Was ist ein Wildcard-Domain-Zertifikat?

Ein Wildcard-Zertifikat ist ein TLS-Zertifikat, das anstelle einer Subdomain ein Sternchen verwendet, zum Beispiel *.example.com, sodass ein einziges Zertifikat die Basisdomain und alle ihre Subdomains der ersten Ebene sichert. 

Ein Wildcard-Zertifikat sichert eine Domain und alle ihre Subdomains der ersten Ebene mit einem einzigen Zertifikat und einem zugehörigen privaten Schlüssel. Dadurch benötigt eine Organisation kein separates Zertifikat für jede Subdomain. Es kann bei der Domainvalidierung (DV) oder Organisationsvalidierung (OV) ausgestellt werden, jedoch niemals bei der erweiterten Validierung (EV). Da alle geschützten Subdomains denselben privaten Schlüssel verwenden, kann eine einzige Kompromittierung oder ein Ablauf des Zertifikats alle vom Zertifikat geschützten Websites gleichzeitig lahmlegen. 

Wichtige Erkenntnisse 

• Ein Wildcard-Zertifikat, wie z. B. *.example.com, deckt die Basisdomäne und alle Subdomänen der ersten Ebene mit einem einzigen Zertifikat ab und reduziert so den Verwaltungsaufwand. 
• Wildcard-Zertifikate können gemäß den Regeln des CA/Browser Forums als DV oder OV, aber nicht als EV ausgestellt werden, da für EV die Validierung einer bestimmten benannten Entität und Domäne erforderlich ist. 
• Alle betroffenen Subdomains verwenden denselben privaten Schlüssel, sodass ein kompromittierter Schlüssel oder ein abgelaufenes Zertifikat alle Subdomains gleichzeitig betrifft, wie Epic Games bei einem Ausfall im Mai 2018 erfahren musste. 
• Ein Wildcard-Zertifikat deckt nur eine Subdomain-Ebene ab: *.example.com deckt nicht sub.sub.example.com ab. Tiefere Subdomain-Strukturen erfordern ein separates Wildcard-Zertifikat oder ein Multi-Domain-Zertifikat (SAN). 
• Öffentliche Wildcard-Zertifikate unterliegen dem gleichen Ablauf der abnehmenden Gültigkeitsdauer wie andere TLS-Zertifikate: 200 Tage heute, sinkend auf 100 Tage im Jahr 2027 und 47 Tage im Jahr 2029. 

Was ist ein Wildcard-Zertifikat?

Ein Wildcard-Zertifikat ist ein öffentliches Schlüsselzertifikat , das eine Domain und eine unbegrenzte Anzahl ihrer Subdomains der ersten Ebene schützt und von einer vertrauenswürdigen öffentlichen Zertifizierungsstelle ausgestellt wird. Ein einziges *.example.com-Zertifikat kann www.example.com, shop.example.com, mobile.example.com und jede andere Subdomain der ersten Ebene sichern, anstatt für jede Subdomain ein separates Zertifikat zu benötigen.

So funktioniert ein Wildcard-Zertifikat

Das Platzhalterzeichen (*) im Feld „Allgemeiner Name“ oder „Alternativer Antragstellername“ des Zertifikats steht für eine beliebige Subdomain an dieser Position. Für eine Organisation mit www.example.com, pki.example.com und codesign.example.com ersetzt ein einziges *.example.com-Platzhalterzertifikat drei separate Einzeldomain-Zertifikate und deckt automatisch alle später hinzugefügten Subdomains der ersten Ebene ohne zusätzliche Kosten ab. 

Wildcard-Zertifikate können als DV-Zertifikate ausgestellt werden, deren Verifizierung innerhalb weniger Minuten durch den Nachweis des Domaininhabers erfolgt, oder als OV-Zertifikate, bei denen die verifizierten Organisationsdaten dem Zertifikat hinzugefügt werden. Sie können nicht als EV-Zertifikate ausgestellt werden, da die EV-Validierung auf einer spezifischen, namentlich genannten Organisation und Domain basiert und nicht auf einer offenen Menge von Subdomains. 

Was ein Wildcard-Zertifikat abdeckt und was nicht.

Zertifikat	Covers
* .example.com	example.com und alle Subdomains der ersten Ebene: www, shop, mobile usw.
*.sub.example.com	Nur sub.example.com und seine Subdomains erster Ebene, nicht example.com selbst.
Nicht abgedeckt durch *.example.com	Subdomains zweiter Ebene wie abexample.com und die Domain example.com ohne explizite Angabe.

Für eine mehrstufige oder domänenübergreifende Abdeckung ist entweder ein separates Wildcard-Zertifikat für jede Subdomänenebene oder ein Multi-Domain-Zertifikat ( SAN ) erforderlich, das jeden erforderlichen Namen explizit auflistet.

Wildcard-, Einzel- und Multi-Domain-(SAN)-Zertifikate

Typ	Abdeckung	Optimale Bildschirmwahl
Einzeldomänenzertifikat	Ein vollständig qualifizierter Domainname.	Eine einzige Website ohne zu sichernde Subdomains.
Wildcard-Zertifikat	Eine Domain und alle ihre Subdomains erster Ebene.	Viele Subdomains unter einer Basisdomain, die häufig hinzugefügt oder geändert werden.
Multi-Domain (SAN)-Zertifikat	Eine festgelegte Liste spezifischer Domains und Subdomains, die im Zertifikat aufgeführt sind.	Ein fester Satz von nicht miteinander verbundenen Domänen oder Subdomänen auf verschiedenen Ebenen.

Vorteile von Wildcard-Zertifikaten

• Sichert eine unbegrenzte Anzahl von Subdomains der ersten Ebene mit einem einzigen Zertifikat. 
• Vereinfacht die Zertifikatsverwaltung: Statt vieler muss nur noch ein Zertifikat erneuert und bereitgestellt werden. 
• Ist kostengünstiger als der Kauf und die Verwaltung eines separaten Zertifikats für jede Subdomain. 
• Neue Subdomains werden automatisch abgedeckt, ohne dass auf ein neues Zertifikat für den Start einer Website gewartet werden muss. 

Risiken von Wildcard-Zertifikaten

Die gleiche Eigenschaft, die Wildcard-Zertifikate so praktisch macht – ein privater Schlüssel, der viele Subdomains abdeckt – ist gleichzeitig ihr größtes Risiko. 

• Gemeinsamer privater Schlüssel. Wenn der Schlüssel kompromittiert wird, kann ein Angreifer jede beliebige Subdomain, die das Zertifikat abdeckt, imitieren, nicht nur eine einzige. 
• Ein einziger Ausfallpunkt. Wenn ein Server, der das Wildcard-Zertifikat hostet, kompromittiert wird, ist jede Subdomain, die dieses Zertifikat verwendet, dem gleichen Risiko ausgesetzt. 
• Auswirkungen der Zertifikatserneuerung. Wenn das Zertifikat abläuft oder widerrufen wird, verlieren alle betroffenen Subdomains gleichzeitig HTTPS. 
• Betrügerische Ausstellung. Wenn ein Angreifer eine Zertifizierungsstelle dazu bringt, ein Wildcard-Zertifikat für eine gefälschte Organisation auszustellen, kann er gleichzeitig Phishing-Websites über viele Subdomains hinweg betreiben. 

Im Mai 2018 kam es bei Epic Games zu einem vielbeachteten Ausfall, als ein abgelaufenes Wildcard-SSL-Zertifikat, das für zahlreiche Produktionsdienste auf AWS eingesetzt wurde, die Anmeldungen vieler Fortnite- und Rocket-League-Spieler blockierte. Die Wiederherstellung dauerte etwa fünfeinhalb Stunden. Da ein Wildcard-Zertifikat an vielen Stellen gleichzeitig eingesetzt wird, kann eine einzige versäumte Verlängerung genau solch einen weitreichenden Ausfall verursachen. 

Wie Verschlüsselungsberatung hilft

CertSecure Manager verfolgt jeden Einsatzort eines Wildcard-Zertifikats, sodass eine einzige Verlängerung alle Zertifikate aktualisiert und ein ablaufendes Wildcard-Zertifikat niemals zu einem unerwarteten Ausfall führt. Die Lösung automatisiert die Erkennung, Ausstellung und Verlängerung von Zertifikaten über öffentliche und private Zertifizierungsstellen hinweg und basiert auf den ISO/IEC 27001:2022- und SOC 2-Zertifizierungen von Encryption Consulting. 

Häufig gestellte Fragen

Kann ein Wildcard-Zertifikat eine erweiterte Validierung (EV) sein? 

Nein. Die Regeln des CA/Browser Forums erlauben keine EV-Ausstellung für Wildcard-Zertifikate, da EV die Überprüfung einer bestimmten, namentlich genannten Organisation und Domäne erfordert, anstatt einer offenen Menge von Subdomänen. 

Deckt ein Wildcard-Zertifikat auch Sub-Subdomains ab? 

Nein. Ein *.example.com-Zertifikat deckt nur Subdomains der ersten Ebene wie shop.example.com ab. Es deckt nicht a.shop.example.com ab; dafür ist ein separates Wildcard-Zertifikat auf dieser Ebene oder ein Multi-Domain-Zertifikat (SAN) erforderlich. 

Was passiert, wenn der private Schlüssel eines Wildcard-Zertifikats kompromittiert wird? 

Ein Angreifer, der den privaten Schlüssel erlangt, kann sich als jede beliebige Subdomain ausgeben, die das Zertifikat abdeckt, nicht nur als eine. Das Zertifikat muss widerrufen und mit einem neuen Schlüsselpaar neu ausgestellt werden, und jeder Bereitstellungsstandort muss aktualisiert werden. 

Wie lange ist ein Wildcard-Zertifikat gültig? 

Öffentliche Wildcard-Zertifikate folgen dem gleichen Zeitplan des CA/Browser Forums wie andere TLS-Zertifikate: maximal 200 Tage ab März 2026, sinkend auf 100 Tage im März 2027 und 47 Tage im März 2029. 

Ist ein Wildcard-Zertifikat günstiger als der Kauf mehrerer Zertifikate? 

In der Regel ja, sobald mehr als eine Handvoll Subdomains betroffen sind. Ein einzelnes Wildcard-Zertifikat kostet zwar mehr als ein einfaches Einzeldomain-Zertifikat, aber deutlich weniger als der Kauf und die Verwaltung eines separaten Zertifikats für jede einzelne Subdomain. 

Sicher bereitstellen und erneuern

Sie möchten sicherstellen, dass eine Wildcard-Zertifikatserneuerung niemals zu einem Ausfall führt? Sehen Sie CertSecure Manager in Aktion oder nutzen Sie unseren kostenlosen CSR-Generator, um Ihr nächstes Zertifikat anzufordern.