Das richtige SSL-Zertifikat auswählen: Wildcard vs. SAN (Multi-Domain)

Wenn Sie für Ihr Unternehmen mehr als eine Domain oder Subdomain absichern müssen, haben Sie sich wahrscheinlich schon einmal die Frage gestellt: Sollten wir ein Wildcard-SSL-Zertifikat oder ein SAN-Zertifikat (Subject Alternative Name) verwenden? Auf den ersten Blick erscheint es einfach, doch Ihre Entscheidung beeinflusst Ihre Sicherheit, die Arbeitsbelastung Ihres Teams und Ihr Budget.

Grundlagen von Wildcard- und SAN-SSL-Zertifikaten (Multi-Domain-Zertifikaten)

Beginnen wir mit den Grundlagen dessen, was die einzelnen Zertifikatstypen leisten.

Ein Wildcard-SSL-Zertifikat sichert eine Domain und alle ihre Subdomains auf einer einzigen Ebene. Beispielsweise deckt ein Wildcard-Zertifikat für *.example.com mail.example.com, app.example.com und store.example.com ab, jedoch nicht sub.sub.example.com. Der Stern (*) dient als Platzhalter und steht für jede Subdomain eine Ebene unterhalb Ihrer Hauptdomain.

Ein SAN-Zertifikat (Subject Alternative Name) , auch Multi-Domain-SSL-Zertifikat oder UCC-Zertifikat (Unified Communications Certificate) genannt, funktioniert anders. Anstatt eines Wildcards werden alle Domains und Subdomains namentlich im Zertifikat aufgeführt. Ein einziges SAN-Zertifikat kann beispielsweise example.com, shop.example.com, example.net und secureportal.anotherdomain.org gleichzeitig abdecken.

Beide sind vertrauenswürdige TLS-Zertifikatstypen . Die Entscheidung hängt nicht davon ab, welcher technisch sicherer ist, sondern davon, welcher besser zu Ihrer Konfiguration passt.

Wildcard-SSL vs. SAN-SSL: Wichtigste Unterschiede

Hier sehen Sie im direkten Vergleich, wie sich diese beiden Zertifikatstypen unterscheiden:

Domainabdeckung: Ein Wildcard-SSL-Zertifikat deckt eine Domain und eine unbegrenzte Anzahl ihrer Subdomains auf einer einzigen Ebene ab. Ein SAN-Zertifikat kann bis zu 250 benannte Domains und Subdomains abdecken, einschließlich völlig unterschiedlicher Stammdomains.

Unterstützung mehrerer Domänen: Wildcard-Zertifikate sind auf eine einzige Basisdomäne beschränkt. SAN-Zertifikate sind für die Verwendung mit mehreren Domänen ausgelegt und können völlig unterschiedliche Domänen mit einem einzigen Zertifikat absichern.

Subdomaintiefe: Wildcard-Zertifikate funktionieren nur eine Ebene tief, zum Beispiel *.example.com. SAN-Zertifikate können Subdomains in beliebiger Tiefe enthalten, solange jede einzelne explizit aufgeführt ist.

Flexibilität: Wildcard-Zertifikate sind flexibel, wenn sich alle Ihre Dienste unter einer einzigen Domain befinden. SAN-Zertifikate sind die bessere Wahl, wenn Sie verschiedene Domains verwalten müssen.

Kosten: Wildcard-Zertifikate sind in der Regel pro Subdomain günstiger, da Sie nur einmal zahlen, unabhängig von der Anzahl der hinzugefügten Subdomains. Die Preise für SAN-Zertifikate skalieren mit der Anzahl der aufgeführten Domains.

Risiko durch privaten Schlüssel: Bei einem Wildcard-Zertifikat wird ein einziger privater Schlüssel für alle Subdomains verwendet, was das Risiko erhöht, falls dieser Schlüssel kompromittiert wird. SAN-Zertifikate ermöglichen eine bessere Kontrolle, wodurch sich das Risiko leichter eindämmen lässt.

Ein wichtiger Punkt: Beide Zertifikatstypen verwenden dieselbe Standard-TLS-Verschlüsselung. Der Unterschied liegt lediglich darin, wie die Zertifikate die geschützten Domains identifizieren, nicht in der Stärke der Verschlüsselung.

Abdeckungsvergleich: Welche Domains und Subdomains sind geschützt?

Wildcard-Zertifikatabdeckung:

• Ein Zertifikat für *.example.com deckt app.example.com, mail.example.com und portal.example.com ab, also alle Subdomains, die direkt unter dieser einen Domain liegen.
• Es umfasst nicht example.com selbst (Sie müssen es separat hinzufügen), dev.app.example.com (zwei Ebenen tief) oder irgendeine andere Stammdomäne.

SAN-Zertifikatabdeckung:

• Ein SAN-Zertifikat kann example.com, www.example.com, app.example.com, example.net und beta.anotherbrand.org in einem einzigen Zertifikat auflisten.
• Die meisten Zertifizierungsstellen unterstützen bis zu 250 alternative Subjektnamen pro Zertifikat.
• Jede Domain muss zum Zeitpunkt der Zertifikatsausstellung registriert sein. Neue Domains werden nicht automatisch abgedeckt.

Ein praktisches Beispiel: Betreiben Sie eine SaaS-Plattform, bei der jeder Kunde eine eigene Subdomain wie beispielsweise customer1.yourapp.com oder customer2.yourapp.com erhält, ist ein Wildcard-Zertifikat die einfachere Wahl. Verwalten Sie hingegen fünf separate Markendomains für eine Holdinggesellschaft, ist ein SAN-Zertifikat besser geeignet.

Sicherheits-, Management- und Kostenüberlegungen

• Sicherheit: Bei einem Wildcard-Zertifikat wird ein einziger privater Schlüssel für alle abgedeckten Subdomains verwendet. Das ist zwar praktisch, bedeutet aber auch, dass bei einer Kompromittierung dieses privaten Schlüssels alle Subdomains gefährdet sind. SAN-Zertifikate ermöglichen hingegen eine präzisere Schlüsselverwaltung pro Domain oder Dienst, was insbesondere in Branchen wie dem Finanz- oder Gesundheitswesen mit ihren strengen Sicherheitsanforderungen von Vorteil ist.
• Management: Wildcard-Zertifikate sind für wachsende Subdomain-Listen einfach zu verwalten, da das Zertifikat beim Hinzufügen einer neuen Subdomain nicht aktualisiert werden muss. SAN-Zertifikate hingegen erfordern bei jeder neuen Domain eine Neuausstellung, was für Teams mit sich ändernden Domain-Anforderungen zusätzlichen Verwaltungsaufwand bedeutet.
• Kosten: Wildcard-Zertifikate sind in der Regel kostengünstiger, wenn Sie viele Subdomains besitzen, da Sie nur einmal zahlen, unabhängig von der Anzahl der hinzugefügten Subdomains. Die Preise für SAN-Zertifikate richten sich üblicherweise nach der Anzahl der aufgeführten Domains, sodass die Kosten mit zunehmender Anzahl der Domains steigen. Bei einer geringen Anzahl verschiedener Domains kann ein SAN-Zertifikat unter Umständen die günstigere Option sein.

Wann man ein Wildcard-SSL-Zertifikat anstelle eines SAN-Zertifikats wählen sollte

Wählen Sie ein Wildcard-SSL-Zertifikat, wenn:

• Sie verwalten eine Domain mit vielen Subdomains oder planen, im Laufe der Zeit weitere Subdomains hinzuzufügen.
• Sie möchten, dass die Dinge einfach bleiben und nicht jedes Mal ein neues Zertifikat ausstellen müssen, wenn ein neuer Dienst startet
• Sie betreiben eine SaaS- oder Multi-Tenant-Plattform, bei der jeder Kunde oder jede Umgebung eine eigene Subdomain erhält.
• Ihr Team ist klein und benötigt eine möglichst unkomplizierte SSL-Zertifikatsverwaltung.

Wählen Sie ein SAN-SSL-Zertifikat (Multi-Domain), wenn:

• Sie müssen mehrere verschiedene Domains sichern, z. B. verschiedene Stammdomains für verschiedene Marken oder Produkte.
• Ihre Organisation verwaltet Domains über verschiedene Top-Level-Domains (TLDs) wie .com, .net oder .org.
• Aus Sicherheits- oder Compliance-Gründen benötigen Sie eine strengere Kontrolle über die Verwaltung privater Schlüssel.
• Sie benötigen für Prüfungszwecke eine lückenlose Aufzeichnung aller geschützten Domains innerhalb des Zertifikats.

Es gibt keine allgemeingültige Antwort. Welcher Zertifikatstyp für Sie am besten geeignet ist, hängt von der Struktur Ihrer Domains, dem Zeitaufwand Ihres Teams für die Zertifikatsverwaltung und der Risikobereitschaft Ihres Unternehmens ab.

Wie Verschlüsselungsberatung helfen kann

Ob Sie sich für ein Wildcard-SSL-Zertifikat oder ein SAN-Zertifikat entscheiden, die operative Herausforderung bleibt dieselbe: den Überblick über Ihre Zertifikate, deren Ablaufdaten und die Sicherheit zu behalten. Mit zunehmender Anzahl Ihrer Domains wächst auch diese Herausforderung. CertSecure Manager wurde genau für diese Anforderungen entwickelt.

CertSecure Manager ist die Zertifikatslebenszyklusmanagement-Plattform von Encryption Consulting. Sie bietet Ihrem Team eine zentrale Übersicht über alle Zertifikate in Ihrer Umgebung – unabhängig von Typ, Zertifizierungsstelle oder Bereitstellungsort. Ob Sie ein einzelnes Wildcard-Zertifikat für Hunderte von Subdomains oder eine wachsende Anzahl von SAN-Zertifikaten für mehrere Markendomains verwalten: Mit CertSecure Manager behalten Sie stets den Überblick und die Kontrolle.

Folgendes ist enthalten:

Zertifikatserkennung: CertSecure Manager durchsucht Ihre gesamte Infrastruktur, um ein vollständiges Verzeichnis aller verwendeten SSL-Zertifikate zu erstellen, einschließlich Wildcard- und SAN-Zertifikaten, die möglicherweise ausgestellt und in Vergessenheit geraten sind. Was man nicht sieht, kann man nicht verwalten.

Ablaufverfolgung und automatische Verlängerung: Jedes Zertifikat in Ihrem Bestand wird hinsichtlich seines Ablaufdatums überwacht. CertSecure Manager kennzeichnet Zertifikate, deren Ablaufdatum bevorsteht, und automatisiert die Verlängerung, sodass Ihr Team nie von einem abgelaufenen Zertifikat überrascht wird, das eine Subdomain oder Domain lahmlegt.

Unterstützung mehrerer Zertifizierungsstellen: Egal ob Ihre Wildcard- oder SAN-Zertifikate von einer öffentlichen Zertifizierungsstelle oder einer internen Zertifizierungsstelle ausgestellt werden, CertSecure Manager verwaltet sie alle an einem Ort, ohne dass Sie Ihre bestehenden Beziehungen zu Zertifizierungsstellen ändern müssen.

Audit-Trail für Compliance: In Branchen, in denen eine klare Dokumentation jeder geschützten Domain eine Compliance-Anforderung ist, protokolliert CertSecure Manager jedes Zertifikatsereignis und liefert Ihren Sicherheits- und Audit-Teams den benötigten Nachweispfad.

Risikotransparenz bei privaten Schlüsseln: Eines der Hauptrisiken von Wildcard-Zertifikaten ist die Verwendung eines gemeinsamen privaten Schlüssels für alle Subdomains. CertSecure Manager ermöglicht Ihnen die Nachverfolgung, wo Zertifikate und die zugehörigen Schlüssel eingesetzt werden, sodass Sie schnell handeln können, falls ein Schlüssel widerrufen und ersetzt werden muss.

Die Wahl des richtigen Zertifikatstyps ist der erste Schritt. Die fortlaufende Aufgabe, die Ihre Benutzer täglich schützt, besteht darin, sicherzustellen, dass das Zertifikat ordnungsgemäß verwaltet, rechtzeitig erneuert und in Ihrer gesamten Umgebung vollständig erfasst wird.

Fazit

Bei der Wahl zwischen einem Wildcard-SSL-Zertifikat und einem SAN-Zertifikat geht es nicht darum, die fortschrittlichere Option auszuwählen. Es geht darum, das richtige Zertifikat für Ihre konkrete Konfiguration zu finden.

Wenn Sie hauptsächlich unter einer Domain arbeiten und fortlaufend Subdomains hinzufügen, bietet Ihnen ein Wildcard-Zertifikat Einfachheit und Flexibilität für zukünftiges Wachstum. Verwalten Sie hingegen viele verschiedene Domains über verschiedene Marken oder Regionen hinweg, bietet Ihnen ein SAN-Zertifikat die nötige Kontrolle und eine übersichtliche Dokumentation.

So oder so bleibt das Ziel dasselbe: Jede Domain und Subdomain, die Ihre Nutzer besuchen, muss durch eine korrekt eingerichtete HTTPS-Verschlüsselung geschützt sein – ohne abgelaufene Zertifikate und ohne Sicherheitslücken. Der richtige Zertifikatstyp ist nur die halbe Miete. Sprechen Sie mit unseren PKI-Experten , um die Zertifikatsstrategie zu finden, die optimal zu Ihrer Umgebung passt, und die Tools, mit denen Sie diese reibungslos betreiben können.