Sicherheitszertifikat - das unbekannte Wesen

Definition

Sicherheitszertifikate enthalten elektronische Schlüssel, mit denen die Identität eines Menschen, eines Computers oder eines Unternehmens bestätigt wird.

Sicherheitszertifikate werden landläufig auch als elektronische Signatur bezeichnet. Tatsächlich ist die elektronische Signatur aber nur Teil des gesamten Zertifikates.

Klassifizierungen

Sicherheitszertifikate können nach verschiedenen Kriterien unterschieden werden. So wird zum Beispiel im österreichischen Signaturgesetz nach der Qualität des Zertifikates unterschieden in einfache oder qualifizierte Signatur.

Man kann aber auch nach der Zertifizierungsstelle unterscheiden. So gibt es einerseits kommerzielle Zertifizierungsstellen und andererseits nicht kommerzielle. Während kommerzielle Stellen praktisch ausschließlich sternförmig arbeiten (1 Stelle zertifiziert beliebig viele Kunden), arbeiten nicht kommerzielle Stellen zumeist nach dem WOT-Prinzip (Web of Trust).

Beispiele

Typische Beispiele für kommerzielle Zertifizierungsstellen sind die A-TRUST, Symantec oder Verisign.

Als nicht kommerzielle Zertifizierungsstelle hat sich CACert etabliert.

Wozu wir Sicherheitszertifikate brauchen

Identifikation und Verschlüsselung

Sicherheitszertifikate sind immer dort hilfreich, wo Daten mit Fremden ausgetauscht werden. Mit Hilfe des Sicherheitszertifikats kann überprüft werden, ob der Gesprächspartner wirklich der ist, für den er sich ausgibt.

Sicherheitszertifikate können auch verwendet werden um vertrauliche Informationen zu verschlüsseln oder deren Unversehrtheit zu überprüfen. Wenn Sie Ihre E-Mails digital signieren, kann der Empfänger sehr leicht überprüfen, ob auch wirklich die Nachricht bei ihm angekommen ist, die Sie im geschickt haben (es könnte ja auch sein, dass jemand den Inhalt verändert).

Wie Sicherheitszertifikate funktionieren

Asymmetrische Verschlüsselung

Die Funktionsweise von digitalen Schlüsseln wird auf wiki.cacert.org sehr gut und vor Allem umfangreich beschrieben. Wir wollen das Rad nicht neu erfinden. Deshalb bieten wir hier eine Zusammenfassung:

Digitale Zertifikate funktionieren asymmetrisch. Das heißt es gibt zwei Schlüssel, einen öffentlichen und einen privaten. Während mit dem privaten Schlüssel Daten (insbesondere Prüfsummen) geschrieben werden können, können sie mit dem öffentlichen Schlüssel nur gelesen werden.

Der private Schlüssel ist geheim. Er darf unter keinen Umständen veröffentlicht werden. Der öffentliche Schlüssel hingegen darf beliebig veröffentlicht werden. Daten, die einmal über den öffentlichen Schlüssel verschlüsselt wurden, können nicht mehr über den öffentlichen sondern nur mit dem privaten Schlüssel entschlüsselt werden. Genauso umgekehrt: Daten, die einmal über den privaten Schlüssel verschlüsselt wurden, können nur noch über den öffentlichen Schlüssel entschlüsselt werden.

Prüfsummen über Dokumente werden mit dem privaten Schlüssel verschlüsselt. So kann jeder, der den öffentlichen Schlüssel kennt, die Prüfsumme lesen und überprüfen. Jedoch kann niemand die Prüfsumme fälschen, da hierzu der private Schlüssel benötigt würde.

Wo man Sicherheitszertifikate bekommt

kommerzielle Anbieter

Im Internet gibt es eine Unzahl kommerzieller Anbieter, die Ihnen Sicherheitszertifikate direkt über das Internet und innerhalb weniger Minuten versprechen. Da stellt sich natürlich die Frage, was so ein Zertifikat wert sein kann. Schließlich ist  es bei derlei Methoden für den Zertifikatsgeber völlig unmöglich die Angaben zu überprüfen. Wir raten daher von derartigen Zertifikaten ab.

Es gibt natürlich auch höchst professionell arbeitende Anbieter. Der Nachteil dort ist, dass der Indentifikationsprozess langwierig und kostenintensiv ist.

Bürgercard

Wenn Sie nur eine digitale Signatur für sich selbst brauchen und diese auch nicht gewerblich sondern nur privat nutzen wollen, dann können Sie sich auf Ihrer E-Card die Bürgerkarte frei schalten lassen. Dabei werden die Personenstandsdaten tatsächlich genau geprüft. Die Qualität der Signatur ist daher sehr gut. Allerdings können Sie damit nur sich selbst, nicht aber ein ganzes Unternehmen oder Geräte (z. B. Webserver) zertifizieren.

Elektro-Byte

Wollen Sie ein Zertifikat für Ihren Webserver (oder andere datenaustauschende Geräte) oder für Ihr Unternehmen, hilft Ihnen die Bürgerkarte nicht weiter. In diesem Fall, oder wenn Sie gerne ein Zertifikat hätten, bei dem Sie nicht laufend ein Passwort eingeben müssen, kommen Sie zu uns.

Warum gerade CACert?

Wir glauben, dass das Web of Trust-Prinzip die beste Methode zur Zertifizierung ist. Außerdem unterstützen wir die Anliegen von CACert, die sich auf folgende 3 Punkte reduzieren lassen:

  • Training – wir bilden unsere Nutzer.
  • Offenheit und Transparenz. Wir versuchen so viele unserer Prozesse wie möglich öffentlich zu machen.
  • Nicht kommerziell, nicht profitorientiert.

Wie passt der letzten Punkt zu einem wirtschaftlich agierenden Unternehmen?

Wir glauben, es gibt Dinge, die wichtiger sind als Profit, zum Beispiel Freiheit und Privatsphäre. Deshalb ist es uns einfach wichtig, Sicherungsmechanismen „unter’s Volk zu bringen“. Außerdem sagt der Volksmund nicht umsonst: „Über’s reden komme d’Leut z’sam.“ Und darauf hoffen wir natürlich auch. Wenn Sie zu uns kommen und sich ein Sicherheitszertifikat holen, dann können wir auch über andere Dinge ins Gespräch kommen und vielleicht ergibt sich daraus ja eine Zusammenarbeit.