Grundlagen zum Thema SSL

Vorwort

Das Thema Datensicherheit ist heute wichtiger als je zuvor. Die meisten unter uns sind fast ständig online. Sei es mit Laptop, Smartphone oder Tablet. Wir rufen überall unsere Mails ab, chatten mit Freunden oder kaufen online ein. Leider achten die wenigsten darauf ob ihre Daten und Informationen auch geschützt, das heisst verschlüsselt, übertragen werden, ob man sich gerade bei seiner Bank eingeloggt oder wem man seine Kreditkartendaten überlassen hat. Dabei ist es für Unternehmen heute so einfach wie nie zuvor seinen Kunden die richtige Sicherheit zu geben.

Mit einem SSL Zertifikat auf der Webseite wird jeglicher Datenaustausch komplett verschlüsselt. Dadurch können Daten von absolut niemandem mehr mitgelesen werden. Mit einem EV Zertifikat wird zudem das Vertrauen des Kunden/Interessenten gestärkt indem direkt gezeigt wird, dass das eigene Unternehmen verifiziert wurde und tatsächlich existent ist. Für den Seitenbetreiber hat es noch einen weiteren Vorteil. Google bewertet alle Webseiten mit Always-On-SSL inzwischen besser als solche mit nur einem Zertifikat in einem Teilbereich auf der Webseite oder wenn kein Zertifikat eingesetzt wird.

Zertifikatstypen

Grundsätzlich gibt es drei Typen von SSL-Zertifikaten. Diese unterscheiden sich in der Art der Verifikation und den für den User/Endkunden sichtbaren Informationen innerhalb des Zertifikates. Eine mit einem SSL Zertifikat gesicherte Webseite erkennt man an dem angezeigten Schloss in der Browserleiste. Die Zertifikatsdetails erreicht man indem man auf das Schloss und anschliessend auf weitere Informationen/Details/Zertifikat anzeigen, klickt. Im Regelfall sind das drei bis vier Klicks.

Zertifikate mit erweiterter Validierung (EV)

Die für Kunden/User vertrauenswürdigsten Zertifikate für Webseiten sind die Zertifikate mit der erweiterten Validierung (EV). Vor Austellung der Zertifikate wird der jeweilige Antragssteller und seine Daten genau von der entsprechenden ausstellenden Behörde geprüft.

Zuerst wird geprüft ob der Antragsteller Inhaber der Domain ist. Darüber hinaus wird das Unternehmen anhand des Handelsregistereintrages überprüft. Zuletzt erfolgt eine telefonische Verifikation. Das heißt, es wird die Telefonnummer des Unternehmens in einem öffentlichen Verzeichnis gesucht und ein Anruf an die dort hinterlegte Nummer erfolgt. Der Verification Call erfolgt dabei in mehreren Schritten :

• Der erste Anruf geht an die Personalabteilung um zu klären ob der bei der Bestellung eingetragene Mitarbeiter für das Unternehmen tätig ist.
• Anschliessend erfolgt ein Anruf des Vorgesetzten um zu prüfen ob der Ansprechpartner die Berechtigung zu dieser Order hat.
• Abschliessend erfolgt ein Anruf bei dem eigentlichen Ansprechpartner um die Order zu bestätigen. 

Diese Verification Calls erfolgen in der Regel in Englisch und während der Geschäftszeiten.

Durch die erweiterte Validierung und die Beschränkungen bei der Ausstellung wird es dem Kunden einfacher gemacht zu erkennen, dass ein Zertifikat aktiv ist und wer der Betreiber der Seite ist. Im Gegensatz zu den beiden anderen Arten von Zertifikatstypen wird hier nicht nur das kleine grüne Schloss angezeigt, sondern zusätzlich der Betreiber der Seite angezeigt.

Durch einen Klick auf den grünen Bereich erhält der Kunde/User weitere Informationen über den Betreiber der Webseite.

Die Vorteile dieses Zertifikattyps liegen somit klar auf der Hand. Besucher der Seite werden optisch sofort auf die SSL Verschlüsselung und das Unternehmen, das die Seite betreibt, hingewiesen. Weitere Informationen findet der Kunden mit nur ein oder zwei Klicks anstatt sich mühsam durch versteckte Details klicken zu müssen.

Zertifikate mit Unternehmens Validierung (OV)

Der nächste Zertifikatstyp ist das unternehmensvalidierte Zertifikat (OV). Bei diesem Zertifikat entspricht der Validierungsprozess weitesgehend dem der EV Zertifikate. Auch hier ist bereits vor der Bestellung wichtig, dass entsprechende Einträge in Whois, Handelsregister oder dem Telefonbuch abgeglichen werden. Sobald das Zertifikat ausgestellt wurde, erscheint neben der Domain auch das Unternehmen in den Zertifikatsdetails. Das gibt den Usern/Kunden die Sicherheit, dass es sich hier um eine existierende Firma handelt. In der Adresszeile des Browsers erscheint nur das grüne Schloss!

Zertifikate mit Domains Validierung (DV)

Die geringste Sicherheit bieten daneben die günstigen domainvalidierten Zertifikate (DV). Die Validierung erfolgt hier beispielsweise über eine Bestätigungs-E-Mail, die an eine vorgeschriebene Empfängeradresse versendet wird. In dieser E-Mail befindet sich ein Link über den der Auftrag bestätigen werden kann. Ist die Bestätigung erfolgt, wird das Zertifikat innerhalb weniger Minuten ausgestellt. Da bei diesem Zertifikatstyp keine weitere Prüfung stattfindet, gibt es innerhalb des Zertifikats keine Informationen zum Betreiber der Website, aber der Common Name wird gelistet.