ein OV-Zertifikat bedeutet, dass die Domain im Besitz einer registrierten juristischen Person ist. Es bedeutet jedoch nicht an sich, dass die Website in jeder Hinsicht vertrauenswürdig ist oder dass ihre Geschäftspraktiken einwandfrei sind. Die Überprüfung beantwortet eher die Frage „Wer betreibt diese Website?“, als die Frage „Sollte ich allem vertrauen, was diese Website tut?“. Das Verständnis dieser Grenze sorgt dafür, dass OV-Zertifikate nützlich bleiben, ohne die Möglichkeiten eines Zertifikats zu überschätzen.

Was wird bei der OV überprüft?

Die Ausstellung eines OV-Zertifikats erfordert eine gründlichere Prüfung als die schnellen, automatisierten Überprüfungen, die bei einem reinen Domain-Zertifikat durchgeführt werden. Die Zertifizierungsstelle durchläuft mehrere Schritte, bevor sie das Zertifikat ausstellt.

• Kontrolle über die Domain.
  Die Zertifizierungsstelle (CA) überprüft zunächst anhand etablierter technischer Verfahren wie „ DNS “-Einträge oder einer dateibasierten Überprüfung, ob der Antragsteller Eigentümer der Domain ist oder die Kontrolle darüber ausübt.
• Rechtliche Existenz der Organisation.
  Die Zertifizierungsstelle überprüft, ob es sich bei der Organisation um eine echte, rechtmäßig eingetragene juristische Person handelt, indem sie deren Identität anhand verbindlicher Registerangaben überprüft.
• Zusätzliche Unterlagen.
  Über die Anforderungen der Domain-Validierung hinaus sind bei der OV-Validierung zusätzliche Unterlagen erforderlich, um die Identität und die Adresse der Organisation zu bestätigen.
• Direkter Kontakt.
  Die Zertifizierungsstelle setzt sich vor der Ausstellung des Zertifikats direkt mit der Organisation in Verbindung, um deren Identität zu überprüfen.

Diese Kombination aus Dokumentation und direkter Bestätigung ist der praktische Unterschied zwischen OV und der einfachen Domain-Validierung. Sie spiegelt zudem wider, wie eine Zertifizierungsstelle Vertrauen schafft, indem sie die Kontrolle über die Domain auf die verifizierte Identität der Organisation aufbaut.

Die Datenquellen für die OV-Verifizierung

Ein OV-Zertifikat ist nur so glaubwürdig wie die Quellen, auf die sich die Zertifizierungsstelle bei der Identitätsprüfung stützt. Anstatt sich auf die Angaben des Antragstellers zu verlassen, greift die Zertifizierungsstelle auf unabhängige, maßgebliche Unterlagen zurück, die nur schwer zu fälschen sind.

Zu den gängigen Quellen gehören:

• Behördliche und gewerbliche Register.
  Die Zertifizierungsstelle (CA) überprüft die Identität der Organisation anhand behördlicher Aufzeichnungen, die deren rechtmäßige Gründung, Existenz oder Anerkennung in ihrem Zuständigkeitsbereich bestätigen. Gemäß den Anforderungen des CA/Browser-Forums ist eine Behörde im Zuständigkeitsbereich des Antragstellers die wichtigste Möglichkeit, sowohl die Identität der Organisation als auch deren Anschrift zu überprüfen.
• Zuverlässige Datenbanken von Drittanbietern.
  Eine Datenbank eines Drittanbieters, die regelmäßig aktualisiert und unabhängig gepflegt wird, kann als zuverlässige Datenquelle dienen. Zu beachten ist, dass eine Datenbank, deren Hauptzweck lediglich darin besteht, Informationen zur Bestehung einer Validierung zu sammeln, nicht in Frage kommt, da dies die Integrität der Überprüfung gewährleistet.
• WHOIS- und Domain-Einträge.
  WHOIS- und RDAP-Abfragen dienen dazu, die Inhaberschaft der Domain und die Kontaktdaten zu bestätigen und die Domain mit der Organisation zu verknüpfen, die das Zertifikat beantragt.
• Von der Organisation bereitgestellte Unterlagen.
  Wenn die Unterlagen allein nicht ausreichen, legt der Antragsteller zusätzliche Belege vor. Das CA/Browser Forum erkennt auch ein Bestätigungsschreiben oder in einigen Fällen einen Vor-Ort-Besuch als zulässigen Nachweis an, und die Zertifizierungsstelle muss alle Dokumente auf Manipulationen oder Fälschungen überprüfen.

Das CA/Browser Forum legt klare Vorgaben für die Bewertung einer Quelle fest, bevor man sich auf sie verlässt. Dabei werden das Alter der Informationen, die Häufigkeit ihrer Aktualisierung, wer sie pflegt und warum, ihr öffentlicher Zugang sowie der Aufwand für eine mögliche Fälschung berücksichtigt. Die Verwendung von maßgeblichen, unabhängigen Quellen, die diese Kriterien erfüllen, verleiht der Organisationsvalidierung ihre Glaubwürdigkeit.

Wie sich OV im Vergleich zu anderen Validierungsstufen darstellt

Anstatt jede Validierungsstufe als eigenständiges Konzept zu betrachten, ist es hilfreich, OV im Vergleich zu den benachbarten Stufen zu betrachten. Alle drei Stufen bieten die gleichen kryptografischen Garantien zwischen dem Nutzer und dem Server; sie unterscheiden sich darin, in welchem Umfang die Zertifizierungsstelle die Identität überprüft und welche Angaben letztendlich im Zertifikat festgehalten werden.

Validierungsstufe	Was die CA überprüft	Was im Zertifikat steht	Typische Ausgabegeschwindigkeit	Optimaler Anwendungsfall
Domain-validiert(DV)	Nur Kontrolle über die Domain	Keine Angaben zur Organisation	Protokoll	Persönliche oder interne Websites
Von der Organisation validiert (OV)	Kontrolle über die Domain sowie die rechtliche Existenz der Organisation	Verifizierter Name und Standort der Organisation	Länger, aufgrund von Identitätskontrollen	Kommerzielle Websites und Apps, die Nutzerdaten erfassen
Erweiterte Validierung(EV)	Von der Organisation initiierte eingehende Überprüfung der rechtlichen, physischen und betrieblichen Existenz	Umfassendste Sammlung geprüfter Unternehmensdaten	Längste und strengste Überprüfung	Prominente Ziele wie Banken und große Einzelhandelsketten

OV gehört zur mittleren Stufe. Es bietet eine höhere Identitätssicherheit als die reine Domain-Validierung, bei der zwar die Identität des Servers bestätigt wird, aber keine Angaben zur Organisation gemacht werden, und erfordert gleichzeitig eine weniger intensive Überprüfung als die umfassende Hintergrundprüfung der höchsten Stufe.

Ein praktischer Aspekt überrascht Website-Betreiber oft: Browser zeigen keine eindeutigen visuellen Hinweise mehr für höhere Validierungsstufen an. Vor Herbst 2019 wurde bei Websites mit „Extended Validation“ der Firmenname in grüner Schrift oder in einer grünen Adressleiste angezeigt. Mozilla Firefox und Google Chrome haben diesen Hinweis dann entfernt, und heute werden alle Zertifikate mit demselben grauen Vorhängeschloss angezeigt. Daher lässt sich der Unterschied zwischen den Validierungsstufen nun nur noch anhand der Zertifikatsdetails erkennen und nicht mehr auf einen Blick.

Warum OV für Ihr Unternehmen wichtig ist

Bei einer kommerziellen Website liegt der Vorteil von OV vor allem in der verifizierten Identität und dem damit verbundenen Vertrauen.

• Vertrauen der Besucher.
  Wenn Besucher erkennen, dass hinter einer Website eine verifizierte Organisation steht, sind sie eher bereit, ihre Kontaktdaten anzugeben oder einen Kauf abzuschließen. Diese Sicherheit stärkt die Glaubwürdigkeit von kommerziellen Websites und Websites, die Daten erfassen, in einer Weise, wie es ein einfaches Vorhängeschloss nicht vermag.
• Schutz vor Phishing und betrügerischen Websites.
  Phishing und gefälschte Websites stellen eine anhaltende Bedrohung dar, und Angreifer nutzen häufig kostengünstige Zertifikate, die nur für die Domain gelten, um den Anschein von Legitimität zu erwecken. Da OV eine verifizierte Unternehmensidentität an die Domain bindet, erhöht es die Hürde für Identitätsbetrug und hilft Besuchern dabei, ein echtes Unternehmen von einem Nachahmer zu unterscheiden.
• Unterstützung bei der Einhaltung von Vorschriften.
  Vorschriften wie PCI DSS, HIPAA und DSGVO verpflichten Unternehmen zum Schutz von Finanz-, Gesundheits- und personenbezogenen Daten. Zertifikate mit Identitätsprüfung tragen zum Nachweis dieses Schutzes bei und können zu einem erfolgreichen Audit hinsichtlich dieser Verpflichtungen beitragen.

Kurz gesagt: OV eignet sich hervorragend für jede Website, die Daten erfasst, Anmeldungen verarbeitet oder Transaktionen abwickelt und möchte, dass ihre verifizierte Identität in ihrem Namen handelt.

Die Automatisierung von OV-Zertifikaten in großem Maßstab

Die Identitätssicherung ist nur dann gewährleistet, wenn das Zertifikat aktuell bleibt – und das wird immer schwieriger. Die Gültigkeitsdauer von Zertifikaten verkürzt sich drastisch: Was früher eine jährliche Aufgabe war, wird bis 2029 auf maximal 47 Tage sinken. Bei identitätsgeprüften Zertifikaten wie OV bedeuten kürzere Gültigkeitsdauern weitaus häufigere Erneuerungen, und die manuelle Erneuerung wird schnell zu einem Risiko. Verpasst man eine Erneuerung, kann eine Website ausfallen, das Vertrauen der Besucher verlieren oder die Compliance-Anforderungen nicht mehr erfüllen.

Automatisierung löst dieses Problem. Das ACME-Protokoll (Automated Certificate Management Environment) optimiert die Interaktion zwischen Webservern und Zertifizierungsstellen und wickelt die Ausstellung, Verlängerung und Sperrung von Zertifikaten ohne manuelle Schritte ab. Ursprünglich für Let’s Encrypt entwickelt, wird ACME mittlerweile von zahlreichen Zertifizierungsstellen und PKI-Anbietern unterstützt und ermöglicht es Teams, OV-Zertifikate termingerecht zu verlängern, selbst wenn die Gültigkeitsfristen immer kürzer werden.

Die andere Hälfte des Problems ist die Transparenz. Viele Organisationen verwalten Dutzende oder Hunderte von Zertifikaten in ihren Umgebungen, und es kann leicht passieren, dass man den Überblick darüber verliert, wie viele es insgesamt gibt oder wann die einzelnen Zertifikate ablaufen. Durch die automatisierte Erfassung wird ein genaues Bestandsverzeichnis erstellt, sodass kein identitätsvalidiertes Zertifikat übersehen wird. Die Verknüpfung von Automatisierung und Erfassung im Rahmendes Zertifikatslebenszyklusmanagementsverhindert, dass OV-Verlängerungen – einschließlich einer eventuell erforderlichen erneuten Validierung der Organisationsidentität – in großem Umfang verfallen.

So überprüfen Sie die Validierungsstufe eines Zertifikats

Mit nur wenigen Klicks können Sie das Zertifikat einer beliebigen Website überprüfen. Dies ist die zuverlässigste Methode, um ein identitätsgeprüftes Zertifikat von einem reinen Domain-Zertifikat zu unterscheiden, da die Browser mittlerweile alle identisch aussehen.

1. Vergewissern Sie sich, dass die Website HTTPS verwendet, indem Sie überprüfen, ob die URL mit „https“ beginnt.
2. Klicken Sie auf das Vorhängeschloss-Symbol neben der Adressleiste, um die Sicherheitsinformationen der Website anzuzeigen.
3. Öffnen Sie die Zertifikatsdetails im Popup-Fenster.
4. Achten Sie auf Felder zur Identifizierung der Organisation. Ein Zertifikat mit Identitätsprüfung zeigt die verifizierten Angaben zur Organisation an, während ein reines Domain-Zertifikat am unteren Rand des Pop-up-Fensters lediglich die Informationen der Zertifizierungsstelle anzeigt.

Sind diese Organisationsfelder vorhanden, weist das Zertifikat eine verifizierte Organisationsidentität auf. Fehlen sie, handelt es sich um ein reines Domain-Zertifikat.

Alternativ können Sie, falls Sie Zugriff auf Befehlszeilentools für die „ command “-Ebene wie OpenSSL haben, die Validierungsstufe überprüfen, indem Sie folgenden Befehl eingeben:

openssl s_client -connect keyfactor.com:443 -servername keyfactor.com </dev/null 2>/dev/null | openssl x509 -noout -subject -text

Suchen Sie nach der Zeile „X509v3 Certificate Policies: Policy: 2.23.140.1.2.2“, wobei die letzten sechs Ziffern die Richtlinie bezeichnen. Sollte eine andere Zahlenkombination angegeben sein, gehört das Zertifikat zu einer anderen Stufe. Weitere Informationen finden Sie auf unserer speziellen Seite zurZertifikatsvalidierung.

Wie Keyfactor helfen Keyfactor

Unternehmen, die auf identitätsgeprüfte Zertifikate angewiesen sind, müssen sicherstellen, dass jedes einzelne dieser Zertifikate erfasst, auf dem neuesten Stand und vertrauenswürdig ist – insbesondere angesichts immer kürzerer Gültigkeitsdauern. „ Keyfactor “ unterstützt dieses Ziel in dreierlei Hinsicht.

• Erfassung.
  Keyfactor automatisiertdie Erfassungaller Zertifikate im gesamten Unternehmen und erstellt so ein genaues Bestandsverzeichnis, damit identitätsgeprüfte Zertifikate niemals übersehen werden.
• Automatisierung.
  Durchdie Automatisierung der Ausstellung und Verlängerung verhindert „ Keyfactor “, dass OV-Zertifikate und andere identitätsgeprüfte Zertifikate ablaufen, selbst wenn sich die Gültigkeitsdauer auf 47 Tage verkürzt.
• Zentrale Transparenz und Krypto-Agilität.
  Eineeinheitliche, durchgängige Übersicht über Ihre PKIermöglicht es Ihren Teams, von reaktivem Handeln zu proaktivem Management überzugehen, und sorgt dafür, dass Sie angesichts sich weiterentwickelnder Standards agil bleiben.

Das Ergebnis ist eine verifizierte, vertrauenswürdige Identität, die in großem Maßstab aufrechterhalten wird, ohne den manuellen Aufwand, den die immer kürzer werdenden Lebenszyklen andernfalls mit sich bringen würden.