FAQ SSL certificates

Was ist SSL?

SSL ist die Abkürzung von Secure Sockets Layer bzw. sein Nachfolger TLS für Transport Layer Security. Es handelt sich in beiden Fällen um ein Protokoll zur sicheren Übertragung von Daten über das Internet. Sie erkennen eine sichere Datenübertragung am vorangestellten https:// vor dem Domainnamen, z.B. https://www.fritz.gmbh/.

Wozu benötige ich ein (kostenpflichtiges) SSL-Zertifikat?

Um eine Webseite / einen Webserver wie den Apache oder Microsoft IIS mit einer SSL-Verschlüsselung zu schützen, muss man für die Domain ein SSL Zertifikat erstellen und installieren. Dafür benötigt man als Erstes eine Zertifikat-Anfrage (CSR / Certificate Signing Request). Diese Anfrage kann man selbst unterschreiben und erhält darauf sein eigenes SSL-Zertifikat. Problem dabei: Ein Browser wie der Internet Explorer stuft ein selbsterstelltes Zertifikat als nicht vertrauenswürdig ein.

Für Intranet und Demozwecke ist das in Ordnung, aber für Besucher eines Onlineshops / Onlinebanking auf keinen Fall.
Sie benötigen ein SSL-Zertifikat von einer vertrauenswürdigen Stammzertifizierungsstelle wie Geotrust, damit der Browser keine störenden Warnungen meldet!

Warum nicht das kostenlose Let's Encrypt SSL?

Let's Encrypt ist ein kostenloses SSL und steht in der Sicherheit den kostenpflichtigen SSL-Zertifikaten in nichts nach, ABER dieses ist max. 90 Tage gültig und muss danach verlängert und neu eingebunden werden.
1. Es besteht hier eine hohe Gefahr, dass eine automatische Verlängerung fehlschlägt und Ihre Webseite somit ohne ein gültiges SSL erreichbar ist. Das ist wesentlich schlechter, als wenn die Webseite gar kein SSL hätte, denn bei einem abgelaufenen SSL wird eine Fehlerseite angezeigt ("Wollen Sie der Webseite vertrauen?"), was sehr viele Besucher abspringen läßt! Bis Sie das bemerken, entgehen Ihnen ggf. hohe Umsätze oder Sie verlieren potenzielle Neukunden - in jedem Fall kostet Ihnen das mehr als ein günstiges, kommerzielles SSL!
2. Let's Encrypt bietet mittlerweile auch SSL Wildcard Zertifikate an. Sollten alle Subdomains auf nur 1 Server gehostet sein, so müssen Sie nur alle Vhost Einträge entsprechend ändern. Spätestens wenn die Einträge auf mehrere Dateien verteilt sind oder auf mehrere Server, so wird das zur Tortur. Die Arbeitszeit rechtfertigt den Aufwand nicht und wir empfehlen hier alternativ günstige SSL Wildcard Zertifikate mit 2 Jahren Laufzeit.

Sicherheitsstufe

Welches Zertifikat soll ich denn jetzt nehmen?

Normale Webseite oder Shop / Intranet / Microsoft Exchange 2003
Hier bieten sich günstige SSL Zertifikate an:
z.B. Sectigo PositiveSSL, RapidSSL, AlphaSSL

Mailserver, Microsoft Exchange ab 2007
Hier müssen normal mehrere Domainnamen wie owa./autodiscover./smtp.DOMAIN oder pop3/imap/smtp/webmail.DOMAIN mit 1 SSL Zertifikat abgedeckt werden und dazu benötigt man ein SAN fähiges SSL-Zertifikat.
z.B. Sectigo PositiveSSL MultiDomain, Geotrust QuickSSL Premium

Bekannte Firma
Mit einem Organization Validated SSL steht im Zertifikat zusätzlich die Firma und Adresse des Zertifikatinhabers.
z.B. Geotrust True BusinessID

Seriösität/Vertrauen sehr wichtig z.B. Banken / Versicherungen / Zahlungsdienstleister / sehr bekannter Shop
Sie benötigen dazu ein Extended Validation SSL.
z.B. Sectigo mit EV , Geotrust True BusinessID mit EV.

Wodurch unterscheiden sich die SSL-Zertifikate?

Generell können Sie alle unsere SSL-Zertifikate einsetzen, ohne das es zu einer Fehlermeldung beim Aufruf von https:// kommt!
 
"Jedes unserer SSL Zertifikate ist gleich sicher!"
 
Wodurch unterscheiden sich die Zertifikate?
 
Enthaltene Informationen
Je nachdem, wie wichtig Ihnen die Vertrauenswürdigkeit Ihres SSL-Zertifikats ist, werden die Server Zertifikate unterschiedlich stark geprüft.
Klicken Sie auf das Sicherheitsschloß bei einer SSL gesicherten Webseite, so stehen dort Informationen über den Inhaber der Webseite. Bei AlphaSSL / DomainSSL steht nur der Domainname, bei OrgaSSL steht zusätzlich der Firmenname des Betreibers dabei und bei ExtendedSSL färbt sich die Adressleiste zusätzlich grün für maximale Sicherheit.
 
Mehr enthaltene Leistungen / Möglichkeiten
Zusätzlich sind bei allen GeoTrust Produkten mehr Zusatzleistungen möglich, z.B. GeoTrust Web Site Anti-Malware Scan. Mehr Möglichkeit eröffnen SAN-Domains / SAN-Subdomains für zusätzliche Domainnamen (Subject Alternative Names, wichtig für Microsoft Exchange).

SGC (Server Gated Cryptography)
Dies aktualisiert einen 40-Bit-Browser automatisch auf 128-Bit-Verschlüsselung. Symantec als unser einziger Anbieter für SGC Sicherheit läßt sich dieses Feature gut und teuer bezahlen. Benötigt wird dieses Feature aber nur für Geräte, die keine 128-bit Verschlüsselung unterstützen, z.B. alte Geldautomaten.
 
Enthalten bei: digicert Secure Site Pro, digicert Secure Site Pro mit EV

"Grüne Adressleiste"
Die grüne Adressleiste des Browsers signalisierte früher höchste Sicherheit und war ausschließlich bei den Extended Validated SSL Zertifikaten (EV SSL) erhältlich. Wir bieten hier Zertifate von Sectigo, digicert, Geotrust und Globalsign an.

Subject Alternative Names (SANs)
Mit Subject Alternative Names können Sie mit einem Zertifikat mehrere Hostnamen in einem Zertifikat abdecken. So können Sie auf 1 IP-Adresse mehrere SSL Seiten betreiben - praktisch für z.B. Exchange Server.

Wildcard SSL Zertifikat
Sie haben eine Domain z.B. example.de und möchten mehrere Subdomains schützen, z.B. intranet.example.de, extranet.example.de und kunden.example.de. Dafür benötigen Sie 3 SSL Zertifikate und 3 IP-Adressen oder 1 Wildcard SSL Zertifikat und 1 IP-Adresse. Zudem kommt 1 Wildcard SSL meistens günstiger als 2 oder mehr einzelne SSL Zertifikate.

Unterschied zwischen Wildcard SSL und SAN?
1. Ein Wildcard SSL Zertifikat unterstützt beliebige Subdomains EINES Hostnames (*.example.de), aber nicht anderslautende Hostnamen (example.de <> example.com)!
2. Ein Wildcard SSL unterstützt nur Subdomains der 1. Ebene (www.domain.de, 1.domain.de, 2.domain.de, ...), aber nicht für weitere Ebenen (z.B. www.1.domain.de ist mit Wildcard nicht möglich!). Für diesen Fall benötigt man eine SAN-Subdomain für jede Subdomain bzw. ein Wildcard-SAN bei einem SAN-SSL. Ein Wildcard der Form *.*.DOMAIN gibt es nicht.

Muss ich einen Webserver bei der Fritz Managed IT GmbH haben oder kann ich die Zertifikate auch separat bestellen?

Alle unsere SSL-Produkte können völlig unabhängig von unseren Hosting Produkten bestellt werden.

^* Prices including German VAT of 19% for German consumers or consumers outside the EU. For consumers within the EU, their respective country-specific VAT applies.