Worin unterscheiden sich kostenlose und kostenpflichtige SSL-Zertifikate hinsichtlich der Sicherheit?

Ein kostenloses SSL-Zertifikat ist nicht automatisch „unsicherer“ als ein kostenpflichtiges. Sofern beide von Browsern als vertrauenswürdig eingestuft werden, geeignete Schlüssel und Algorithmen verwenden und der Server identisch konfiguriert ist, können sie HTTPS-Verbindungen auf demselben Niveau verschlüsseln. Bei kostenpflichtigen Zertifikaten bezahlt man vor allem für eine gründlichere Identitätsprüfung, Support und Verwaltungsfunktionen – nicht einfach für „stärkere Verschlüsselung“.

Um die Unterschiede zwischen kostenlosen und kostenpflichtigen SSL-Zertifikaten zu beurteilen, müssen drei Fragen getrennt betrachtet werden: Sind die übertragenen Daten geschützt? Wurde die Identität des Websitebetreibers überprüft? Und lässt sich das Zertifikat dauerhaft zuverlässig betreiben? Der Preis ersetzt keine dieser Prüfungen.

Die Verschlüsselungsstärke hängt nicht vom Zertifikatspreis ab

Die umgangssprachlich als SSL-Zertifikate bezeichneten Zertifikate werden bei modernen Websites tatsächlich für TLS-Verbindungen verwendet. Das Zertifikat hilft dem Browser, die Identität des Servers zu überprüfen, und trägt zum Aufbau einer verschlüsselten Verbindung bei. Welches Protokoll und welche Verschlüsselungssuite verwendet werden, hängt außerdem von der Aushandlung zwischen Server und Browser ab.

Daher entsteht bei Websites, die gleichermaßen vertrauenswürdige Zertifikate, eine angemessene Schlüsselkonfiguration und TLS 1.2 oder TLS 1.3 verwenden, nicht automatisch ein Unterschied beim Verschlüsselungsniveau, nur weil ein Zertifikat kostenlos und das andere kostenpflichtig ist. Die Aussage „Kostenpflichtige Zertifikate bieten immer eine 256-Bit-Verschlüsselung, kostenlose Zertifikate sind schwächer verschlüsselt“ setzt Zertifikatsschlüssel, Verschlüsselungsalgorithmen der Verbindung und kommerzielle Preisgestaltung fälschlich gleich.

Umgekehrt kann auch ein kostenpflichtiges Zertifikat weder einen offengelegten privaten Schlüssel noch Sicherheitslücken auf dem Server oder eine fehlerhafte Konfiguration ausgleichen. HTTPS schützt die Übertragungsstrecke. Es verhindert nicht, dass schädlicher Code in eine Website eingeschleust wird, und garantiert auch nicht, dass die nach dem Absenden eines Formulars erhobenen Kundendaten angemessen gespeichert werden.

Der eigentliche Unterschied liegt darin, wer überprüft wurde

Bei kostenlosen Zertifikatsdiensten sind Domain-Validation-Zertifikate (DV) verbreitet. Die ausstellende Stelle bestätigt über ein festgelegtes Prüfverfahren, dass der Antragsteller die Kontrolle über die Domain hat. Daraus folgt jedoch keine Bestätigung des Unternehmens, seiner Fähigkeit, Verpflichtungen zu erfüllen, oder seiner geschäftlichen Vertrauenswürdigkeit. Auch ein kostenpflichtiges Zertifikat kann lediglich ein DV-Zertifikat sein. Der Hinweis „kostenpflichtig“ bedeutet nicht automatisch, dass die Identität des Unternehmens überprüft wurde.

Der Mehrwert von OV- und EV-Zertifikaten liegt in zusätzlichen überprüfbaren Angaben zur Organisation, nicht in einer höheren Verschlüsselungsstärke bei gleicher Konfiguration. Gängige Browser zeigen den Unternehmensnamen bei Verwendung eines EV-Zertifikats nicht generell gut sichtbar in der Adressleiste an. Die entsprechenden Angaben müssen gegebenenfalls in den Zertifikatsdetails eingesehen werden. Vor dem Kauf sollte daher geprüft werden, ob das Unternehmen diese Identitätsprüfung tatsächlich benötigt – statt nur für ein erwartetes „hochwertiges Sicherheitsmerkmal“ zu bezahlen.

Auch Phishing-Websites können ein gültiges DV-Zertifikat erhalten. Die Anzeige einer geschützten Verbindung im Browser bedeutet lediglich, dass eine Verbindung zur Domain des Zertifikats besteht. Sie bestätigt nicht, dass diese Domain zur offiziellen Website der Marke gehört, die der Besucher eigentlich aufrufen wollte.

Sicherheitslücken im laufenden Betrieb treten oft bei Verlängerung und Bereitstellung auf

Bei Websites zur Gewinnung von Anfragen und Online-Shops kann ein abgelaufenes Zertifikat Browserwarnungen auslösen und Zugriffe, das Absenden von Formularen und Transaktionen beeinträchtigen. Entscheidend ist, wer für die Verlängerung verantwortlich ist, ob bei einem Fehlschlag ein Alarm ausgelöst wird und wie schnell sich ein Ausfall beheben lässt.

Ein kostenloses Zertifikat muss nicht manuell verwaltet werden. Dienste mit ACME-Unterstützung können die Beantragung und Verlängerung automatisieren. Bei einer gut umgesetzten Automatisierung bedeutet ein kürzerer Zertifikatslebenszyklus nicht zwangsläufig mehr manuellen Aufwand. Auch für kostenpflichtige Zertifikate gelten Laufzeiten und Anforderungen an die Neuausstellung. Die Laufzeit des Beschaffungsvertrags ist nicht gleichbedeutend mit der ununterbrochenen Nutzungsdauer eines einzelnen Zertifikats.

Der tatsächliche Mehrwert eines kostenpflichtigen Angebots kann in Unterstützung bei der Bereitstellung, zentraler Verwaltung, Verwaltung von Zertifikaten für mehrere Domains oder zugesagten Reaktionszeiten liegen. Diese Leistungen sind jedoch nicht in jedem Produkt enthalten. Prüfen Sie den Leistungsumfang: Bezieht sich der Support auch auf die Serverinstallation, die CDN-Konfiguration, fehlgeschlagene Validierungen und den dringenden Zertifikatswechsel – oder werden lediglich Zertifikatsdateien bereitgestellt?

Bei Websites mit CDN oder Reverse-Proxy müssen auch die beiden Verbindungsabschnitte geprüft werden: „Browser zum CDN“ und „CDN zum Ursprungsserver“. HTTPS auf dem ersten Abschnitt bedeutet nicht, dass auch der zweite verschlüsselt ist und das Zertifikat korrekt überprüft wird. Ein teureres Zertifikat behebt solche Probleme bei der Verbindungskonfiguration nicht automatisch.

Welche Gründe für ein kostenpflichtiges Zertifikat stichhaltig sind – und welche leicht übertrieben werden

Wenn eine Website hauptsächlich Produkte präsentiert und Anfragen entgegennimmt und die Hosting-Plattform ein vertrauenswürdiges Zertifikat, automatische Verlängerung und Störungsüberwachung bereitstellt, reicht ein kostenloses DV-Zertifikat in der Regel für die Verschlüsselung der Datenübertragung aus. Auch sensible Vorgänge wie Anmeldung und Zahlung sind durch die Nutzung eines kostenlosen Zertifikats nicht automatisch unsicher. Ihre Sicherheit muss weiterhin im Zusammenhang mit der Zahlungsarchitektur, dem Kontoschutz und den Anforderungen an die Datenverarbeitung beurteilt werden.

Wenn eine Sicherheitsprüfung durch einen Geschäftspartner ausdrücklich eine Organisationsvalidierung verlangt oder ein Unternehmen zahlreiche Domains zentral verwalten und verbindliche Zusagen zu Reaktionszeiten erhalten muss, gibt es für ein kostenpflichtiges Angebot nachvollziehbare Beschaffungsgründe. In diesem Fall sollten Zertifikatstyp, Domainabdeckung und Betriebsleistungen getrennt verglichen werden, statt nur Marke und Preis gegenüberzustellen.

Einige kommerzielle Zertifikate beinhalten eine Entschädigungszusage. Welche Ereignisse abgedeckt sind, wer anspruchsberechtigt ist und welche Bedingungen für einen Anspruch gelten, ist jedoch vertraglich begrenzt. Eine solche Zusage bedeutet nicht, dass ein Angriff auf die Website oder ein Transaktionsverlust automatisch entschädigt wird. Die Höhe der Entschädigung ist kein Maß für die Verschlüsselungsstärke.

SEO ist ebenfalls kein hinreichender Grund, allein ein kostenpflichtiges Zertifikat zu erwerben. HTTPS gehört zur grundlegenden Website-Konfiguration. Daraus lässt sich jedoch nicht ableiten, dass „kostenpflichtige Zertifikate ein höheres Ranking erzielen als kostenlose“. Ebenso ersetzt ein Zertifikat keine Maßnahmen zur Einhaltung von Vorschriften wie Datenschutzhinweise, Zugriffskontrollen oder den Schutz gespeicherter Daten.

Die Auswahl sollte sich an überprüfbaren Kriterien orientieren

Vor dem Kauf sollten Sie die Kompatibilität mit den vertrauenswürdigen Zertifikaten der Zielbrowser und Geräte bestätigen, prüfen, ob die Hauptdomain, Subdomains und weitere eigenständige Domains vollständig abgedeckt sind, und die Verantwortlichkeiten für die Verwahrung des privaten Schlüssels, Verlängerungsbenachrichtigungen und die Störungsbehebung festlegen. Auch Wildcard-Zertifikate haben Abdeckungsgrenzen. Gehen Sie nicht davon aus, dass ein einziges Zertifikat automatisch alle Ebenen einer Domain abdeckt.

Wenn diese Anforderungen durch einen Website-Erstellungs- oder Hostingdienst zuverlässig erfüllt werden, ist die Wahl eines kostenlosen Zertifikats keine Absenkung der Sicherheitsstandards. Fehlt die Fähigkeit zur laufenden Wartung, ist ein Dienst mit klar definierten Betriebsverantwortlichkeiten sinnvoller als der Kauf eines einzelnen teuren Zertifikats. Das Budget sollte sich nach überprüfbaren Anforderungen an die Identitätsprüfung und den Betriebsschutz richten – nicht nach dem Eindruck, dass „kostenpflichtig automatisch sicherer“ bedeutet.