Eine Certificate Signing Request (CSR) ist eine kodierte Datei, die mit einem öffentlichen und privaten Schlüsselpaar erzeugt wird und die eine Person oder Organisation an eine Zertifizierungsstelle sendet, um ein digitales Zertifikat anzufordern.
Ein CSR (Certificate Signing Request) ist ein kodierter Textblock, der einen öffentlichen Schlüssel und Identifikationsdaten wie Domänenname, Organisationsname und Standort enthält. Eine Zertifizierungsstelle (CA) verwendet ihn, um die Identität zu überprüfen und ein SSL/TLS- oder Codesignaturzertifikat auszustellen. Der zugehörige private Schlüssel verbleibt auf dem Server des Anfragenden und ist niemals im CSR enthalten.
Wichtige Erkenntnisse
- Ein CSR enthält einen öffentlichen Schlüssel, keinen privaten Schlüssel. Der private Schlüssel wird zwar parallel dazu generiert, verlässt aber niemals das System des Anfragenden und wird auch nicht an die Zertifizierungsstelle übermittelt.
- Ein CSR folgt dem PKCS #10-Format. Gemäß RFC 2986 legt PKCS #10 die Struktur fest, die jeder standardkonforme CSR verwendet, unabhängig davon, mit welchem Tool er erstellt wurde.
- Das Feld „Common Name (CN)“ enthält die Domäne. Bei einem TLS-Zertifikat ist der CN der vollqualifizierte Domänenname, den das Zertifikat schützen soll, z. B. www.example.com.
- Der Validierungsgrad hängt vom angeforderten Zertifikatstyp ab. Bei der Domänenvalidierung (DV) wird nur die Domänenkontrolle geprüft; bei der Organisationsvalidierung (OV) und der erweiterten Validierung (EV) wird zusätzlich die rechtliche Existenz der Organisation überprüft.
- Ein fehlerhafter oder veralteter CSR führt zu Verzögerungen bei der Ausstellung, nicht zu Sicherheitslücken. Zertifizierungsstellen lehnen CSRs mit nicht übereinstimmenden oder veralteten Organisationsangaben ab, weshalb die Genauigkeit des CSR die Ausstellungsgeschwindigkeit beeinflusst.
Welche Informationen gehören in einen CSR?
Ein CSR bündelt eine kleine Menge an Identitätsattributen zusammen mit dem öffentlichen Schlüsselteil eines neu generierten Schlüsselpaares.
| Feld | Beschreibung | Beispiel |
|---|---|---|
| Allgemeiner Name (CN) | Der Domainname, den das Zertifikat sichern wird | www.encryptionconsulting.com |
| Organisation (O) | Die juristische Person, an die das Zertifikat ausgestellt wird | Verschlüsselungsberatung LLC |
| Organisationseinheit (OU) | Optionale Abteilung oder Bereich | Sicherheit |
| Ort (L) | Stadt, in der sich die Organisation befindet | Dallas |
| Bundesland/Provinz (ST) | Staat oder Provinz der Organisation | Texas |
| Land (C) | Zweistelliger ISO-Ländercode | US |
Moderne Zertifizierungsstellen stützen sich zunehmend auf die Subject Alternative Name (SAN)-Erweiterung anstatt nur auf den CN, um alle Domains und Subdomains aufzulisten, die ein Zertifikat abdeckt, da Browser schon vor Jahren aufgehört haben, CN-only-Zertifikaten für die TLS-Validierung zu vertrauen.
Wie der CSR-Prozess funktioniert
- Das Generieren und Einreichen eines CSR umfasst sechs Schritte von der Schlüsselerstellung bis zur Zertifikatsinstallation.
- Generieren Sie ein Schlüsselpaar. Auf dem Server, HSM oder Client-Tool, das das Zertifikat speichert, wird ein öffentliches und ein privates Schlüsselpaar erstellt.
- Erstellen Sie den CSR. Mithilfe des privaten Schlüssels generiert der Anfragende eine CSR, die den öffentlichen Schlüssel und die Identitätsfelder enthält, üblicherweise mit OpenSSL oder einem browserbasierten CSR-Generator.
- Reichen Sie den CSR bei einem Wirtschaftsprüfer ein. Der CSR wird zur Signierung an eine vertrauenswürdige öffentliche Zertifizierungsstelle (CA) oder, im Falle einer privaten PKI, an eine interne CA gesendet.
- CA-Verifizierung. Die Zertifizierungsstelle (CA) validiert die Anfrage. Bei der Domänenvalidierung (DV) ist lediglich ein Domänenkontrollnachweis erforderlich; bei der Organisationsvalidierung (OV) und der erweiterten Validierung (EV) wird zusätzlich die juristische Person hinter der Anfrage überprüft.
- Ausstellung des Zertifikats. Nach erfolgreicher Verifizierung signiert und stellt die Zertifizierungsstelle das Zertifikat aus, das zum öffentlichen Schlüssel des CSR passt.
- Zertifikatsinstallation. Das ausgestellte Zertifikat wird zusammen mit dem im ersten Schritt generierten privaten Schlüssel auf dem Server installiert.
CSR-Generierungswerkzeuge
Die meisten Teams generieren CSRs mit OpenSSL, einem Windows CA-Client oder einem browserbasierten Generator anstatt manuell.
OpenSSL ist nach wie vor die gängigste Kommandozeilenoption und funktioniert unter Linux, macOS und Windows. Windows-Umgebungen können außerdem certreq verwenden, um eine CSR direkt an eine interne Windows-Zertifizierungsstelle zu generieren und zu übermitteln. Online-CSR-Generatoren bieten zwar höhere Geschwindigkeit, schränken aber die Kontrolle ein. Dies ist zwar für ein einzelnes Zertifikat nützlich, aber weniger geeignet für die Verwaltung hunderter Zertifikate in einem Unternehmen.
Die Elemente einer CSR
Stellen Sie sich einen CSR als ein digitales Formular vor, das Sie bei der Beantragung eines Zertifikats ausfüllen. Mit einem CSR können Sie SSL/TLS-Zertifikate generieren . Er enthält wichtige Informationen, die Ihre Identität nachweisen und die Legitimität Ihrer Online-Präsenz bestätigen. Typische Bestandteile eines CSR sind:
| Element | Beschreibung | Beispiel |
|---|---|---|
| Allgemeiner Name (CN) | Der primäre Domänenname für das Zertifikat. | www.encryptionconsulting.com |
| Organisation (O) | Der Name der juristischen Person ist derjenige, auf den das Zertifikat ausgestellt wird. | Verschlüsselungsberatung |
| Organisationseinheit (OU) | Eine bestimmte Abteilung oder Sparte innerhalb der Organisation (optional). | Sicherheit |
| Ort (L) | Die Stadt oder der Ort, in dem sich die Organisation befindet. | Dallas |
| Staat oder Provinz (ST) | Der Staat oder die Provinz, in der sich die Organisation befindet. | Texas |
| Land (C) | Der aus zwei Buchstaben bestehende CSR-Ländercode, in dem die Organisation registriert ist. | US |
| E-Mail Adresse | Zur Kontaktaufnahme mit dem Zertifikatsantragsteller ist eine E-Mail-Adresse erforderlich. | [E-Mail geschützt] |
Wie Verschlüsselungsberatung hilft
CertSecure Manager automatisiert die CSR-Generierung im Rahmen des gesamten Zertifikatslebenszyklusmanagements – von der Ermittlung und Inventarisierung über Ausstellung, Bereitstellung und Verlängerung bis hin zum Widerruf. Die Software füllt die Organisationsdetails in jeder Anfrage konsistent aus, übermittelt die CSR direkt an die Zertifizierungsstelle und vermeidet manuelle Kopierfehler, die zu Verzögerungen bei der Ausstellung führen. Die Lösung basiert auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.
Häufig gestellte Fragen
Ist ein CSR dasselbe wie ein Zertifikat?
Nein. Ein CSR ist eine Anfrage, kein Zertifikat. Er enthält einen öffentlichen Schlüssel und Identitätsinformationen, die von einer Zertifizierungsstelle geprüft und, falls genehmigt, signiert werden, um das eigentliche Zertifikat zu erstellen. Der CSR selbst begründet kein Vertrauen; er initiiert lediglich den Ausstellungsprozess.
Welches Format verwendet ein CSR?
Standardkonforme CSRs folgen dem in RFC 2986 definierten PKCS #10-Format. Ein mit Tools wie OpenSSL generierter PKCS #10 CSR wird typischerweise als Base64-kodierter Text dargestellt, der von den Markierungen '—–BEGIN CERTIFICATE REQUEST—–' und '—–END CERTIFICATE REQUEST—–' umschlossen ist.
Enthält die CSR meinen privaten Schlüssel?
Nein. Der CSR enthält lediglich den öffentlichen Schlüssel des neu generierten Schlüsselpaares. Der private Schlüssel muss auf dem System, das ihn generiert hat, vertraulich bleiben und darf niemals an die Zertifizierungsstelle übermittelt oder in den CSR aufgenommen werden.
Kann ich einen CSR für mehrere Domains verwenden?
Ja, mithilfe der Subject Alternative Name (SAN)-Erweiterung, die jede zusätzliche Domain oder Subdomain auflistet, die das Zertifikat abdecken soll. Sowohl Multi-Domain (SAN)- als auch Wildcard-Zertifikate nutzen diese Erweiterung, anstatt für jede Domain einen separaten CSR zu benötigen.
Was passiert, wenn meine CSR-Informationen falsch sind?
Die Zertifizierungsstelle (CA) prüft den CSR anhand des angeforderten Zertifikatstyps. Abweichende oder unvollständige Organisationsdaten führen in der Regel dazu, dass die CA den Antrag ablehnt oder korrigierte Unterlagen anfordert, was die Ausstellung verzögert. Dies allein stellt jedoch keine Sicherheitslücke dar.
CSRs ohne manuelle Arbeit generieren
Automatisieren Sie Zertifikatslebenszyklen mit CertSecure Manager oder nutzen Sie den kostenlosen CSR Generator , um in wenigen Minuten einen standardkonformen CSR zu erstellen.