08.10.2018 12:31 | Bundesdruckerei GmbH | Netzwelt
0 00,00 0 Bewertung(en) Bewertung schreiben
0 00,00 0 Bewertung(en) Bewertung schreiben
Von Vorhängeschlössern und grünen Unternehmensnamen: So sichern Zertifikate Webseiten (FOTO)
Foto: obs/Bundesdruckerei GmbH
Welcher Zertifikatstyp für welche Website: Infos rund um die verschiedenen Typen von Website-Zertifikaten. Weiterer Text über ots und www.presseportal.de/nr/14611 / Die Verwendung dieses Bildes ist für redaktionelle Zwecke honorarfrei. Veröffentlichung bitte unter Quellenangabe: "obs/Bundesdruckerei GmbH"
Berlin (ots) -
Google und andere Anbieter von Internetbrowsern forcieren aktuell
den Einsatz sogenannter SSL-Zertifikate. Diese ermöglichen einen
verschlüsselten Datentransfer zwischen dem Computer des
Internet-Nutzers und Webseiten. So warnt der Google-Browser Chrome
vor unverschlüsselten Seiten mit dem Hinweis "Nicht sicher". Umso
wichtiger wird es für Unternehmen und Behörden, die eigenen Webseiten
mit SSL-Zertifikaten zu schützen oder bestehende Zertifikate zu
aktualisieren. Zahlreiche Zertifizierungsstellen (Certification
Authorities, abgekürzt: CA) bieten Varianten von SSL-Zertifikaten an.
Im behördlichen und geschäftlichen Umfeld empfehlen die
IT-Sicherheitsexperten der Bundesdruckerei Zertifikatstypen mit
Identitätsnachweis. "Eine Webseite ist erst dann vertrauenswürdig und
sicher, wenn die Identität des Inhabers geprüft und bestätigt wurde",
sagt Dr. Kim Nguyen, Geschäftsführer der Bundesdruckerei-Tochter
D-TRUST, einem der größten Zertifikatsanbieter im EU-Raum.
SSL-Zertifikate werden von externen Zertifizierungsstellen
verschiedener EU-Staaten ausgegeben. Dazu zählt auch die
Zertifizierungsstelle "Let's Encrypt", deren Geschäftsmodell auf der
Ausgabe kostenloser Zertifikate basiert. Bei diesen Zertifikaten wird
jedoch die Identität des Seiteninhabers nicht überprüft. Somit können
auch Cyberkriminelle leicht an Zertifikate kommen und mit gefälschten
Webseiten Datenmissbrauch betreiben. Das Bundesamt für Sicherheit in
der Informationstechnik (BSI) warnt seit Jahren vor solchen
"gefälschten Zertifikaten".
Die europäische "Verordnung über elektronische Identifizierung und
Vertrauensdienste" (eIDAS) bezeichnet besonders vertrauenswürdige
Zertifizierungsstellen als qualifizierte Vertrauensdiensteanbieter.
Für diesen Status müssen Vertrauensdiensteanbieter die verschärften
EU-Vorgaben umsetzen und werden regelmäßig von den nationalen
Aufsichtsbehörden kontrolliert. Nguyen: "Qualifizierte
Vertrauensdiensteanbieter sind die europäische Antwort auf die Frage:
Wie lässt sich Vertrauen und Sicherheit in unsicheren Netzen
herstellen?"
SSL-Zertifikate lassen sich in die folgenden Typen und
Sicherheitsniveaus unterteilen (siehe auch Grafik).
1. Domainvalidierte Zertifikate
Am weitesten verbreitet ist die Domain-Validierung (Domain
Validation, abgekürzt: DV). Sie bietet die niedrigste
Sicherheitsstufe. Die Zertifizierungsstelle prüft bei diesem
Zertifikatstyp per E-Mail, ob der Auftraggeber auch Inhaber der
Domain ist. Die Identität des Antragstellers wird nicht überprüft.
Cyberkriminelle können also leicht DV-Zertifikate für ihre
gefälschten Webseiten erhalten. DV-Zertifikate gibt es kostenlos oder
zu günstigen Preisen bei Zertifizierungsstellen und Webhostern.
2. Organisationsvalidierte Zertifikate
Bei organisationsvalidierten SSL-Zertifikaten (Organization
Validation, abgekürzt: OV) findet zusätzlich zum Domaincheck eine
Identitätsprüfung der Organisation statt. Der Inhaber der Domain
weist sich durch Dokumente wie einen Handelsregisterauszug aus. So
wird ein Missbrauch weitgehend ausgeschlossen. OV-Zertifikate
erfüllen hohe Sicherheitsanforderungen und sind daher für Webseiten
von Unternehmen und Behörden erste Wahl. Sie werden von
kostenpflichtigen Zertifizierungsstellen und Webhostern vergeben.
3. Erweitert validierte Zertifikate
Das höchste Sicherheitsniveau bieten sogenannte erweitert
validierte Zertifikate (Extended Validation, abgekürzt: EV).
Zusätzlich zum Domaincheck und zur Organisationsvalidierung erfordern
sie einen individuellen Identitätsnachweis des Antragstellers. Dabei
wird geprüft, ob diese Person tatsächlich bei der Organisation
angestellt ist und ein EV-Zertifikat erwerben darf. Diese Zertifikate
sorgen für Sicherheit auf Online-Banking-Niveau. Zum Einsatz kommen
sie entsprechend vor allem bei Banken und Versicherungen sowie
einigen Online-Shops. Wie OV-Zertifikate werden sie von
kostenpflichtigen Zertifizierungsstellen und Webhostern vergeben.
4. QWACs
Eine besondere Form der EV-Zertifikate sind die qualifizierten
Webseitenzertifikate (Qualified Website Authentication Certificates,
abgekürzt: QWACs). Technisch entsprechen sie den EV-Zertifikaten,
hinzu kommt eine besonders hohe Rechtsverbindlichkeit im gesamten
EU-Raum. Diese basiert auf der eIDAS-Verordnung. "Qualifizierte
Webseitenzertifikate sind für Anwendungen mit den höchsten
Sicherheitsanforderungen interessant. Dazu gehört Banking gemäß der
neuen EU-Zahlungsrichtlinie PSD2, aber auch die digitale Vernetzung
von Registern bei Behörden", erläutert Nguyen. QWACs dürfen nur von
qualifizierten Vertrauensdiensteanbietern mit Sitz in der EU
herausgegeben werden. In Europa ist D-TRUST aktuell einer der wenigen
Anbieter von QWACs.
Gemeinsam mit anderen Browser-Anbietern plant Google, die
visuellen Hinweise, an denen der User den Zertifikatstyp und damit
das Sicherheitsniveau erkennt, weitestgehend zu entfernen. Das sind
zum Beispiel ein grünes Vorhängeschloss oder der Organisationsname in
grüner Schrift. Sollten zukünftig nur noch Warnhinweise vor
unverschlüsselten SSL-Verbindungen im Browser sichtbar sein, bedeutet
dies für Nguyen einen Eingriff in die digitale Souveränität in
Europa: "Europäischen Internet-Nutzern wird die Möglichkeit genommen,
auf den ersten Blick in der Adresszeile zu erkennen, wer hinter einer
Webseite steht", so Nguyen. "Sollte Google sein Interesse
durchsetzen, wird der Anreiz für Webseitenbetreiber sinken, solche
sicheren OV-Zertifikate einzusetzen. Dem Verbraucher würden somit
zusätzliche Informationen über die Organisation im Zertifikat
vorenthalten."
Auf der IT-Sicherheitsmesse it-sa vom 9. bis 11. Oktober in
Nürnberg berät die Bundesdruckerei auf ihrem Stand (Halle 10)
Organisationen bei der Zertifikatsauswahl. Weitere Infos gibt es
unter www.bundesdruckerei.de.
Pressekontakt:
Marc Thylmann
Pressesprecher
Bundesdruckerei GmbH
Tel.: +49 (0)30 2598 2810
E-Mail: marc.thylmann@bdr.de
Original-Content von: Bundesdruckerei GmbH, übermittelt durch news aktuell
Google und andere Anbieter von Internetbrowsern forcieren aktuell
den Einsatz sogenannter SSL-Zertifikate. Diese ermöglichen einen
verschlüsselten Datentransfer zwischen dem Computer des
Internet-Nutzers und Webseiten. So warnt der Google-Browser Chrome
vor unverschlüsselten Seiten mit dem Hinweis "Nicht sicher". Umso
wichtiger wird es für Unternehmen und Behörden, die eigenen Webseiten
mit SSL-Zertifikaten zu schützen oder bestehende Zertifikate zu
aktualisieren. Zahlreiche Zertifizierungsstellen (Certification
Authorities, abgekürzt: CA) bieten Varianten von SSL-Zertifikaten an.
Im behördlichen und geschäftlichen Umfeld empfehlen die
IT-Sicherheitsexperten der Bundesdruckerei Zertifikatstypen mit
Identitätsnachweis. "Eine Webseite ist erst dann vertrauenswürdig und
sicher, wenn die Identität des Inhabers geprüft und bestätigt wurde",
sagt Dr. Kim Nguyen, Geschäftsführer der Bundesdruckerei-Tochter
D-TRUST, einem der größten Zertifikatsanbieter im EU-Raum.
SSL-Zertifikate werden von externen Zertifizierungsstellen
verschiedener EU-Staaten ausgegeben. Dazu zählt auch die
Zertifizierungsstelle "Let's Encrypt", deren Geschäftsmodell auf der
Ausgabe kostenloser Zertifikate basiert. Bei diesen Zertifikaten wird
jedoch die Identität des Seiteninhabers nicht überprüft. Somit können
auch Cyberkriminelle leicht an Zertifikate kommen und mit gefälschten
Webseiten Datenmissbrauch betreiben. Das Bundesamt für Sicherheit in
der Informationstechnik (BSI) warnt seit Jahren vor solchen
"gefälschten Zertifikaten".
Die europäische "Verordnung über elektronische Identifizierung und
Vertrauensdienste" (eIDAS) bezeichnet besonders vertrauenswürdige
Zertifizierungsstellen als qualifizierte Vertrauensdiensteanbieter.
Für diesen Status müssen Vertrauensdiensteanbieter die verschärften
EU-Vorgaben umsetzen und werden regelmäßig von den nationalen
Aufsichtsbehörden kontrolliert. Nguyen: "Qualifizierte
Vertrauensdiensteanbieter sind die europäische Antwort auf die Frage:
Wie lässt sich Vertrauen und Sicherheit in unsicheren Netzen
herstellen?"
SSL-Zertifikate lassen sich in die folgenden Typen und
Sicherheitsniveaus unterteilen (siehe auch Grafik).
1. Domainvalidierte Zertifikate
Am weitesten verbreitet ist die Domain-Validierung (Domain
Validation, abgekürzt: DV). Sie bietet die niedrigste
Sicherheitsstufe. Die Zertifizierungsstelle prüft bei diesem
Zertifikatstyp per E-Mail, ob der Auftraggeber auch Inhaber der
Domain ist. Die Identität des Antragstellers wird nicht überprüft.
Cyberkriminelle können also leicht DV-Zertifikate für ihre
gefälschten Webseiten erhalten. DV-Zertifikate gibt es kostenlos oder
zu günstigen Preisen bei Zertifizierungsstellen und Webhostern.
2. Organisationsvalidierte Zertifikate
Bei organisationsvalidierten SSL-Zertifikaten (Organization
Validation, abgekürzt: OV) findet zusätzlich zum Domaincheck eine
Identitätsprüfung der Organisation statt. Der Inhaber der Domain
weist sich durch Dokumente wie einen Handelsregisterauszug aus. So
wird ein Missbrauch weitgehend ausgeschlossen. OV-Zertifikate
erfüllen hohe Sicherheitsanforderungen und sind daher für Webseiten
von Unternehmen und Behörden erste Wahl. Sie werden von
kostenpflichtigen Zertifizierungsstellen und Webhostern vergeben.
3. Erweitert validierte Zertifikate
Das höchste Sicherheitsniveau bieten sogenannte erweitert
validierte Zertifikate (Extended Validation, abgekürzt: EV).
Zusätzlich zum Domaincheck und zur Organisationsvalidierung erfordern
sie einen individuellen Identitätsnachweis des Antragstellers. Dabei
wird geprüft, ob diese Person tatsächlich bei der Organisation
angestellt ist und ein EV-Zertifikat erwerben darf. Diese Zertifikate
sorgen für Sicherheit auf Online-Banking-Niveau. Zum Einsatz kommen
sie entsprechend vor allem bei Banken und Versicherungen sowie
einigen Online-Shops. Wie OV-Zertifikate werden sie von
kostenpflichtigen Zertifizierungsstellen und Webhostern vergeben.
4. QWACs
Eine besondere Form der EV-Zertifikate sind die qualifizierten
Webseitenzertifikate (Qualified Website Authentication Certificates,
abgekürzt: QWACs). Technisch entsprechen sie den EV-Zertifikaten,
hinzu kommt eine besonders hohe Rechtsverbindlichkeit im gesamten
EU-Raum. Diese basiert auf der eIDAS-Verordnung. "Qualifizierte
Webseitenzertifikate sind für Anwendungen mit den höchsten
Sicherheitsanforderungen interessant. Dazu gehört Banking gemäß der
neuen EU-Zahlungsrichtlinie PSD2, aber auch die digitale Vernetzung
von Registern bei Behörden", erläutert Nguyen. QWACs dürfen nur von
qualifizierten Vertrauensdiensteanbietern mit Sitz in der EU
herausgegeben werden. In Europa ist D-TRUST aktuell einer der wenigen
Anbieter von QWACs.
Gemeinsam mit anderen Browser-Anbietern plant Google, die
visuellen Hinweise, an denen der User den Zertifikatstyp und damit
das Sicherheitsniveau erkennt, weitestgehend zu entfernen. Das sind
zum Beispiel ein grünes Vorhängeschloss oder der Organisationsname in
grüner Schrift. Sollten zukünftig nur noch Warnhinweise vor
unverschlüsselten SSL-Verbindungen im Browser sichtbar sein, bedeutet
dies für Nguyen einen Eingriff in die digitale Souveränität in
Europa: "Europäischen Internet-Nutzern wird die Möglichkeit genommen,
auf den ersten Blick in der Adresszeile zu erkennen, wer hinter einer
Webseite steht", so Nguyen. "Sollte Google sein Interesse
durchsetzen, wird der Anreiz für Webseitenbetreiber sinken, solche
sicheren OV-Zertifikate einzusetzen. Dem Verbraucher würden somit
zusätzliche Informationen über die Organisation im Zertifikat
vorenthalten."
Auf der IT-Sicherheitsmesse it-sa vom 9. bis 11. Oktober in
Nürnberg berät die Bundesdruckerei auf ihrem Stand (Halle 10)
Organisationen bei der Zertifikatsauswahl. Weitere Infos gibt es
unter www.bundesdruckerei.de.
Pressekontakt:
Marc Thylmann
Pressesprecher
Bundesdruckerei GmbH
Tel.: +49 (0)30 2598 2810
E-Mail: marc.thylmann@bdr.de
Original-Content von: Bundesdruckerei GmbH, übermittelt durch news aktuell
Schlagwörter
Internet , obs , Zertifikate , it-sa , Computer , ITSecurity , Bild , SSL-Zertifikate , Netzwelt , Wirtschaft ,
Das könnte Sie auch interessieren
Eishockey exklusiv bei MagentaSport, Freitag 19 Uhr Finale 5: Bremerhaven - Berlin / Nach der "Ty Ronning Show" ist Berlin titelreif, Popiesch trotzig: "Waren 2 Drittel die klar bessere Mannschaft"
München (ots) - Die "Ty Ronning-Show" verschafft den Eisbären den Matchball in den Finals um die Deutsche Meisterschaft: nach dem 4:1-Erfolg gegen Bremerhaven führt Berlin mit 3:1 in der Serie, brau...Artikel lesenVerhältnis zu Diktaturen: Die AfD muss sich erklären / Kommentar von Thomas Fricker
Freiburg (ots) - Der Vorwurf gegen Jian G. ist gravierend, und sein Chef Krah ist kein Hinterbänkler der in weiten Teilen rechtsextremen Partei. Krah ist deren Spitzenkandidat für die Europawahl. So...Artikel lesen"Berliner Morgenpost": Laute AfD auf einmal ganz still / Kommentar von Jan Dörner zu den jüngsten Vorwürfe gegen die Partei
Berlin (ots) - Kleinlaut ist die AfD-Spitze normalerweise nicht. Gerne teilt die Partei kräftig aus, wenn sie Verfehlungen von der Bundesregierung oder anderen Parteien zu erkennen glaubt. Geht es a...Artikel lesen"Berliner Morgenpost": Von wegen faul / Leitartikel von Birgitta Stauber über eine verkannte Jugend
Berlin (ots) - Es gibt viele Meinungen zur Generation Z, und meistens sind sie nicht sehr positiv. Im Zentrum steht der Vorwurf, die jungen Männer und Frauen seien nicht mehr so belastbar, stattdess...Artikel lesenLANZAJET ERHÄLT INVESTITION AUS DEM CLIMATE INNOVATION FUND VON MICROSOFT ZUR UNTERSTÜTZUNG SEINES WEITEREN WACHSTUMS
Chicago (ots/PRNewswire) - Microsofts jüngste Investition fördert die Skalierung und den weltweiten Einsatz der LanzaJet-Technologie zur Herstellung von nachhaltigem Flugtreibstoff und grünem Diesel...Artikel lesenMeistgelesen
- Der goldene Hase in München (FOTO)
- Das Erste: "Verliebt in Kroatien" (FOTO)
- PwC: Authentifizierung per Fingerabdruck ist im Mobile Banking eine Generationenfrage
- DER BESTE EXPORT SEIT LEGO! / Standing Ovations für den LADYDOC aus Dänemark / Sensation beim 14. Internationalen Speaker Slam
- Masters of Dance: Perfekte Harmonie (FOTO)
Meist kommentiert
- Quietschgelber Bienenfutter Automat in Fischbachtal
- Stoppt die Überfischung in der Ostsee: Deutsche Umwelthilfe und Our Fish fordern konsequente Umsetzung der wissenschaftlichen Empfehlungen für 2022
- Der Hund ist, was er isst
- Das Erste: "Und wenn das fünfte Lichtlein brennt" (AT): Weihnachtliche Komödie mit Henning Baum, Elena Uhlig, Meike Droste, Michael Lott, Max von Pufendorf, Daniel Donskoy, Tim Kalkhof u.v.m. im Dreh (FOTO)
- Einzigartiges Quiz-Tainment am Vorabend: Ruth Moschner und Steven Gätjen moderieren neue Quiz-Shows in SAT.1 (FOTO)