Zukünftige Trends bei der Code-Signierung in Unternehmen. Worauf ist zu achten?

Die Codesignierung ist in der heutigen Zero-Trust-Welt ein entscheidender Schritt, um die Integrität von Infrastruktur und Software zu gewährleisten. Korrekt durchgeführt, garantiert die Codesignierung, dass nur die berechtigten Personen und Ressourcen Zugriff auf die Signierung von Code haben. Die Signatur ermöglicht es Benutzern und Geräten, zu entscheiden, welcher Software sie vertrauen und welcher nicht.

Die korrekte Implementierung der richtigen Codesignaturverfahren, um den gewünschten Zielzustand zu erreichen, ist – wie in der gesamten Sicherheitsbranche üblich – leichter gesagt als getan. Um sich vor Sicherheitslücken und Bedrohungen der Lieferkette zu schützen , hat die korrekte Umsetzung weiterhin höchste Priorität, und die Verfahren entwickeln sich stetig weiter. Im Folgenden erfahren Sie, was sich seit der Erstveröffentlichung dieses Artikels geändert hat und worauf Sie in Zukunft achten sollten.

Was ist Enterprise Code Signing?

Die Methode der „ Codesignierung “ beinhaltet das digitale Signieren von ausführbaren Dateien und Skripten (Software oder Firmware), um die Urheberschaft der Software zu bestätigen. Dabei wird kryptografisches Hashing eingesetzt , um die Gültigkeit und Integrität des Codes zu gewährleisten, indem sichergestellt wird, dass er nach der Veröffentlichung nicht verändert wurde.

Kurz gesagt: Wir signieren den Code, weil wir nicht riskieren wollen, dass er böswillig beschädigt wird. Software ist uns unglaublich wichtig. Die Integrität der Software ist daher eines unserer Hauptanliegen. Ein beschädigtes oder „geknacktes“ Programm kann folgende Folgen haben:

• Verluste bei Fonds
• Menschliche Opfer
• Unsicherheit in der Politik
• Reputationsschäden
• Andere große Katastrophen

Was ist ein Enterprise Code Signing-Zertifikat?

Ein Code-Signatur-Zertifikat ist ein digitales Zertifikat , das von einer Zertifizierungsstelle ausgestellt wird und Informationen enthält, die ein Unternehmen eindeutig identifizieren. Ein öffentlicher Schlüssel ist mathematisch mit einem privaten Schlüssel verknüpft und wird durch ein digitales Zertifikat an die Identität einer Organisation gebunden. Der Begriff „Public-Key-Infrastruktur“ (PKI) bezeichnet die Verwendung von Systemen mit privaten und öffentlichen Schlüsseln. Der Endnutzer verwendet den öffentlichen Schlüssel des Entwicklers, um dessen Identität zu bestätigen, nachdem der Entwickler den Code mit seinem privaten Schlüssel signiert hat.

Das digitale Zertifikat ist für die spezielle Verwendung digital signierten Codes vorgesehen; in PKI wird dies als Schlüsselverwendung bezeichnet. Bei der Verwendung einer digitalen Signatur wird ein Zeitstempel hinzugefügt. Dank dieser Zeitstempelfunktion ist die Gültigkeit des signierten Codes auch lange nach Ablauf des digitalen Zertifikats garantiert. Selbst wenn das zur Signatur verwendete digitale Zertifikat zunächst abläuft, ist keine neue Signatur erforderlich, es sei denn, Sie fügen weiteren Code hinzu oder nehmen Änderungen am vorhandenen Code vor.

Beispiele für Code Signing

• Unter MS WindowsSie können nur signierte PowerShell-Skripte ausführen, signierte Bibliotheken laden und signierte Programme über Softwarebeschränkungsregeln starten. Nicht signierter Code wird niemals ausgeführt.
• Auf MobilgerätenGrundsätzlich muss alle Software signiert werden.
• BetriebssystemtreiberAlle sind auf jeder Plattform unter Vertrag.
• Java virtuelle MaschineDie Überprüfung der Codesignatur kann obligatorisch gemacht werden; beispielsweise müssen Applets signiert werden.
• Open-Source-Archive und -PaketeDie Codesignierung gewährleistet die Authentizität, Integrität und Sicherheit, die von Software gefordert werden, die innerhalb der Open-Source-Community verbreitet wird.
• POS-Terminals und andere hochsichere GeräteEs darf nur signierter Code ausgeführt werden.
• Software für medizinische und aviationische Geräte ist unterschrieben.

Im industriellen oder lebenswichtigen Maßstab gibt es verschiedene Anwendungsszenarien, in denen die Codesignierung eine entscheidende Rolle spielt, darunter E-Government, E-Banking, die Fertigung im Bereich des Internets der Dinge (IoT) und Kraftwerke.

Verschiedene Arten von Code Signing-Zertifikaten

Für die Verwendung im öffentlichen Vertrauensbereich sind Code-Signatur-Zertifikate als Organisationsvalidierungszertifikate (OV), Standardzertifikate und Zertifikate mit erweiterter Validierung (EV) erhältlich.

Signaturzertifikate für Extended Validation (EV) -Codes

Sie bieten alle Vorteile digital signierten Codes sowie ein strenges Prüfverfahren, was die Akzeptanz und das Vertrauen stärkt. Dadurch können Ihre Nutzer noch mehr Vertrauen in die Zuverlässigkeit Ihrer Anwendungen haben.

Vorteile eines EV-Codierungszertifikats:

• Zwei-Faktor-AuthentifizierungEV-Zertifikate werden standardmäßig mit einem hardwaregeschützten privaten Schlüssel ausgeliefert, wodurch ein zusätzlicher Authentifizierungsfaktor neben dem Zertifikat selbst geschaffen wird.
• Zeitkritisches SignierenIhre Unterschrift bleibt auch nach dem ursprünglichen EV gültig. Codesignaturzertifikat Die Signatur, die zum Signieren verwendet wurde, ist abgelaufen. Sie kann durch Hinzufügen eines optionalen Zeitstempels wiederhergestellt werden. Ohne Zeitstempel verfällt Ihre Signatur zusammen mit dem Zertifikat, sodass eine neue Codesignatur erforderlich ist.
• SmartScreen für Microsoft Defender: Automatische Erlangung des vertrauenswürdigen Status im Microsoft Defender SmartScreen® Reputation-Filter, wodurch Warnungen reduziert und gleichzeitig die Markenreputation und das Vertrauen der Nutzer gestärkt werden.
• Plattformkompatibilität für alle TypenIhr Zertifikat muss nicht neu ausgestellt werden, um Code für eine andere Plattform (wie Authenticode, Kernel Mode usw.) zu signieren.

Organization Validation (OV) Code Signing-Zertifikat

Organisationen wie Softwareverlage, die ihre Softwareanwendungen mit einer zertifizierten Organisationsidentität signieren möchten, sollten ein OV-Codesignaturzertifikat verwenden. Teams, die mit einer gemeinsamen Organisationsidentifikation signieren, profitieren am meisten von der Verwendung eines OV-Codesignaturzertifikats.

Die Organisationsauthentifizierung ist die erste Voraussetzung für den Erhalt eines Organization Validated Code Signing-Zertifikats. Dabei versucht die Zertifizierungsstelle (CA) zu bestätigen, dass Ihr Unternehmen ein reales, bestehendes und am Standort seiner Registrierung rechtsfähiges Unternehmen ist.

Was genau ist organisatorische Authentifizierung?

Die Anforderungen an die Organisationsauthentifizierung sind zutreffend: Die Zertifizierungsstelle (CA) bestätigt, dass Ihre Organisation ein ordnungsgemäß registriertes Unternehmen ist. Sind Ihre Unterlagen aktuell, sollte es keine Probleme geben. Beachten Sie jedoch, dass Sie sicherstellen müssen, dass alle Ihre Registrierungsinformationen korrekt sind, falls Ihr Unternehmen Handelsnamen, Firmennamen oder DBAs (Doing Business As) verwendet.

Normalerweise kann die CA dies mithilfe einer Online-Regierungsdatenbank bestätigen. Keine Panik, falls die CA keinen Zugriff darauf hat, entweder weil Ihre Daten nicht aktuell sind oder gar keine Datenbank vorhanden ist; es gibt alternative Möglichkeiten, diese Kriterien zu erfüllen:

• Offizielle RegistrierungsdokumenteDie CA akzeptiert auch offizielle Geschäftsdokumente, die belegen, dass Ihre Organisation eine legitime juristische Person ist.
• Dun & BradstreetDun & Bradstreet ist ein Unternehmen, das Finanzberichte über andere Organisationen erstellt.
• RechtsgutachtenschreibenEin Dokument, in dem ein Anwalt oder Wirtschaftsprüfer im Wesentlichen für die Echtheit Ihrer Organisation bürgt.

OV- vs. EV-Codesignaturzertifikate: Ein direkter Vergleich

Eine Sache hat sich seit dem ersten Vergleich von OV- und EV-Zertifikaten geändert: Seit dem 1. Juni 2023 schreiben die aktualisierten Code Signing Baseline Requirements des CA/Browser Forums hardwaregeschützte, nicht exportierbare private Schlüssel (FIPS 140-2 Level 2 oder Common Criteria EAL 4+) sowohl für OV- als auch für EV-Codesignaturzertifikate vor, nicht nur für EV-Zertifikate. Die folgende Tabelle spiegelt diese aktuelle Baseline wider.

Eigenschaften	OV-Codesignatur	EV-Code-Signierung
Identitätsprüfung	Organisationsauthentifizierung (Registrierung, DBA-Prüfungen)	Erweiterte Überprüfung: Überprüfung der rechtlichen, physischen und betrieblichen Existenz
Speicherung des privaten Schlüssels (seit Juni 2023)	Obligatorisches Hardware-Kryptomodul (HSM oder Token)	Obligatorisches Hardware-Kryptomodul (HSM oder Token)
Maximale Gültigkeit (ab März 2026)	460 Tage	460 Tage
SmartScreen-Ruf	Steigt sich mit der Zeit allmählich durch das Downloadvolumen an.	Sofortiger Vertrauensstatus
Typische Ausstellungszeit	Schneller; standardmäßige Unternehmensverifizierung	Langsamer; umfassendere Überprüfung
Am besten geeignet,	Interne Tools, kleinere ISVs, Teams, die unter einer gemeinsamen Organisationsidentität arbeiten	Weit verbreitete Verbrauchersoftware, Treibersignierung, vertrauenswürdige Releases

Für die Code-Signierung geltende Richtlinien und Standards

Richtlinien und Verfahren für die Ausstellung und Verwendung von Code-Signaturschlüsseln, einschließlich solcher zu Themen wie diesen, sind Bestandteil effektiver Code-Signatur-Richtlinien.

• SchlüsselausgabeLegen Sie bei der Entwicklung von Verwaltungsprotokollen Regeln und Richtlinien fest, wer wann Schlüssel ausgeben darf. Kontrollieren Sie die Eigenschaften der verschiedenen Schlüsseltypen, um die Ausgabe neuer Schlüssel mit anfälligen Algorithmen zu verhindern.
• SchlüsselverwaltungKonfigurieren Sie die Steuerelemente und Protokolle für Benutzerrollen. Wer kontrolliert die Schlüssel? Welche Rollen gibt es in Teams, Organisationen und verschiedenen Produktionsphasen, und wie sind diese aufgeteilt? SchlüsselverwaltungDie Standortverfolgung aller Schlüssel im gesamten Unternehmen sollte Teil dieser Verfahren sein.
• SchlüsselspeicherDer Schutz von Schlüsseln ist unerlässlich. Legen Sie Beschränkungen und Protokolle für die Speicherung aktiver und inaktiver Schlüssel fest. HSMs, Token und die Schlüsselzugriffsverwaltung mit Multi-Faktor-Authentifizierung sollten dabei berücksichtigt werden.
• SignaturberechtigungenDie Teammitglieder sollten wissen, wer zur Unterschrift berechtigt ist und zu welchen Anlässen, und wie sie eine Unterschrift anfordern können, wenn dies nicht in ihrer Verantwortung liegt.
• SchlüsselverwendungKorrekte Signaturverfahren hängen entscheidend davon ab, wie Schlüssel verwendet werden – oder eben nicht verwendet werden. Schlüssel müssen von den berechtigten Parteien zum richtigen Zeitpunkt verwendet werden.
• Verhindern der SchlüsselfreigabeAuch innerhalb der internen Server, Netzwerke und Systeme des Teams sollten Teammitglieder keine Schlüssel austauschen. Schlüssel sollten für jede Rolle individuell ausgegeben, verwaltet und aufbewahrt werden.
• Kontinuierliche SignierungBetrachten Sie die Signierung von Code und Software niemals als mühsamen Compliance-Prozess oder als etwas, das man erst im Nachhinein berücksichtigt. Kontinuierliche Signierung (CS) sollte fester Bestandteil jedes CI/CD-Workflows sein, um die korrekte und konsistente Anwendung von Codesicherheit zu gewährleisten.

Wie funktioniert Code Signing?

1. Wählen Sie Ihr bevorzugtes Code Signing-ZertifikatMöchten Sie die Warnung „Unbekannter Herausgeber“ in Windows Defender SmartScreen dauerhaft entfernen? Wählen Sie ein EV-Codesignaturzertifikat. Suchen Sie nach einer kostengünstigeren Alternative? Verwenden Sie stattdessen ein OV-Codesignaturzertifikat. Bei OV-Zertifikaten muss das Vertrauen erst mit der Zeit aufgebaut werden, im Gegensatz zu EV-Zertifikaten, bei denen es sofort gewährt wird.
2. Generieren eines privaten und öffentlichen Schlüsselpaars: Schon seit asymmetrische Verschlüsselung Für die Codesignierung benötigen Sie ein öffentliches und ein privates Schlüsselpaar, das gemäß den aktuellen CA/Browser-Forum-Regeln im Hardware-Kryptomodul und nicht in Software generiert wird.
3. Hashen und verschlüsseln Sie Ihren CodeIhr Code wird durch eine Einweg-Hashfunktion geleitet. Als Ergebnis wird ein vordefinierter alphanumerischer Hashwert generiert und mit Ihrem privaten Schlüssel verschlüsselt. In diesem Fall hat jeder Zugriff auf den Code, kann ihn aber nicht unbemerkt verändern.
4. Hinzufügen eines ZeitstempelsSolange das Zertifikat zum Zeitpunkt der Signierung des Codes gültig war, wird die Software weiterhin als authentisch anerkannt, wodurch Fehlermeldungen vermieden werden, wenn Ihr Zertifikat schließlich abläuft.
5. Signieren Sie Ihre SoftwareKombinieren Sie den Digest, das Codesignaturzertifikat und die Hash-Funktion und fügen Sie den neu erstellten Signaturblock in Ihre ausführbare Datei oder Ihren Code ein.

Code Signing Tools

Obwohl sie unterschiedliche Anwendungsbereiche haben, funktionieren Codesignatur-Tools ähnlich wie Tools zur Dokumentensignatur. Ein Tool zur Dokumentensignatur (wie DocuSign) verwendet digitale Signaturen, um zu bestätigen, dass alle Vertragsparteien eines Dokuments dessen Bedingungen akzeptiert haben und dass das Dokument seitdem nicht verändert wurde. Mithilfe digitaler Signaturen kann ein Codesignatur-Tool nachweisen, dass die Software tatsächlich vom angegebenen Entwickler geschrieben wurde und nachträglich nicht verändert wurde.

Anwendungsfälle für das Code Signing Tool

• Code-SignaturEine Codesignatur bestätigt, dass ein Softwarestück von der Person geschrieben wurde, die sich als dessen Schöpfer ausgibt, und hilft so, sich vor Schadsoftware zu schützen, die sich als legitime Software ausgibt.
• Validierung der SoftwareintegritätDie signierten Daten dürfen seit der Erstellung der digitalen Signatur nicht verändert worden sein, damit die Transaktion rechtmäßig ist.
• Abwehr von Supply-Chain-Angriffen: Lieferkettenangriffe wie SolarWinds Dabei wird legitimer Code so verändert, dass Schadsoftware eingeschleust wird. Codesignaturen erschweren diese Angriffe, da der Angreifer seinen Schadcode signieren lassen muss, damit dieser als glaubwürdig gilt.

Diese Vorteile müssen jedoch auch für ein sicheres Codesignierungsverfahren gelten. Gelingt es einem Angreifer, Signaturschlüssel zu erlangen oder ein Unternehmen zur Signierung seines Schadcodes zu bewegen, erscheint dieser für die Nutzer legitim. Genau dieser Druck treibt die im nächsten Abschnitt beschriebenen Trends an.

Wohin die Codesignatur geht: Reale Trends für 2026 und darüber hinaus

Die oben genannten Grundlagen haben sich nicht geändert, aber der Druck, sie korrekt umzusetzen, hat zugenommen. Vier Entwicklungen verändern derzeit die Art und Weise, wie Unternehmen Code signieren.

Hardwarebasierte Schlüssel sind jetzt Pflicht, nicht mehr optional.

Seit dem 1. Juni 2023 schreiben die aktualisierten Anforderungen des CA/Browser Forums für die Code-Signatur vor, dass sowohl OV- als auch EV-Codesignaturzertifikate in einem Hardware-Kryptomodul generiert und gespeichert werden müssen, das nach FIPS 140-2 Level 2 oder Common Criteria EAL 4+ zertifiziert ist. Der Schlüssel darf nicht exportiert werden. Was früher ein Unterscheidungsmerkmal ausschließlich für EV-Zertifikate war, ist nun die Mindestanforderung für jedes öffentlich vertrauenswürdige Codesignaturzertifikat, unabhängig davon, ob es sich um einen physischen USB-Token oder ein vernetztes HSM handelt.

Lieferkettenangriffe machen Unterzeichnung und Herkunftsnachweis unabdingbar

Das Bedrohungsmodell hinter dieser Hardwareanforderung ist nicht theoretisch. Der Sonatype-Bericht „State of the Software Supply Chain 2026“ identifizierte über 454,600 neue schädliche Open-Source-Pakete im Jahr 2025 – ein Anstieg von 75 % gegenüber dem Vorjahr (Pressemitteilung vom 28. Januar 2026). Die Beteiligung von Drittanbietern an Sicherheitsvorfällen verdoppelte sich ebenfalls innerhalb eines Jahres von 15 % auf 30 % – der größte jemals im Verizon-Bericht „Data Breach Investigations 2025“ verzeichnete Anstieg. Ein Sicherheitsvorfall ist kostspielig: Ein Lieferkettenvorfall kostet durchschnittlich 4.91 Millionen US-Dollar und benötigt 267 Tage, um identifiziert und eingedämmt zu werden – der längste Lebenszyklus aller im IBM-Bericht „Cost of a Data Breach 2025“ erfassten Angriffsvektoren. Signierte und nachvollziehbare Builds gehören zu den wenigen Kontrollmechanismen, die diesem Trend direkt entgegenwirken.

Post-Quanten-Signaturen kommen für Codesignaturschlüssel.

Heutige Code-Signaturzertifikate basieren auf RSA oder ECDSA, die beide mit Shors Algorithmus geknackt werden können, sobald ein ausreichend leistungsstarker Quantencomputer existiert. Das NIST hat ML-DSA (FIPS 204) bereits als primären Standard für digitale Signaturen nach der Quantentechnologie finalisiert, mit SLH-DSA (FIPS 205) als Backup und FN-DSA (FIPS 206, basierend auf FALCON) in der Entwicklung. Signierte Artefakte müssen, anders als eine einzelne TLS-Sitzung, oft über Jahre hinweg verifizierbar bleiben. Daher ist die Code-Signatur ein dringlicher Aspekt der Migrationsdebatte zur Post-Quanten-Kryptografie und kein eher fernes Thema. Bevor diese Migration geplant werden kann, benötigen Unternehmen ein präzises kryptografisches Inventar, das genau festlegt, welche Signaturschlüssel, Algorithmen und Zertifikate in ihren Build-Pipelines verwendet werden.

SLSA und Build Provenance werden zur neuen Basislinie

Eine gültige Signatur beweist, wer ein Artefakt signiert hat; sie beweist jedoch nicht, wie dieses Artefakt erstellt wurde. Das Supply-Chain-Levels-for-Software-Artifacts-Framework (SLSA) schließt diese Lücke, indem es neben der Signatur selbst eine verifizierbare Herkunftskette, manipulationssichere Build-Systeme und Quellcodeintegrität fordert. Unternehmen, die SLSA Level 3 anstreben, verwenden typischerweise dieselben hardwaregestützten Signaturschlüssel, die das CA/Browser Forum mittlerweile vorschreibt, da eine stärkere Herkunftskette nur so vertrauenswürdig ist wie der Schlüssel, mit dem sie signiert wird.

Die Gültigkeitsdauer von Zertifikaten verkürzt sich, daher ist die Zeitstempelung unerlässlich.

Die Hardware-Schlüssel-Pflicht war nicht das letzte Wort des CA/Browser-Forums zum Thema Codesignierung. Gemäß Wahlvorschlag CSC-31 ist die Gültigkeit öffentlich vertrauenswürdiger Codesignierungszertifikate, die ab dem 1. März 2026 ausgestellt werden, auf 460 Tage begrenzt – im Vergleich zu den zuvor geltenden 39 Monaten. Dies halbiert die Nutzungsdauer eines Zertifikats und macht die Zeitstempelung jeder Signatur praktisch obligatorisch: Ohne einen RFC-3161-Zeitstempel kann signierte Software nicht mehr verifiziert werden, sobald das Zertifikat abläuft. Dies geschieht nun deutlich früher, als Unternehmen es gewohnt sind. Um eine Lücke in der Signaturfähigkeit zu vermeiden, müssen die bisher auf einen mehrjährigen Zyklus ausgelegten Erneuerungszyklen auf einen unterjährigen umgestellt werden.

CodeSign Secure: Das ultimative Tool für die Code-Signatur, das Sie brauchen!

Encryption Consulting bietet Ihnen das beste verfügbare Tool für Codesignaturen . CodeSign Secure , eine der effizientesten und benutzerfreundlichsten Lösungen für Codesignaturen, bietet verschiedene Signaturarten für Ihre unterschiedlichen Anwendungsfälle.

• Windows-Signierung
• Jar Signer
• Öffnen Sie die SSL-Signatur

Mit unserem Kommandozeilen-Tool KSP bieten wir Ihnen all diese Funktionen aus einer Hand. KSP erkennt automatisch die Dateierweiterung und wählt die passende Signiermethode. Nach wenigen Eingaben liefert KSP Ihnen innerhalb kürzester Zeit die signierte Datei und bietet Ihnen so eine zentrale Arbeitsumgebung für alle Ihre Signieranforderungen.

Was unterscheidet unser Unternehmen von anderen Unternehmen?

• Wir verwenden CodeSign Secure, das Folgendes nutzt: clientseitiges HashingDies bietet eine zusätzliche Sicherheitsebene. Das Hashing einer Datei an ihrem Ursprungsort trägt zur Wahrung ihrer Integrität bei und ermöglicht dem Kunden einen klaren Überblick über die Datei und die Vorgänge nach der Signierung.
• Die Datei ist innerhalb eines signiert HSMDie Tasten sind niemals der Außenwelt ausgesetzt und erfüllen somit standardmäßig die Hardware-Tastenanforderungen des CA/Browser Forums.
• Unsere Organisation bietet eine rollenbasierte Zugriffskontrolle für die Code-/Dateisignierung, die dem Benutzer die korrekten Zugriffsrechte und Berechtigungen gewährt.
• Durch das Hinzufügen eines Zeitstempels zu Ihrem signierten Code vermeiden Sie das Risiko, dass die Software unerwartet abläuft, wenn das Codesignaturzertifikat abläuft.
• CodeSign Secure nutzt die neuesten Richtlinien und Standardnormen für die Codesignierung und verfolgt die in jedem signierten Artefakt verwendeten kryptografischen Algorithmen, um sich auf die Migration nach der Quantensignatur vorzubereiten.

Fazit

Software wird in nahezu allen Bereichen des täglichen Lebens und in geschäftskritischen Systemen weltweit eingesetzt. Daher ist es unerlässlich, dass der auf diesen Systemen ausgeführte Code vertrauenswürdig ist. Sichere Codesignierung ist daher zwingend notwendig geworden, da Anwendungen mit sensiblen Daten, Geschäftstransaktionen oder Vorgängen, die die Sicherheit von Menschenleben betreffen, mehr als vorgefertigte Signaturverfahren erfordern. Hardwarebasierte Schlüssel sind mittlerweile Pflicht und kein Premium-Feature mehr, Angriffe auf Lieferketten nehmen in allen messbaren Statistiken zu, und Post-Quanten-Signaturalgorithmen sind bereits fertiggestellt, auch wenn ihre Anwendung noch in den Anfängen steckt.

Unser Codesignatur-Tool CodeSign Secure bietet eine einfache und effiziente Möglichkeit, Ihren Code zu signieren und Ihre Software zu schützen. So stellen Sie sicher, dass Ihre Software den aktuellen Standards von Zertifizierungsstellen und Browserforen entspricht und für zukünftige kryptografische Entwicklungen gerüstet ist. Es ist benutzerfreundlich und komfortabel in der Anwendung und hilft Ihnen, das Vertrauen Ihrer Nutzer zu stärken, sich vor Malware und Online-Angriffen zu schützen und Ihren Ruf als Entwickler zu wahren.

Häufig gestellte Fragen

Benötigen OV-Codesignaturzertifikate jetzt auch ein Hardware-Sicherheitsmodul?

Ja. Seit dem 1. Juni 2023 schreiben die Code Signing Baseline Requirements des CA/Browser Forums hardwaregeschützte, nicht exportierbare private Schlüssel sowohl für OV- als auch für EV-Codesignaturzertifikate vor, nicht mehr nur für EV-Zertifikate wie zuvor.

Worin besteht heute der tatsächliche Unterschied zwischen OV- und EV-Codesignaturzertifikaten?

Da nun für beide Arten der Schlüsselspeicherung in Hardware erforderlich ist, liegen die wesentlichen Unterschiede in der Tiefe der Identitätsprüfung und der SmartScreen-Reputation: EV-Zertifikate erhalten sofort einen vertrauenswürdigen Status, während OV-Zertifikate ihre Reputation schrittweise durch das Downloadvolumen im Laufe der Zeit aufbauen.

Warum sind Statistiken zu Lieferkettenangriffen speziell für die Codesignierung relevant?

Sonatype identifizierte allein im Jahr 2025 über 454,600 neue schädliche Open-Source-Pakete – ein Anstieg von 75 % gegenüber dem Vorjahr. Laut dem Verizon DBIR 2025 hat sich die Beteiligung von Drittanbietern an Sicherheitsvorfällen auf 30 % verdoppelt. Die Codesignierung ist eine der wenigen Kontrollmechanismen, mit denen nachgelagerte Nutzer überprüfen können, ob ein Artefakt nach Verlassen des legitimen Herausgebers manipuliert wurde.

Wird die Post-Quanten-Kryptographie Auswirkungen auf bestehende Codesignaturzertifikate haben?

Nicht sofort, aber die RSA- und ECDSA-Algorithmen, die den heutigen Codesignaturzertifikaten zugrunde liegen, sind quantenanfällig. Das NIST hat ML-DSA (FIPS 204) als primären Ersatzstandard für Signaturen festgelegt, und Organisationen mit langlebigen signierten Dokumenten sollten jetzt mit der Erstellung eines kryptografischen Inventars beginnen, anstatt auf eine erzwungene Migration zu warten.

Was ist SLSA und in welchem ​​Zusammenhang steht es mit der Codesignierung?

SLSA (Supply-chain Levels for Software Artifacts) ist ein Framework zur Überprüfung des Softwareentwicklungsprozesses, nicht nur der Signatur. Eine Signatur bestätigt Urheberschaft und Integrität zum Zeitpunkt der Unterzeichnung; die SLSA-Provenienz bestätigt, dass der Entwicklungsprozess selbst nicht manipuliert wurde. Beide Ansätze werden zunehmend gemeinsam eingesetzt.

Hat sich die maximale Gültigkeitsdauer für Codesignaturzertifikate kürzlich geändert?

Ja. Gemäß Wahlgesetz CSC-31 ist die Gültigkeitsdauer von Zertifikaten, die ab dem 1. März 2026 ausgestellt werden, auf 460 Tage begrenzt, im Vergleich zu den bisherigen 39 Monaten. Daher ist die Zeitstempelung jeder Unterschrift unerlässlich, da die Zertifikate nun etwa alle 15 Monate statt alle 3 Jahre ablaufen.

Erfüllt CodeSign Secure die aktuellen Hardware-Schlüsselanforderungen des CA/Browser Forums?

Ja. CodeSign Secure signiert standardmäßig innerhalb eines HSM, sodass die privaten Schlüssel die Hardware während des Signiervorgangs niemals verlassen. Damit wird die Anforderung FIPS 140-2 Level 2 (oder höher) erfüllt, die das CA/Browser Forum nun für alle öffentlich vertrauenswürdigen Codesignaturzertifikate vorschreibt.