Jede Website, die Sie besuchen, verwendet ein SSL/TLS-Zertifikat , um Ihre Verbindung zu sichern. Doch wer entscheidet, welche Unternehmen diese Zertifikate für eine bestimmte Website ausstellen dürfen? Genau dafür ist der CAA-Eintrag zuständig.
Ein CAA-Eintrag (Certification Authority Authorization) ist ein kleiner Eintrag im DNS Ihrer Domain. Er teilt Zertifizierungsstellen, auch Zertifizierungsstellen oder CAs genannt , mit, welche von ihnen berechtigt sind, Zertifikate für Ihre Domain auszustellen. Ohne diesen Eintrag könnte jede vertrauenswürdige Zertifizierungsstelle weltweit ein Zertifikat für Ihre Website ausstellen, und Sie würden es möglicherweise erst bemerken, wenn ein Problem auftritt.
CAA-Einträge sind wichtiger denn je, da sie nun darüber entscheiden, ob überhaupt ein Zertifikat ausgestellt wird, und nicht nur, welche Zertifizierungsstelle es ausstellen darf. In den Jahren 2025 und 2026 traten zwei wichtige Änderungen in Kraft, die die Bedeutung von CAA-Einträgen erheblich steigerten. Die Regel „Multi-Perspective Issuance Corroboration“ (MPIC) sieht vor, dass Zertifizierungsstellen Ihre Einträge nun von mehreren Standorten gleichzeitig überprüfen. Ab März 2026 müssen sie zudem die DNSSEC-Signaturen (Domain Name System Security Extensions) für jede Domain prüfen, die DNSSEC verwendet.
Das Ergebnis ist einfach: Ein fehlerhaft konfigurierter CAA-Eintrag schwächt nicht nur Ihre Sicherheitsrichtlinie, sondern kann die Ausstellung Ihres Zertifikats gänzlich verhindern. Dies umfasst nun zwei unterschiedliche Fehlerarten: einen Richtlinienfehler, der Ihre eigene Zertifizierungsstelle blockiert, und einen DNS- oder DNSSEC-Fehler, der die Namensauflösung unterbricht.
Dieser Blog erklärt, was CAA-Einträge sind, wie die neuen Regeln funktionieren und was Sie beachten müssen, um Zertifikatsfehler zu vermeiden. Beginnen wir mit den Grundlagen.
Was ist ein CAA-Eintrag und warum ist er wichtig?
Ein CAA-Eintrag befindet sich im DNS Ihrer Domain ; demselben System, das Ihren Domainnamen der IP-Adresse des Servers zuordnet und andere Richtlinieneinträge speichert. Anstatt auf eine Serveradresse zu verweisen, verweist er auf eine Richtlinie: welche Zertifizierungsstellen (CAs) berechtigt sind, Zertifikate für Ihre Domain auszustellen.
Bevor die Zertifizierungsstellenauthentifizierung (CAA) 2017 für alle öffentlichen Zertifizierungsstellen verpflichtend wurde, konnte jede Zertifizierungsstelle ein Zertifikat für jede beliebige Domain ausstellen, solange die Anfrage eine einfache Inhaberprüfung bestand. Das war riskant. Eine fehlerhafte Zertifizierungsstelle oder ein Angreifer konnte ohne Ihr Wissen ein gültiges Zertifikat für Ihre Domain erhalten, und Browser würden diesem genauso vertrauen wie dem Original.
Die CAA behebt dieses Problem durch eine zusätzliche Kontrollinstanz auf DNS-Ebene. Wenn eine Zertifizierungsstelle (CA) eine Anfrage zur Ausstellung eines Zertifikats für Ihre Domain erhält, prüft sie zunächst Ihre CAA-Einträge. Befindet sich die betreffende CA nicht auf Ihrer Liste zugelassener Zertifizierungsstellen, muss sie die Anfrage ablehnen, unabhängig von deren weiteren Inhalten.
Dadurch zählt CAA zu den kostengünstigsten Sicherheitsmaßnahmen. Ein CAA-Eintrag ist lediglich ein DNS-Eintrag und somit kostenlos, legt aber dennoch fest, wer Zertifikate für Sie ausstellen darf. Trotzdem ist die Nutzung gering. Mitte 2024 verfügten nur etwa 15 Prozent der führenden TLS-Websites über CAA-Einträge, was bedeutet, dass die meisten Organisationen diesen Schutz überhaupt nicht nutzen.
Um CAA optimal zu nutzen, ist es hilfreich, die wenigen einfachen Tags zu verstehen, aus denen ein Datensatz besteht.
Die wichtigsten CAA-Kennzeichnungen, die Sie kennen sollten
Ein CAA-Datensatz besteht aus drei Teilen: einem Flag, einem Tag und einem Wert. Das Flag ist fast immer null, was bedeutet, dass die Zertifizierungsstelle fortfahren kann, selbst wenn sie den Tag nicht erkennt. Der einzige standardisierte Wert ungleich null, der derzeit verwendet wird, ist 128, das ausstellerkritische Flag. Dieses zwingt die Zertifizierungsstelle, die Ausstellung zu verweigern, wenn sie den Tag nicht interpretieren kann. Der Tag gibt an, welche Art von Regel der Datensatz festlegt, und der Wert ist die eigentliche Anweisung. Es gibt vier Tags, die Sie am häufigsten verwenden werden.
Der Issue-Eintrag gibt an, welche Zertifizierungsstelle (CA) berechtigt ist, reguläre Zertifikate für Ihre Domain auszustellen. Sie tragen den offiziellen Domainnamen der CA als Wert ein. Sobald Sie eine CA mit einem Issue-Eintrag versehen, werden alle anderen CAs automatisch gesperrt. Es ist daher keine separate Sperrregel erforderlich. Wenn Sie mit mehreren CAs arbeiten, fügen Sie für jede einen Issue-Eintrag hinzu; alle bleiben autorisiert.
Das „issuewild“-Tag steuert die Autorisierung von Wildcard-Zertifikaten . Existiert ein „issuewild“-Eintrag, überschreibt dieser das „issue“-Tag nur für Wildcard-Zertifikate. Ist kein „issuewild“-Eintrag vorhanden, gilt das „issue“-Tag sowohl für reguläre als auch für Wildcard-Zertifikate. Das „iodef“-Tag teilt Zertifizierungsstellen mit, wohin eine Benachrichtigung gesendet werden soll, wenn eine Zertifikatsanfrage aufgrund Ihrer Richtlinie blockiert wird. Sie können eine E-Mail-Adresse oder eine Webadresse angeben.
Betrachten Sie es als Frühwarnsystem. Ohne es verschwindet ein blockierter Zugriffsversuch einfach, und Sie erfahren nie davon. Es ist kostenlos, lässt sich in weniger als einer Minute einrichten und wird von den meisten großen Zertifizierungsstellen unterstützt. Beachten Sie jedoch, dass die Unterstützung von iodef variiert. Nicht alle Zertifizierungsstellen senden diese Berichte zuverlässig. Nutzen Sie es daher eher als zusätzliches Signal denn als primären Warnmechanismus.
Es gibt außerdem ein viertes Tag, issuemail, das 2023 hinzugefügt wurde. Es funktioniert genauso wie issue, bezieht sich aber auf S/MIME-Zertifikate, die für sichere E-Mails verwendet werden. Wenn Ihre Organisation S/MIME nutzt , lohnt es sich, dieses Tag ebenfalls hinzuzufügen.
Mithilfe dieser Tags können Sie steuern, wer Zertifikate ausstellen darf und wie Sie benachrichtigt werden, wenn Ihre Richtlinie durchgesetzt wird. Diese Kontrolle ist jetzt noch wichtiger, da die Zertifizierungsstellen ihre Prüfmethoden für diese Datensätze kürzlich geändert haben.
Was sich 2025 und 2026 geändert hat: MPIC und DNSSEC
Bis 2025 überprüfte eine Zertifizierungsstelle (CA) Ihre CAA-Einträge von einem einzigen Standort aus. Das klingt zunächst gut, wies aber eine Sicherheitslücke auf. DNS-Antworten können gefälscht werden, beispielsweise durch BGP-Hijacking. Dabei wird das Routing im Internet manipuliert, um die Anfragen einer CA an von Angreifern kontrollierte Server zu senden, die falsche Antworten liefern. Von einem einzigen Standort aus kann eine CA eine echte Antwort nicht ohne Weiteres von einer gefälschten unterscheiden. Dies ist keine bloße Theorie. Im Jahr 2018 leitete ein BGP-Hijacking bei einem Upstream-Provider den für die DNS-Server von Amazon Route 53 bestimmten Datenverkehr um (die Systeme von Amazon selbst waren nicht kompromittiert). Dadurch wurden die Nutzer einer Kryptowährungsplattform auf eine betrügerische Website umgeleitet, was zu einem Schaden von über 150,000 US-Dollar führte.
MPIC wurde geschaffen, um diese Lücke zu schließen. Die branchenweite Durchsetzung begann am 15. September 2025, und die Mindestanzahl der erforderlichen Remote-Perspektiven steigt bis 2026 schrittweise auf vier am 15. Juni 2026. Anstatt die Überprüfung nur von einem Standort aus durchzuführen, prüfen Zertifizierungsstellen (CAs) nun Ihre CAA-Einträge gleichzeitig von mehreren Netzwerkstandorten weltweit. Stimmen alle Standorte überein, ist die Prüfung erfolgreich. Weicht ein Standort ab, schlägt die Prüfung fehl und es wird kein Zertifikat ausgestellt.
Eine einzelne DNS-Antwort zu fälschen ist möglich, die gleiche Antwort jedoch von vier oder mehr unabhängigen Standorten gleichzeitig zu fälschen, ist deutlich schwieriger. Ab März 2026 müssen Zertifizierungsstellen (CAs) Ihre Einträge aus mindestens drei entfernten Netzwerkperspektiven sowie einer primären Perspektive bestätigen, die sich über mindestens zwei verschiedene Regional Internet Registry (RIR)-Regionen erstrecken, bevor sie ein Zertifikat ausstellen.
Die zweite Änderung führt DNSSEC ein. MPIC bestätigt zwar die Konsistenz der Antworten, beweist aber nicht deren Echtheit. DNSSEC fügt DNS-Einträgen kryptografische Signaturen hinzu, wodurch Resolver überprüfen können, ob DNS-Antworten authentisch sind und nicht manipuliert wurden. Es schützt vor Angriffen wie DNS-Spoofing und Cache-Poisoning.
Ab dem 15. März 2026 verpflichtet eine Regel des CA/Browser Forums (Abstimmung SC-085v2) Zertifizierungsstellen (CAs), DNSSEC-Signaturen zu validieren, sobald sie CAA- oder Domain-Control-Lookups für eine DNSSEC-fähige Domain durchführen. Ist Ihre DNSSEC-Konfiguration fehlerhaft, beispielsweise durch abgelaufene Signaturen oder einen unvollständigen Schlüsselwechsel, schlägt die CAA-Prüfung fehl und Ihr Zertifikat wird nicht ausgestellt. Wenn Sie DNSSEC nicht nutzen, betrifft Sie diese Änderung zwar nicht, dennoch sollten Sie sie im Hinblick auf Ihre allgemeine DNS-Sicherheit berücksichtigen.
Aufgrund dieser Änderungen sehen die Schritte, die eine Zertifizierungsstelle vor der Ausstellung eines Zertifikats durchführt, nun folgendermaßen aus:
- Die Zertifizierungsstelle erhält eine Zertifikatsanforderung für Ihre Domain.
- Mithilfe von MPIC werden Ihre CAA-Datensätze von mehreren unabhängigen Standorten weltweit abgerufen. Stimmen diese Standorte nicht überein, wird die Ausstellung blockiert.
- Im Rahmen dieser Abfrage werden die DNSSEC-Signaturen aller DNSSEC-fähigen Domains überprüft. Ist eine Signatur beschädigt oder fehlt, wird die Ausstellung blockiert.
- Es prüft, ob es in Ihrem CAA-Datensatz als zugelassener Aussteller aufgeführt ist, und falls es dort nicht aufgeführt ist, muss es die Anfrage ablehnen.
- Es prüft alle zusätzlichen Regeln, wie z. B. Konto- oder Validierungsmethodenbeschränkungen.
- Schließlich wird vor dem Fortfahren bestätigt, dass Sie tatsächlich die Kontrolle über die Domain haben.
- Das Zertifikat wird ausgestellt.
Die meisten Probleme bei der Emission von Dokumenten lassen sich auf einige wenige vermeidbare Fehler in diesem Prozess zurückführen. Hier sind die Fehler, auf die Sie achten sollten.
Fehler vermeiden und bewährte Verfahren der CAA befolgen
Eine Handvoll wiederkehrender Fehler ist die Ursache für die meisten CAA-Fehler, und alle diese Fehler lassen sich leicht vermeiden, sobald man sie kennt.
Der erste Fehler besteht darin, dass beim Ausstellen von Wildcard-Zertifikaten das Issue-Wild-Protokoll fehlt. Wenn Sie nur einen Issue-Datensatz haben und dann versuchen, ein Wildcard-Zertifikat zu erhalten, wird dies blockiert. Viele Teams richten Issue-Datensätze frühzeitig ein und fügen später Wildcard-Zertifikate hinzu, ohne ihre Richtlinie zu aktualisieren.
Der zweite Fehler liegt in der Verwendung des falschen CA-Namens. Der Wert in Ihrem Datensatz muss der offizielle Domainname der CA sein, nicht der eines Resellers oder Partners. Wenn Sie Zertifikate über einen Reseller erwerben, benötigen Sie dennoch die Kennung der zugrunde liegenden CA. Prüfen Sie daher in der Dokumentation den genauen Text, den Sie verwenden müssen.
Der dritte Grund ist ein DNS-Server, der nicht über das öffentliche Internet erreichbar ist. Da MPIC von mehreren externen Standorten aus prüft, müssen Ihre autoritativen Nameserver extern erreichbar sein. Dies führt häufig zu Problemen in Hybrid-Cloud-Umgebungen, in denen ein Teil des DNS intern verwaltet wird.
Der vierte Grund ist ein defektes DNSSEC-System, das die Ausstellung neuer Zertifikate ab März 2026 vollständig blockiert. Übliche Ursachen sind abgelaufene Signaturen und unvollständige Schlüsseländerungen. Überwachen Sie daher Ihren DNSSEC-Status und richten Sie rechtzeitig vor dem Ablauf der Signaturen Benachrichtigungen ein.
Damit sind die zu vermeidenden Fehler abgedeckt. Darüber hinaus sorgen einige gute Gewohnheiten dafür, dass CAA auch bei wachsendem Geschäft reibungslos funktioniert. Bevor Sie Einträge erstellen, prüfen Sie die Certificate Transparency Logs, um festzustellen, welche Zertifizierungsstellen bereits Zertifikate für Ihre Domains ausstellen, damit Sie nicht versehentlich eine aussperren. Fügen Sie CAA-Einträge automatisch hinzu, sobald eine neue Domain oder Subdomain erstellt wird, damit die Ausstellung nie aufgrund eines vergessenen Eintrags fehlschlägt. Dies wird jedes Jahr wichtiger, da die Gültigkeitsdauer von Zertifikaten bereits im März 2026 auf 200 Tage, im März 2027 auf 100 Tage und im März 2029 auf nur noch 47 Tage sinkt. Das bedeutet deutlich häufigere Erneuerungen und deutlich weniger Spielraum für unbemerkte Fehlkonfigurationen.
Um all dies in so vielen Bereichen richtig umzusetzen, braucht es die richtigen Werkzeuge und Erfahrungen – und genau da können wir Ihnen helfen.
Wie Verschlüsselungsberatung helfen kann
CAA-Einträge sind vom Prinzip her einfach, aber in großem Umfang schwer zu verwalten. Die Auswahl der richtigen CA-Kennungen, die Verwaltung vieler Subdomains, die Koordination mit DNSSEC und die Integration von CAA in automatisierte Zertifikatsworkflows erfordern ein fundiertes Verständnis des Zusammenspiels von PKI, DNS und den neuesten Branchenregeln.
Encryption Consulting unterstützt Unternehmen bei der Konzeption und Verwaltung ihrer PKI, einschließlich des gesamten Zertifikatslebenszyklusmanagements, das sowohl die Ausstellung als auch die zugehörigen DNS-Kontrollen abdeckt. Unsere CertSecure Manager- Plattform erkennt Zertifikate in Ihrer gesamten Umgebung, überwacht Certificate Transparency-Logs und automatisiert Verlängerungen. So kann sie Zertifikate von unerwarteten Zertifizierungsstellen kennzeichnen, bevor es zu Sicherheitsvorfällen kommt. Darüber hinaus bieten wir PKI-Services an , die Ihre Bereitschaft zur Erfüllung der Anforderungen prüfen und Schwachstellen aufdecken, bevor es zu Ausfällen kommt.
Fazit
CAA-Einträge gibt es zwar schon seit 2017, doch die Änderungen in den Jahren 2025 und 2026 haben die Anforderungen deutlich erhöht. Da MPIC nun von mehreren Standorten aus prüft und eine DNSSEC-Validierung vorgeschrieben ist, stellt ein fehlerhaft konfigurierter Eintrag keine geringfügige Schwachstelle mehr dar. Er kann die Ausstellung Ihrer Zertifikate verhindern. Angesichts kürzerer Zertifikatsgültigkeitsdauern und häufigerer Erneuerungen steigen die Kosten für Fehler in diesem Bereich stetig.
Die gute Nachricht: Die Schritte sind unkompliziert. Autorisieren Sie alle Zertifizierungsstellen, die aktuell Zertifikate für Ihre Domain ausstellen. Fügen Sie einen issuewild-Eintrag für Wildcard-Zertifikate und einen iodef-Eintrag hinzu, um über blockierte Zugriffsversuche benachrichtigt zu werden. Stellen Sie sicher, dass Ihr DNS öffentlich erreichbar und konsistent ist, überwachen Sie Ihre DNSSEC-Einstellungen (falls verwendet) und integrieren Sie CAA in Ihre Automatisierung, damit jede neue Domain vom ersten Tag an geschützt ist.
Wenn Sie Unterstützung bei der Überprüfung Ihrer aktuellen CAA-Konfiguration oder beim Aufbau einer robusteren DNS- und Zertifikatsmanagementstrategie benötigen, kann Ihnen das Team von Encryption Consulting helfen, die Lücken zu schließen, bevor sie Probleme verursachen.
