Was ist ein selbstsigniertes Zertifikat? Vorteile, Nachteile & Risiken

Ein selbstsigniertes Zertifikat ist ein digitales Zertifikat, das von derselben Entität signiert wird, die es erstellt hat, und nicht von einer vertrauenswürdigen Zertifizierungsstelle. Daher verfügt es über keine Vertrauenskette, die von Browsern oder Betriebssystemen automatisch erkannt wird. 

Ein selbstsigniertes Zertifikat ermöglicht es jedem, ohne Beteiligung einer Zertifizierungsstelle ein funktionierendes TLS-, Codesignatur- oder Client-Zertifikat zu erstellen – schnell und kostenlos. Da keine vertrauenswürdige Zertifizierungsstelle dafür bürgt, zeigen Browser und Betriebssysteme eine Warnung an, und es gibt keinen öffentlichen Mechanismus, um es im Falle einer Kompromittierung schnell zu widerrufen. Daher eignen sich selbstsignierte Zertifikate gut für interne Tests, Entwicklungsumgebungen und isolierte Systeme, jedoch schlecht für den produktiven Datenverkehr mit öffentlicher Reichweite.

Wichtige Erkenntnisse 

• Ein selbstsigniertes Zertifikat wird mit seinem eigenen privaten Schlüssel und nicht von einer Zertifizierungsstelle signiert, daher sind die Felder Aussteller und Subjekt identisch. 
• Es ist schnell, kostenlos und nützlich für Entwicklung, Tests und Systeme, die nur intern genutzt werden, aber Browser kennzeichnen es auf öffentlichen Websites mit einer Vertrauenswarnung. 
• Es gibt keine Zertifizierungsstelle, die ein kompromittiertes selbstsigniertes Zertifikat über einen öffentlichen Vertrauensspeicher widerrufen könnte, und ohne ein Erkennungstool ist es schwierig, jedes selbstsignierte Zertifikat in einer Umgebung zu verfolgen. 
• Vorschriften wie die DSGVO, HIPAA und PCI DSS verbieten selbstsignierte Zertifikate nicht gänzlich, aber eine mangelhafte Verwaltung dieser Zertifikate kann die Einhaltung der Vorschriften gefährden. 
• Eine private Zertifizierungsstelle über PKI-as-a-Service bietet die Geschwindigkeit selbstsignierter Zertifikate mit einer echten Vertrauenskette und zentralisiertem Lebenszyklusmanagement. 

Was ist ein selbstsigniertes Zertifikat?

Ein selbstsigniertes Zertifikat ist ein X.509-Zertifikat, bei dem Aussteller und Subjekt identisch sind: Der Ersteller des Zertifikats signierte es mit seinem eigenen privaten Schlüssel, anstatt eine Zertifikatsignierungsanforderung (CSR) an eine öffentliche oder private Zertifizierungsstelle zu senden. Da keine dritte Partei die Identität des Zertifikats bestätigt, haben vertrauende Parteien, Browser, Betriebssysteme oder Anwendungen keinen Grund, ihm zu vertrauen. 

Bei selbstsignierten Zertifikaten handelt es sich meist um TLS-Zertifikate , aber das gleiche Verfahren zur Selbstsignierung gilt auch für Codesignatur- und S/MIME-Zertifikate (E-Mail-Zertifikate).

Wie man erkennt, ob ein Zertifikat selbstsigniert ist

Überprüfen Sie das Ausstellerfeld in den Zertifikatsdetails. Stimmt der Aussteller mit dem Subjekt überein oder wird der Aussteller vom Vertrauensspeicher des Systems nicht erkannt, handelt es sich um ein selbstsigniertes Zertifikat. 

Selbstsignierte vs. von Zertifizierungsstellen ausgestellte Zertifikate

Abmessungen	Selbstsigniert	CA-ausgestellt
Aussteller	Dieselbe Stelle, die das Zertifikat erstellt hat.	Eine vertrauenswürdige öffentliche oder private Zertifizierungsstelle.
Vertrauen können	Wird standardmäßig nicht erkannt; löst Browserwarnungen aus.	Automatische Vertrauenswürdigkeit, wenn sich die Zertifizierungsstelle im Vertrauensspeicher der vertrauenden Partei befindet.
Kosten und Geschwindigkeit	Kostenlos und sofort zu generieren.	Die Bandbreite reicht von kostenlos (DV) bis kostenpflichtig, wobei die Ausstellungsdauer je nach Validierungsstufe von Minuten bis Wochen variiert.
Widerruf	Kein öffentlicher Widerrufsmechanismus.	Die Zertifizierungsstelle kann die Sperre aufheben und diesen Status über CRL oder OCSP veröffentlichen.
Optimale Bildschirmwahl	Entwicklung, Test, Systeme nur für den internen Gebrauch.	Öffentlich zugängliche Produktionssysteme und alles, was das Vertrauen Dritter erfordert.

Wann selbstsignierte Zertifikate sinnvoll sind

• Entwicklungs- und Testumgebungen, in denen das Warten auf die Ausstellung der Zertifizierungsbescheinigung die Iteration verlangsamen würde. 
• Interne Tools und Laborsysteme, die niemals mit dem öffentlichen Internet in Kontakt stehen. 
• Startups CI / CD-Pipelines, wobei Teams selbstsignierte Zertifikate oder integrierte Zertifizierungsstellen wie HashiCorp Vault oder die interne Zertifizierungsstelle von Kubernetes verwenden, um schnell zwischen verschiedenen Umgebungen wechseln zu können. 
• Isolierte Umgebungen, in denen jede Phase der Entwicklung, des Testens und der Bereitstellung von einem eigenen unabhängigen Zertifikat profitiert. 

Risiken selbstsignierter Zertifikate in der Produktion

• Keine vertrauenswürdige Drittpartei. Browser und Betriebssysteme vertrauen selbstsignierten Zertifikaten standardmäßig nicht, daher sehen Besucher vor dem Fortfahren eine Sicherheitswarnung oder eine Aufforderung zur Risikoakzeptanz. 
• Es gibt keinen schnellen Widerrufsweg. Wenn der Schlüssel eines von einer Zertifizierungsstelle ausgestellten Zertifikats kompromittiert ist, kann die Zertifizierungsstelle es widerrufen, und Browser respektieren dies. Für selbstsignierte Zertifikate gibt es keinen vergleichbaren Mechanismus. 
• Mangelnde Transparenz. Von einer Zertifizierungsstelle ausgestellte Zertifikate lassen sich zentral nachverfolgen. Selbstsignierte Zertifikate, die von beliebigen Teams ad hoc erstellt werden, geraten viel leichter in Vergessenheit. 
• Man-in-the-Middle-Angriff. Ein Angreifer kann ein selbstsigniertes Zertifikat vorlegen, um sich als Dienst auszugeben, wenn Benutzer darauf trainiert sind, Vertrauenswarnungen zu ignorieren. 

Selbstsignierte Zertifikate und Konformität

DSGVO, HIPAA und PCI DSS verbieten selbstsignierte Zertifikate nicht ausdrücklich, fordern aber alle einen starken Schutz der Daten, die diese Zertifikate andernfalls sichern würden. Die Verwendung eines nicht verwalteten, selbstsignierten Zertifikats für Zahlungsdaten, geschützte Gesundheitsdaten oder personenbezogene Daten von EU-Bürgern verlagert die Verantwortung für die Einhaltung der Vorschriften auf die Kontrollmechanismen rund um dieses Zertifikat: Wer darf es erstellen? Wo befindet sich der private Schlüssel? Und wie schnell kann er im Falle einer Kompromittierung ersetzt werden? In der Praxis lassen sich die meisten Compliance-Anforderungen einfacher mit Zertifikaten erfüllen, die von einer verwalteten Zertifizierungsstelle ausgestellt und nachverfolgt werden.

Eine bessere Alternative für den internen Gebrauch: Private PKI

Die Hauptvorteile selbstsignierter Zertifikate – Geschwindigkeit und keine Kosten pro Zertifikat – sind auch über eine private Zertifizierungsstelle (CA) verfügbar, ohne dass eine echte Vertrauenskette oder ein zentralisiertes Lebenszyklusmanagement verloren geht. PKI-as-a-Service ermöglicht es Teams, Zertifikate über Self-Service-Workflows von einer sicheren, internen CA anzufordern und auszustellen. Dadurch entfällt die Notwendigkeit, überhaupt auf selbstsignierte Zertifikate zurückzugreifen. 

Wie Verschlüsselungsberatung hilft 

CertSecure Manager überwacht selbstsignierte und von Zertifizierungsstellen ausgestellte Zertifikate parallel, sodass kein Datenverkehr, der den tatsächlichen Datenverkehr schützt, unberücksichtigt bleibt. Für Teams, die die Geschwindigkeit selbstsignierter Zertifikate mit einer echten Vertrauenskette kombinieren möchten, stellt PKI-as-a-Service Zertifikate von einer sicher gerooteten privaten Zertifizierungsstelle über Self-Service-Workflows aus.

Häufig gestellte Fragen

Wie lange ist ein selbstsigniertes Zertifikat gültig? 

Es gibt keine von der Zertifizierungsstelle festgelegte Gültigkeitsdauer. Der Aussteller bestimmt die Gültigkeitsdauer, die je nach Verwendungszweck des Zertifikats von wenigen Tagen bis zu vielen Jahren reichen kann. 

Sind selbstsignierte Zertifikate sicher?

Sie eignen sich für Entwicklungs-, Test- und interne Systeme, in denen die beteiligten Parteien einander bereits kennen und vertrauen. Für den öffentlich zugänglichen Produktivverkehr sind sie nicht geeignet, da Besucher dort die Identität hinter dem Zertifikat nicht überprüfen können. 

Kann ich ein selbstsigniertes Zertifikat für eine Produktionswebsite verwenden? 

Technisch gesehen ja, aber Browser zeigen jedem Besucher eine Sicherheitswarnung an, was das Vertrauen untergräbt und die meisten Nutzer abschreckt. Ein von einer Zertifizierungsstelle ausgestelltes Zertifikat, selbst ein kostenloses, domainvalidiertes, umgeht dies vollständig. 

Worin besteht der Unterschied zwischen einem selbstsignierten Zertifikat und einem Zertifikat einer privaten Zertifizierungsstelle? 

Ein selbstsigniertes Zertifikat hat keine ausstellende Zertifizierungsstelle; der Aussteller signiert es selbst. Ein privates CA-Zertifikat wird von einer internen Zertifizierungsstelle ausgestellt, der andere interne Systeme vertrauen, wodurch eine echte, wenn auch interne, Vertrauenskette entsteht. 

Blockieren Browser selbstsignierte Zertifikate? 

Browser blockieren selbstsignierte Zertifikate nicht vollständig, sondern unterbrechen die Verbindung mit einer Warnseite, die der Besucher explizit bestätigen muss, um fortzufahren. Suchmaschinen und Sicherheitsscanner kennzeichnen ebenfalls selbstsignierte Zertifikate auf öffentlichen Websites. 

Ersetzen Sie selbstsignierte Zertifikate durch eine echte Vertrauenskette. 

Sind Sie bereit, von selbstsignierten Zertifikaten abzurücken, ohne Ihre Teams auszubremsen? Sehen Sie PKI-as-a-Service in Aktion oder fordern Sie eine Demo von CertSecure Manager an.