Security: Wie Zertifikate im Web funktionieren – und wie nicht
Die EU will Browser zum Akzeptieren bestimmter Zertifizierungsstellen zwingen. Sie greift damit in ein sensibles System aus technischen Anforderungen ein.
![, Andreas Martini](https://heise.cloudimg.io/width/610/q85.png-lossy-85.webp-lossy-85.foil1/_www-heise-de_/imgs/18/4/5/1/0/6/4/6/ct_2023_29_zertifika_andreas_martini_127636_syt_3_online-e3b63e19c2e55914.jpeg)
(Bild: Andreas Martini)
Kennen Sie FNMT-RCM? Vielleicht nicht, aber Ihr Browser kennt dieses Unternehmen vermutlich und vertraut ihm ganz erheblich. Es handelt sich um die "Fábrica Nacional de Moneda y Timbre – Real Casa de la Moneda", also die königliche Banknotendruckerei und Münzprägeanstalt von Spanien. Auf sie und diverse weitere Firmen von "AC Camerfirma S.A." bis "XRamp Security Services Inc" stützt sich Ihre Privatsphäre im Internet.
Die Zertifikate von Dutzenden solcher Zertifizierungsstellen (Certificate Authority, CA) finden sich auf modernen Endgeräten. Browser, Mailclients sowie fast jede andere Software, die verschlüsselt mit dem Internet kommuniziert, nutzt so einen Haufen CAs als Vertrauensanker – und zwar oft nicht mal denselben Haufen, Sie haben höchstwahrscheinlich mehrere davon auf dem Rechner.
Um zu verstehen, warum dieser Wust alles andere als ideal und dennoch nötig ist und worum es sich bei den qualifizierten Webseitenzertifikaten der EU handelt (Qualified Website Authentication Certificate, QWAC), muss man ein bisschen ausholen.
Das war die Leseprobe unseres heise-Plus-Artikels "Security: Wie Zertifikate im Web funktionieren – und wie nicht". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.