5 Dinge, die Webseiteninhaber über SSL-Zertifikate wissen sollten

User-Daten DSGVO-konform schützen 5 Dinge, die Webseiteninhaber über SSL-Zertifikate wissen sollten

10.07.2018Autor / Redakteur: Stefan Moritz* / Georgina Bott |

Seit dem 25. Mai 2018 müssen Webseiteninhaber sicherstellen, dass personenbezogene Daten von EU-Bürgern effektiv vor dem Zugriff Dritter geschützt werden. SSL-Zertifikate sind hier eine Möglichkeit, denn sie verschlüsseln den Datentransfer zwischen Webseite und Server.

Anbieter zum Thema

Schindler Parent GmbH

Vogel Communications Group GmbH & Co. KG

eviom GmbH

1. DV, OV oder EVD – das richtige Sicherheitslevel

Unternehmen können zwischen drei verschiedenen SSL-Zertifikaten wählen, die sich in puncto Sicherheit unterscheiden. Bei Anfrage eines DV-Zertifikats (Domain Validation) überprüft die beauftragte Zertifizierungsstelle lediglich, ob der Antragsteller auch tatsächlich der Inhaber der genannten Domain ist. Das Zertifikat wird dann innerhalb von wenigen Minuten ausgestellt. Bei einem OV-Zertifikat (Organization Validation) und einem EV-Zertifikat (Extended Validation) wird hingegen zusätzlich die Identität des Unternehmens validiert – letzteres ist dabei die sicherste Variante mit der umfangreichsten Prüfung.

Für welches der Zertifikate sich ein Unternehmen entscheidet, hängt von der zu schützenden Website ab. Bei Seiten, die keine persönlichen Daten des Users abfragen, reicht ein DV-Zertifikat. Ist ein Login erforderlich, sollte die Seite jedoch mindestens mit einem OV-Zertifikat gesichert werden. Für E-Commerce und Banking ist ein EV-Zertifikat Pflicht.

2. Visuelle Sicherheitsbeweise

SSL-Zertifikate haben neben der Sicherung des Datenverkehrs noch einen weiteren entscheidenden Vorteil: Sie liefern dem User visuelle Beweise für die Vertrauenswürdigkeit der Webseite. So erscheint links im Browser „https“ statt „http“ sowie ein grünes Schloss-Icon, wenn ein SSL-Zertifikat aktiv ist. Bei einem EV-Zertifikat wird zusätzlich der rechtsgültige und eingetragene Unternehmensname in der Adresszeile grün hervorgehoben – je nach Browser färbt sich auch die komplette Adresszeile grün. Ob sich ein Unternehmen für ein EV-Zertifikat oder ein kostengünstigeres DV-Zertifikat entscheidet, ist also nicht nur eine finanzielle Frage. Vielmehr müssen Markeninhaber überlegen, wie sie vor den Kunden auftreten wollen oder müssen – denn visuelle Sicherheitsmerkmale erhöhen auch das Vertrauen der User.

3. Seriöse Zertifizierungsstelle

SSL-Zertifikat ist nicht gleich SSL-Zertifikat – es kommt auch immer auf die Seriosität der Zertifizierungsstelle – auch Certification Authority (CA) genannt – an. 2014 etwa hatten mehrere große Internetunternehmen irrtümlich gefälschte Zertifikate erworben. Die Folge: Betrüger fingen die Paypal-Daten von Kunden der Spieleplattform Steam über mindestens drei Monate hinweg ab. Unternehmen sollten also auch bei der Wahl der Zertifizierungsstelle wachsam sein. Anbieter von Markenschutz-Lösungen geben hier Hilfestellung und schlagen vertrauenswürdige CAs vor – wie etwa das US-amerikanische Unternehmen DigiCert, das derzeit eine der größten seriösen Zertifizierungsstellen ist.

4. Laufzeit der Zertifikate

In der Regel werden SSL-Zertifikate nicht einmalig, sondern mit einer Laufzeit ausgestellt – meist umfasst diese zwei Jahre. Gerade für große Unternehmen mit vielen verschiedenen Domains bedeutet dies einen erheblichen Überwachungsaufwand – der allein mit Excel-Tabellen kaum zu stemmen ist. Abhilfe können Provider schaffen, die Zertifikate in einem übersichtlichen Dashboard listen und automatisiert darauf hinweisen, sobald ein neues erforderlich ist.

5. Verbessertes Google-Suchranking

Neben der EU-Datenschutz-Grundverordnung üben auch große Software-Konzerne wie Google oder Mozilla immer mehr Druck auf Unternehmen aus, ihre Webseiten mit SSL-Zertifikaten zu sichern. Google rankt etwa Seiten mit Zertifizierung um bis zu fünf Prozent höher als ungesicherte. Ab Juli 2018 will Google Chrome zudem mit einem durchgestrichenen Schloss-Icon auf ein fehlendes SSL-Zertifikat hinweisen. Mozilla Firefox hat dies bereits umgesetzt und macht User mit einem durchgestrichenen Schloss auf nicht gesicherte Verbindungen aufmerksam, wenn eine Website etwa einen Login verlangt. Beide Unternehmen planen zudem, erweiterte Browser Features nur noch für gesicherte Seiten bereitzustellen.