Was ist das CA/B-Forum?

Das CA/Browser Forum (CA/B Forum) ist ein freiwilliges Konsortium von Zertifizierungsstellen, Browserherstellern und anderen Softwareherstellern, das die grundlegenden Anforderungen für die Ausstellung und Validierung von SSL/TLS-, Codesignatur- und S/MIME-Zertifikaten festlegt.

Das CA/Browser Forum ist ein Branchenverband von Zertifizierungsstellen und Browserherstellern, der die grundlegenden Anforderungen für die Ausstellung, Validierung und den Widerruf von SSL/TLS-Zertifikaten festlegt. Seine wichtigste Maßnahme der letzten Zeit ist die Abstimmung SC-081v3, die die maximale Gültigkeitsdauer von TLS-Zertifikaten von 200 Tagen im März 2026 auf 47 Tage im März 2029 reduziert.

Wichtige Erkenntnisse

• Das CA/B Forum legt die Basisanforderungen für SSL/TLS-Zertifikate fest, einschließlich der obligatorischen Protokollierung der Zertifikatstransparenz, damit falsch ausgestellte Zertifikate erkannt und widerrufen werden können.
• Mit der Abstimmung SC-081v3 wird die maximale Gültigkeitsdauer öffentlicher TLS-Zertifikate schrittweise nach einem festgelegten Zeitplan reduziert: 200 Tage ab dem 15. März 2026, 100 Tage ab dem 15. März 2027 und 47 Tage ab dem 15. März 2029.
• Extended Validation (EV)-Zertifikate erfordern zwar weiterhin eine strengere Identitätsprüfung, aber die meisten Browser zeigen keine eindeutigen EV-Indikatoren mehr an, wie zum Beispiel den Firmennamen in der Adressleiste.
• Das Forum regelt außerdem die Bereiche Codesignierung, S/MIME sowie die Sicherheitsanforderungen für Netzwerk- und Zertifikatssysteme durch eigens dafür eingerichtete Arbeitsgruppen.
• Die Automatisierung mittels ACME und zentralisierter Tools wie CertSecure Manager ist heute der praktikabelste Weg, um mit den immer kürzer werdenden Gültigkeitsdauern von Zertifikaten Schritt zu halten.

Was genau regelt das CA/B-Forum?

Die Basisanforderungen des Forums für SSL/TLS-Zertifikate umfassen die Domänenvalidierung, die Protokollierung von Zertifikattransparenz und Widerrufsmechanismen wie OCSP und CRLs. Separate Arbeitsgruppen erweitern diese Richtlinien auf Codesignaturzertifikate, S/MIME sowie die Sicherheitsanforderungen für Netzwerk- und Zertifikatssysteme, die Zertifizierungsstellen zum Schutz ihrer eigenen Ausstellungsinfrastruktur erfüllen müssen.

Was ist Wahlzettel SC-081v3 und warum ist er wichtig?

Bei der Abstimmung SC-081v3 handelt es sich um die Entscheidung des CA/B-Forums, die die maximale Gültigkeitsdauer öffentlicher TLS-Zertifikate schrittweise über mehrere Jahre hinweg reduziert und die bisherige informelle Regelung der „90-Tage-Zertifikate“ durch einen konkreten, gestaffelten Zeitplan ersetzt.

Datum des Inkrafttretens	Maximale Gültigkeit
15. März 2026	200 Tage
15. März 2027	100 Tage
15. März 2029	47 Tage

Dieser Zeitplan folgt einer früheren Reduzierung von 825 Tagen auf 398 Tage, die im September 2020 in Kraft trat und einen langjährigen Trend zu kürzeren Zertifikatslebensdauern fortsetzt, um das Zeitfenster für die Gefährdung zu begrenzen, falls ein privater Schlüssel kompromittiert wird.

Was geschieht, wenn Organisationen die Richtlinien des CA/B-Forums nicht befolgen?

• Abgelaufene Zertifikate: Ein nicht erneuertes Zertifikat kann die Überprüfung des verschlüsselten Datenverkehrs verhindern und so die Erkennung einer aktiven Kompromittierung des Servers verzögern, wie es beim Equifax-Datendiebstahl im Jahr 2017 mit 147 Millionen Betroffenen der Fall war.
• Falsch ausgestellte Zertifikate: Zertifizierungsstellen, die auf eine ordnungsgemäße Validierung verzichten, riskieren, dass die Browser ihnen die Vertrauenswürdigkeit ihrer ausgestellten Zertifikate entziehen, wie es 2017 der Fall war, als die großen Browser nach Feststellungen über falsch ausgestellte Zertifikate das Vertrauen in von Symantec ausgestellte Zertifikate schrittweise einstellten.
• Kompromittierte CA-Infrastruktur: Ein Angreifer, der in die Ausstellungssysteme einer CA eindringt, kann gefälschte Zertifikate für hochwertige Domains ausstellen, wie es beim DigiNotar-Datendiebstahl im Jahr 2011 der Fall war, der zum Zusammenbruch der CA führte.

Wie sollten sich Organisationen auf eine kürzere Gültigkeitsdauer von Zertifikaten vorbereiten?

• Automatisierte Zertifikatsverwaltung: Die manuelle Erneuerung kann mit einem Gültigkeitszeitraum von 47 Tagen nicht mithalten; ACME-basierte Automatisierung und zentralisierte Tools wie CertSecure Manager werden zur Pflicht und nicht mehr zur Option.
• Kontinuierliche Prüfung und Überwachung: Regelmäßige Prüfungen decken abgelaufene oder demnächst ablaufende Zertifikate auf, bevor es zu einem Ausfall kommt.
• Setzen Sie eine rollenbasierte Zugriffskontrolle durch: Beschränken Sie, wer Zertifikate anfordern, verlängern oder widerrufen kann, um das Risiko unautorisierter Änderungen zu verringern.
• Planen Sie die Reaktion auf einen Sicherheitsvorfall im Voraus: Ein dokumentierter Widerrufs- und Neuausstellungsplan begrenzt den Schaden, falls ein Zertifikat oder sein privater Schlüssel kompromittiert wird.

Wie Verschlüsselungsberatung hilft

CertSecure Manager automatisiert die Ausstellung, Verlängerung und den Widerruf von Zertifikaten gemäß dem verkürzten Gültigkeitszyklus des CA/Browser Forums. CodeSign Secure gewährleistet die rollenbasierte Zugriffskontrolle für Codesignaturschlüssel, die ebenfalls den Anforderungen des Forums entspricht. Die Lösungen basieren auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Welche Rolle spielt das CA/Browser Forum für die Internetsicherheit?

Das CA/B Forum legt die grundlegenden Anforderungen fest, die Zertifizierungsstellen und Browser für die Ausstellung, Validierung und den Widerruf von SSL/TLS-Zertifikaten befolgen. Seine Standards bilden die Basis für die Vertrauensindikatoren, wie beispielsweise ein gültiges Zertifikat, anhand derer Browser Nutzer vor unsicheren Websites warnen.

Was ist Wahlzettel SC-081v3?

Bei der Abstimmung SC-081v3 handelt es sich um die Entscheidung des CA/B-Forums, die maximale Gültigkeitsdauer für öffentliche TLS-Zertifikate nach einem festen Zeitplan schrittweise zu verringern: 200 Tage ab März 2026, 100 Tage ab März 2027 und 47 Tage ab März 2029.

Haben EV-Zertifikate nach den Änderungen im CA/B-Forum noch eine Bedeutung?

EV-Zertifikate erfordern zwar immer noch eine strengere Identitätsprüfung als Standardzertifikate, aber die meisten Browser haben bereits vor Jahren aufgehört, eindeutige EV-Indikatoren wie den Firmennamen in der Adressleiste anzuzeigen, was ihre praktischen Auswirkungen auf das Nutzerverhalten verringert hat.

Wie können sich Organisationen auf die 47-Tage-Zertifikate vorbereiten?

Die Automatisierung der Zertifikatsausstellung, -erneuerung und -widerrufung über ACME und eine zentrale Zertifikatsverwaltungsplattform ist der praktikable Weg, da eine manuelle Erneuerung mit einem Gültigkeitszeitraum von 47 Tagen bei einem großen Zertifikatsbestand realistischerweise nicht mithalten kann.

Bereiten Sie sich auf 47-Tage-Zertifikate vor

Gehen Sie den nächsten Schritt
CertSecure Manager Die Automatisierung der Zertifikatslebenszyklen erfolgt vor dem Zeitplan des CA/Browser Forums SC-081v3, sodass Ihre Organisation rechtzeitig vor Inkrafttreten der 47-Tage-Regelung im März 2029 bereit ist. Machen Sie sich bereit für 47-Tage-Zertifikate.