Definition
Ein TLS-Zertifikat ist ein digitales Zertifikat, das die Identität einer Domain oder eines Servers bestätigt und die Verwendung von Transport Layer Security (TLS) ermöglicht. Es stellt sicher, dass die Kommunikation zwischen Client und Server verschlüsselt und vor Manipulation geschützt ist. TLS-Zertifikate sind ein zentraler Bestandteil der Internetsicherheit und werden vor allem bei HTTPS-Verbindungen eingesetzt.
Das Zertifikat enthält Informationen über den Inhaber, die ausstellende Zertifizierungsstelle (Certificate Authority, CA), den öffentlichen Schlüssel sowie die Gültigkeitsdauer. Durch die Verwendung eines TLS-Zertifikats kann ein Nutzer überprüfen, ob die Verbindung zu der beabsichtigten Website hergestellt wurde und nicht zu einem Angreifer umgeleitet wurde.
Was bedeutet das für Ihr Unternehmen?
Läuft das TLS-Zertifikat Ihrer Website ab, zeigen Browser eine deutliche Warnung, und viele Besucher brechen sofort ab, Formulare und Shops funktionieren faktisch nicht mehr. Da die zulässige Laufzeit öffentlicher Zertifikate schrittweise verkürzt wird, ist eine automatische Erneuerung praktisch Pflicht. Ein kostenloses Zertifikat von Let’s Encrypt verschlüsselt dabei genauso gut wie ein gekauftes, ein Aufpreis lohnt sich nur bei besonderen Prüfanforderungen.
Hintergrund und Standardisierung
TLS-Zertifikate basieren auf dem Public-Key-Infrastruktur-Standard (PKI), der eine sichere Schlüsselverteilung und Identitätsprüfung ermöglicht. Die zugrundeliegende Technologie wurde aus dem früheren Secure Sockets Layer (SSL) weiterentwickelt, wobei TLS seit Ende der 1990er Jahre (TLS 1.0 im Jahr 1999) als Nachfolger gilt. Die Internet Engineering Task Force (IETF) standardisiert TLS in RFC-Dokumenten, zuletzt TLS 1.3 im Jahr 2018.
Die Ausstellung von TLS-Zertifikaten erfolgt durch vertrauenswürdige Zertifizierungsstellen, die die Identität des Antragstellers prüfen. Bekannte CAs sind beispielsweise Let’s Encrypt, DigiCert, GlobalSign und Sectigo (früher Comodo). Let’s Encrypt ging Ende 2015 an den Start und bietet kostenlose, automatisierte Zertifikate an, was die Verbreitung von TLS stark gefördert hat.
Funktionsweise
Bei der Einrichtung einer TLS-Verbindung präsentiert der Server sein TLS-Zertifikat an den Client. Der Client überprüft die Gültigkeit des Zertifikats, unter anderem anhand der Signatur der ausstellenden CA, des Ablaufdatums und der Übereinstimmung mit der angeforderten Domain. Ist die Prüfung erfolgreich, wird ein sicherer Verschlüsselungsschlüssel ausgehandelt.
Das TLS-Zertifikat enthält den öffentlichen Schlüssel des Servers, der für die asymmetrische Verschlüsselung verwendet wird. Nach der Authentifizierung erfolgt der Austausch von Sitzungsschlüsseln, die für die symmetrische Verschlüsselung der Datenübertragung genutzt werden. So wird sichergestellt, dass die Kommunikation vertraulich und vor Manipulation geschützt bleibt.
Einsatzgebiete
TLS-Zertifikate werden hauptsächlich für die Absicherung von Webservern eingesetzt, um HTTPS-Verbindungen zu ermöglichen. Sie sind aber auch in anderen Bereichen relevant, etwa bei E-Mail-Servern (SMTP, IMAP, POP3), VPN-Verbindungen oder bei der Absicherung von APIs und anderen Netzwerkdiensten.
Darüber hinaus werden TLS-Zertifikate in Unternehmensnetzwerken verwendet, um interne Dienste abzusichern und die Kommunikation zwischen verschiedenen Systemen zu verschlüsseln. Auch in der Internet of Things (IoT)-Technologie gewinnen TLS-Zertifikate an Bedeutung, um Geräte sicher zu verbinden.
Abgrenzung zu verwandten Begriffen
TLS-Zertifikate unterscheiden sich von SSL-Zertifikaten hauptsächlich durch den verwendeten Verschlüsselungsstandard. SSL ist veraltet und unsicher, während TLS der aktuelle Standard ist. In der Praxis werden die Begriffe jedoch oft synonym verwendet, obwohl TLS die korrekte Bezeichnung ist.
Ein verwandter Begriff sind Code-Signing-Zertifikate, die zur Authentifizierung von Softwareherstellern und zur Sicherstellung der Integrität von Programmen dienen. Im Gegensatz dazu bestätigen TLS-Zertifikate die Identität von Websites oder Servern und ermöglichen verschlüsselte Verbindungen.