Google will unverschlüsselte Websites markieren

Integration von SSL-Zertifikaten wird zur Pflicht

Fulda – Online-Händler, deren Webformulare Daten unverschlüsselt übertragen, werden künftig nicht mehr nur von Datenschutzbehörden mahnend angeschrieben. Auch der Suchmaschinenriese Google will bald alle Webseiten ohne SSL-Verschlüsselung mit einem roten X markieren. Darauf weisen die IT-Sicherheitsexperten der PSW GROUP (www.psw-group.de) hin.

Offenbar ist das nun Googles nächster Schritt, um das Internet sicherer zu machen, nachdem schon seit 2014 HTTPS ein Ranking-Signal ist. Bereits seit Sommer jenen Jahres listet Google mit HTTPS verschlüsselte Webseiten in den Suchergebnissen besser. „Nahezu jede Website enthält heutzutage die Möglichkeit, sensible Daten einzugeben: Kontaktformulare, Bestellformulare für Online-Shops oder Kommentarfunktionen, zu deren Nutzung Kunden mindestens ihren Namen und ihre E-Mail-Adresse angeben müssen. Um den Austausch sensibler Daten abzusichern, gibt es SSL/TLS-Zertifikate; deren Aufgabe es ist, die Kommunikation zwischen Server und Client zu verschlüsseln. Somit ist es unbefugten Dritten nicht mehr möglich, die Daten mitzulesen“, erklärt Christian Heutger, Geschäftsführer der PSW GROUP.

OpenSSL: kostenloses Toolkit für die einfache Zertifikatserstellung

Um ein SSL/TLS-Zertifikat zu erstellen, rät der IT-Sicherheitsexperte zur Installation eines Toolkits, mit dem sich die SSL/TLS-Zertifikate auch verwalten lassen. „OpenSSL gehört hier zu den am meisten verbreiteten Lösungen. Bevor das eigentliche SSL-Zertifikat erstellt werden kann, muss jedoch zunächst ein Certificate Signing Request, kurz CSR, angelegt werden. Die CSR wird für die Bestellung des eigentlichen SSL/TLS-Zertifikats bei einer Zertifizierungsstelle benötigt. Im CSR sind Informationen über den Antragsteller und der zu verschlüsselnden Domain gespeichert, außerdem findet sich hier der öffentliche Schlüssel für die Verschlüsselung von Daten“, informiert Heutger.

Auf dem Server erzeugt der Anwender nun ein Schlüsselpaar, das aus dem privaten Schlüssel und der CSR selbst besteht. Da das SSL/TLS-Zertifikat ausschließlich mit der angegebenen Domain genutzt werden kann, empfiehlt Heutger diese so exakt wie möglich, beispielsweise als „www.example.com“ und nicht verkürzt als example.com, im CSR anzugeben. „Der private Schlüssel darf unter keinen Umständen veröffentlicht oder Dritten anvertraut werden! Er ist untrennbar mit dem SSL/TLS-Zertifikat verbunden und dient der Entschlüsselung der Daten. Auf dem Server wird der Zugriff auf den Private Key übrigens über Dateizugriffsrechte geschützt. Wir raten jedoch zusätzlich zu einer Sicherheitskopie der .key-Datei, die ebenfalls vor unbefugtem Zugriff geschützt werden sollte“, mahnt Heutger.

Aufgrund von Schwierigkeiten mit Browser-Kompatibilitäten betrachtet der Experte die Möglichkeit, ein eigenes SSL-Zertifikat zu erstellen, als kritisch: „SSL/TLS-Zertifikate sollten so ausgestellt werden, dass auch ältere Internet Explorer-Versionen sowie sämtliche mobilen Browser und selbst Exoten wie Opera Mobile einbezogen werden. Hinzu kommt, dass mit selbst erstellten Zertifikaten die Identitätsprüfung der Zertifizierungsstellen wegfällt, sodass ein wertvoller Zweck des Zertifikats, nämlich die Authentifizierung, verlorengeht“, so Christian Heutger.

SSL/TLS-Zertifikate: Ab 3,60 Euro monatlich für solide Datensicherheit

SSL/TLS-Zertifikate sind bereits ab 15 Euro jährlich erhältlich. Hierbei handelt es sich um domainvalidierte Zertifikate, bei denen eine Zertifizierungsstelle prüft, ob der Antragsteller der Domaininhaber ist. „Die für den Verbraucher Vertrauen-spendenden Zeichen im Browser sind kaum sichtbar, für private Websites wie Blogs ist das aber völlig in Ordnung“, so Christian
Heutger.

Betreibern kommerzieller Blogs und geschäftlicher Websites rät er dagegen zu organisationsvalidierten SSL/TLS-Zertifikaten, bei denen die Prüfung über die Inhaberschaft der Domain hinaus geht. Domainvalidierte Einzelzertifikate mit einer Laufzeit von einem Jahr sind bei PSW GROUP bereits ab 49 Euro erhältlich. Wer die Laufzeit auf drei Jahre erhöhen möchte, zahlt je Zertifikat sogar nur noch 43 Euro pro Jahr. Das entspricht monatlich gerade einmal 3,60 Euro für Sicherheit und Marketing.

„Idealerweise sollten Extended Validation (EV)-Zertifikate verwendet werden. Die Prüfung durch die Zertifizierungsstelle bedingt auch Dokumente, die das Vorhandensein der Organisation belegen, etwa einen Handelsregisterauszug. Auch die Darstellung im Browser wird umfangreicher: EV-Zertifikate lassen die Adressleiste in Browsern grün werden, wodurch der Datenschutzgedanke für Benutzer sofort sichtbar und die Identität mit einem Klick auf die Adressleiste nachvollziehbar wird“, erklärt Christian Heutger. Zertifikate, die die bestmögliche Validierung und die höchsten Branchensicherheitsstandards garantieren, kosten ab 199 Euro jährlich. Die PSW GROUP offeriert EV-Zertifikate mit einer Laufzeit von zwei Jahren ab 349 Euro – was einem Monatspreis von 14,55 Euro entspricht.

Quelle: PSW GROUP