Gefahren Domainvalidierter SSL-Zertifikate

SECURITY-THEMEN

Gefahren domainvalidierter SSL/TLS-Zertifikate

SSL-Zertifikate verschlüsseln nicht nur Daten, sondern authentifizieren auch Websites. Diese Funktion ist wichtig und grundlegend, da sie das Vertrauen in die Website stärkt. Website-Besuchern wird das SSL-Vorhängeschloss oder HTTPS angezeigt, sodass sie wissen, dass die Website echt ist.

Was ist Domainvalidierung?

Bei der Bekämpfung von gefälschten Websites, Phishing und Betrug sind vertrauenswürdige SSL-Zertifikate unverzichtbar. Daher können domainvalidierte Zertifikate gefährlich sein. Zertifizierungsstellen stellen ein domainvalidiertes Zertifikat jeder Person aus, die als administrativer Ansprechpartner der Domain im WHOIS-Eintrag für einen Domainnamen aufgeführt ist. Sie senden lediglich eine E-Mail an die E-Mail-Adresse des Ansprechpartners. Eine weitere Überprüfung findet nicht statt.

Hierbei handelt es sich um die niedrigste Authentifizierungsstufe für die Validierung von SSL-Zertifikaten. Höhere Stufen umfassen unternehmensvalidierte und Extended Validation-Zertifikate, für die umfangreichere und detailliertere Prüfungen erforderlich sind.

SSL/TLS-Authentifizierung

Warum können domainvalidierte Zertifikate gefährlich sein?

Das Problem bei domainvalidierten Zertifikaten besteht darin, dass Internetkriminelle problemlos SSL-Zertifikate für Phishing-Websites mit einer falschen Schreibweise eines legitimen Domainnamens erhalten können. Wenn ein Internetkrimineller es beispielsweise auf BankEins.com abgesehen hat, könnte er bank1.com registrieren und mithilfe eines kostenlosen Webmail-Kontos ein domainvalidiertes Zertifikat für diese Website erhalten.

Wenn ein Besucher sich täuschen lässt und die Phishing-Website besucht, werden ihm das beruhigende HTTPS und das SSL-Vorhängeschloss angezeigt. Die falsche Schreibweise der Website-Adresse wird von ihm nicht unbedingt bemerkt.

Wie erkennt man ein domainvalidiertes Zertifikat?

Es ist in der Tat sehr schwierig festzustellen, ob ein Zertifikat domainvalidiert ist. Daher kann es sein, dass Benutzer gleichermaßen Ihrer Website und der geklonten Phishing-Website vertrauen. Wenn sie dann feststellen, dass ihre Daten gestohlen wurden, werden sie möglicherweise Sie dafür verantwortlich machen.

Die Verfahren, mit denen Website-Inhaber verifiziert werden, sind je nach Zertifizierungsstelle unterschiedlich. Bei Extended Validation-Zertifikaten ist jedoch gewiss, dass ihnen höhere Authentifizierungsstufen zugrunde liegen, was Besuchern Ihrer Website durch eine grüne Adressleiste angezeigt wird (siehe unten Beispiele aus den gängigsten Browsern).

Die vertrauenswürdige Alternative

Da es immer mehr gefälschte Websites gibt, die leicht zu beschaffende SSL-Zertifikate nutzen, können es sich Website-Betreiber nicht leisten, mit domainvalidierten Zertifikaten ein Risiko einzugehen. Vor allem wenn Benutzer auf der Website zur Eingabe besonders sensibler oder persönlicher Daten aufgefordert werden, werden sie eher nach zusätzlicher Rückversicherung Ausschau halten.

Indem Sie ein Zertifikat von einer angesehenen Zertifizierungsstelle wie Symantec einsetzen und eine hochsichere Validierungsmethode wie Extended Validation wählen, erhalten Sie eine vertrauenswürdigere Alternative. Und dies kann für Ihr Geschäft sicherlich besser sein, als mit domainvalidierten Zertifikaten ein Risiko einzugehen.

Laden Sie unsere interaktive Ressource "SSL/TLS erklärt" herunter, um mehr über SSL zu erfahren – von der Funktionsweise bis hin zur Einrichtung auf Ihren Servern.

Die drei häufigsten Mythen über Website-Sicherheit

Was steckt dahinter?

Um die Website-Sicherheit ranken sich so viele Unwahrheiten und Mythen, dass es schwierig sein kann, bis zur Wahrheit durchzudringen, um den richtigen Schutz für Ihr Unternehmen, Ihre Website und Ihre Kunden auszuwählen.

"DIE DREI HÄUFIGSTEN MYTHEN" LESEN

Symantec Private Certification Authority Service (Private CA)

Symantec Private CA ist eine kostengünstige Lösung, die Sicherheit und Management von privaten Intranet-Zertifikaten verbessert und gleichzeitig unternehmensinterne und branchenspezifische Compliance-Standards einhält. Vermeiden Sie den Ablauf von Zertifikaten, indem Sie die Sichtbarkeit und Benachrichtigungen der Symantec Managed PKI for SSL-Konsole nutzen, um Ihre privaten Intranet-Zertifikate umgehend auszustellen, zu verwalten und nachzuverfolgen.

Was ist EV SSL?

Symantec SSL/TLS-Zertifikate mit Extended Validation (EV) bieten Lösungen, die es Unternehmen und Verbrauchern ermöglichen, sicher online zu kommunizieren und Geschäfte abzuwickeln.

Clientzertifikate und Serverzertifikate: Wodurch unterscheiden sie sich?

Bei der Erwähnung von PKI oder "Clientzertifikaten" denken viele Menschen an Unternehmen, die damit beschäftigt sind, die Online-Transaktionen ihrer Kunden zu schützen und abzuwickeln. Doch diese Zertifikate finden sich überall in unserem Alltag und es gibt sie in zahlreichen Variationen, beispielsweise wenn wir uns bei einem VPN einloggen, Geld an einem Bankautomaten abheben, uns mithilfe einer Karte Zutritt zu einem Gebäude verschaffen oder eine Oyster-Smartcard im Londoner öffentlichen Nahverkehr nutzen.

Weiterlesen