Was ist CA – Certification Authority?

Digitale Identitäten absichern, Daten verschlüsseln und Vertrauen im Internet aufbauen. Eine Certification Authority ist das Fundament der modernen IT-Sicherheit.

Unternehmen, Behörden und Privatnutzer bewegen sich täglich in einer vernetzten Welt. Sie rufen Websites auf, senden verschlüsselte E-Mails, authentifizieren sich an Firmennetzwerken über VPNs oder signieren Softwarepakete. Bei all diesen Transaktionen stellt sich eine fundamentale Frage: Woher weiß ein technisches System, dass die digitale Gegenstelle tatsächlich diejenige ist, die sie vorgibt zu sein? Hier kommt die Certification Authority, kurz CA, ins Spiel. Auf Deutsch wird sie als Zertifizierungsstelle bezeichnet. Sie fungiert als eine Art digitale Passbehörde oder vertrauenswürdiger Notar im Cyberspace. Ohne CAs gäbe es kein sicheres Electronic Business, da die Identität von Kommunikationspartnern im Internet nicht verifiziert werden könnte.

Was genau macht eine Certification Authority?

Eine Certification Authority ist eine Organisation oder eine interne Stelle in einem Unternehmen, die digitale Zertifikate ausstellt, verwaltet, verteilt und deren Gültigkeit überprüft. Ein digitales Zertifikat – meist nach dem weltweit etablierten Standard X.509 aufgebaut – verknüpft die Identität eines Inhabers, zum Beispiel einen Domainnamen, ein Unternehmen oder eine Person, mit einem spezifischen öffentlichen kryptografischen Schlüssel.

Die Hauptaufgabe der Zertifizierungsstelle besteht darin, diese Verknüpfung offiziell zu beglaubigen. Das geschieht, indem sie das Zertifikat mit ihrer eigenen digitalen Signatur versieht. Da moderne Betriebssysteme, Webbrowser und Anwendungen den Signaturen bekannter Zertifizierungsstellen von Haus aus vertrauen, vertrauen sie automatisch auch den von ihnen ausgestellten Zertifikaten. Das System prüft die Kette des Vertrauens im Hintergrund in Millisekunden.

Die Abgrenzung wichtiger Begriffe

Um die genaue Funktionsweise einer Zertifizierungsstelle zu verstehen, müssen verwandte Begriffe klar voneinander abgegrenzt werden:

Public Key Infrastructure (PKI): Das Gesamtsystem, das für die Verwaltung, Ausstellung, Verteilung, Nutzung, Speicherung und den Widerruf digitaler Zertifikate zuständig ist. Die Certification Authority ist die zentrale Komponente einer PKI, aber die PKI umfasst auch Richtlinien, Software, Hardware-Sicherheitsmodule und Registrierungsstellen.

Registration Authority (RA): Die Registrierungsstelle ist der Zertifizierungsstelle vorgeschaltet. Sie übernimmt die eigentliche Überprüfung der Identität des Antragstellers. Sie prüft beispielsweise Ausweisdokumente, Handelsregisterauszüge oder DNS-Einträge. Die RA leitet den verifizierten Antrag dann an die Zertifizierungsstelle weiter, welche das Zertifikat physisch ausstellt. Eine Zertifizierungsstelle kann die Funktion der RA selbst übernehmen oder an separate Stellen delegieren.

Certificate Revocation List (CRL): Eine von der Zertifizierungsstelle geführte und regelmäßig aktualisierte Liste, die alle Zertifikate enthält, die vor Ablauf ihrer regulären Gültigkeitsdauer für ungültig erklärt wurden, beispielsweise weil ein privater Schlüssel kompromittiert wurde.

Online Certificate Status Protocol (OCSP): Ein Protokoll, mit dem ein Webbrowser oder ein Client in Echtzeit den Status eines einzelnen Zertifikats bei der Zertifizierungsstelle abfragen kann, um festzustellen, ob es noch gültig oder bereits gesperrt ist.

Die Hierarchie der Zertifizierungsstellen

Zertifizierungsstellen arbeiten fast nie isoliert, sondern sind in einer vertrauensbasierten Baumstruktur organisiert. Man unterscheidet hierbei im Wesentlichen zwei Ebenen:

Root CA (Wurzel-Zertifizierungsstelle): Das oberste und wichtigste Glied der Kette. Eine Root CA stellt ihr eigenes Zertifikat selbst aus, es ist also selbstsigniert. Das Vertrauen in die gesamte nachgelagerte Kette hängt von der physischen und digitalen Sicherheit dieser Root-Zertifizierungsstelle ab. Die privaten Schlüssel einer Root CA werden extrem streng geschützt und befinden sich meistens vollständig offline in Tresoren auf spezieller Hardware, um jeglichen Netzzugriff und damit Angriffe zu verhindern.

Intermediate CA (Zwischen-Zertifizierungsstelle): Da die Root CA offline bleibt, stellt sie Zertifikate für eine oder mehrere Zwischen-Zertifizierungsstellen aus. Diese Intermediate Certification Authorities übernehmen das tägliche operative Geschäft und signieren die eigentlichen Endnutzer-Zertifikate, zum Beispiel für Webserver, E-Mail-Adressen oder Benutzeridentitäten. Wird eine Intermediate Zertifizierungsstelle kompromittiert, kann sie von der Root CA gesperrt werden, ohne dass die gesamte Infrastruktur wertlos wird.

Der Ablauf einer Zertifikatsausstellung

Der Prozess von der Beantragung bis zur Nutzung eines Zertifikats folgt einem standardisierten Ablauf:

1. Schlüsselgenerierung: Zuerst generiert der Antragsteller auf seinem eigenen System ein kryptografisches Schlüsselpaar, bestehend aus einem privaten und einem öffentlichen Schlüssel. Der private Schlüssel darf das System des Nutzers niemals verlassen.
2. Antragserstellung: Anschließend erstellt der Antragsteller einen Certificate Signing Request (CSR). Diese Datei enthält den öffentlichen Schlüssel sowie Identitätsdaten wie den exakten Domainnamen, den Firmennamen und das Land. Der CSR wird an die Zertifizierungsstelle oder die vorgeschaltete RA übermittelt.
3. Identitätsprüfung: Die Registrierungsstelle prüft nun die Identität des Antragstellers. Je nach Validierungsstufe reicht diese Prüfung von einer automatisierten Überprüfung von DNS-Einträgen bis hin zu umfassenden behördlichen Dokumentenprüfungen.
4. Zertifikatsausstellung: Nach erfolgreicher Verifizierung signiert die Zertifizierungsstelle den öffentlichen Schlüssel des Antragstellers mit ihrem eigenen privaten Schlüssel und fügt die Gültigkeitsdaten hinzu. Das fertige Zertifikat wird an den Antragsteller zurückgeliefert.
5. Verifizierung durch den Client: Der Antragsteller installiert das Zertifikat auf seinem Server. Ruft nun ein Anwender das System auf, präsentiert der Server das Zertifikat. Der Browser prüft die Signatur der Zertifizierungsstelle mithilfe des im Betriebssystem hinterlegten öffentlichen Schlüssels. Ist die Signatur valide, wird die Verbindung als sicher eingestuft.

Öffentliche versus interne CAs

Unternehmen müssen im Rahmen ihrer IT-Infrastruktur entscheiden, wann sie auf öffentliche Zertifizierungsstellen zurückgreifen und wann der Betrieb einer eigenen, internen Certification Authority sinnvoll ist.

Die folgende Übersicht verdeutlicht die grundlegenden Unterschiede:

Kriterium	Öffentliche Zertifizierungsstellen	Interne Zertifizierungsstellen
Vertrauensbasis	Weltweit in allen Browsern vorinstalliert	Nur innerhalb des eigenen Firmennetzwerks vertrauenswürdig
Primärer Einsatzzweck	Öffentliche Websites, Webshops, externe APIs	Internes VPN, Intranet-Server, Maschinenidentitäten
Kostenstruktur	Oft kostenpflichtig pro Zertifikat (Ausnahme Let s Encrypt)	Keine direkten Kosten pro Zertifikat, aber Betriebsaufwand
Kontrolle über Richtlinien	Strikt durch globale Konsortien vorgegeben	Vollständig durch das eigene Unternehmen definierbar

Öffentliche Zertifizierungsstellen wie DigiCert, GlobalSign oder Sectigo sind zwingend erforderlich, wenn Systeme über das öffentliche Internet für jedermann erreichbar sein müssen. Interne Certification Authorities hingegen werden über Softwarelösungen wie Microsoft Active Directory Certificate Services oder HashiCorp Vault innerhalb des geschlossenen Firmennetzwerks betrieben. Ihre Wurzelzertifikate müssen manuell oder über Gruppenrichtlinien auf den firmeneigenen Geräten verteilt werden.

Herausforderungen und Risiken im CA-Management

Der Betrieb und die Nutzung von Zertifizierungsstellen bergen erhebliche operative Risiken, die eine kontinuierliche Überwachung durch das IT-Management erfordern. Ein Hauptproblem in Unternehmen ist der unkontrollierte Ablauf von Zertifikaten. Vergisst ein IT-Team, das Zertifikat eines kritischen Servers rechtzeitig zu erneuern, blockieren Browser und Betriebssysteme den Zugriff sofort. Das kann zu schweren Betriebsausfällen und Frustration bei den Anwendern führen. Ein automatisiertes Zertifikats-Lifecycle-Management ist daher für moderne Organisationen unverzichtbar.

Das gravierendste Risiko ist die Kompromittierung des privaten Schlüssels einer Certification Authority. Gelingt es Angreifern, Zugriff auf den privaten Schlüssel einer vertrauenswürdigen Zertifizierungsstelle zu erlangen, können sie täuschend echte Zertifikate für beliebige Domains oder Identitäten ausstellen. Damit lassen sich hochentwickelte Angriffe durchführen, bei denen Daten unbemerkt mitgelesen werden können, obwohl die Verbindung vom Browser als absolut sicher angezeigt wird. Zudem müssen Unternehmen den Zugriff auf die administrativen Schnittstellen interner Zertifizierungsstellen streng reglementiert überwachen, damit keine unautorisierten Zertifikate innerhalb des Firmennetzwerks generiert werden können.

Regulatorische Anforderungen und Standards

Die Arbeit von öffentlichen Zertifizierungsstellen wird streng reguliert, um das globale Vertrauen in die digitale Wirtschaft aufrechterhalten zu können. Das zentrale Gremium hierfür ist das CA/Browser Forum, ein freiwilliger Zusammenschluss von Certification Authorities und Browser-Herstellern. Dieses Gremium definiert die Baseline Requirements, die verbindliche Mindeststandards für die Überprüfung von Identitäten und die technische Absicherung der CA-Infrastruktur festlegen.

In der Europäischen Union regelt zudem die eIDAS-Verordnung die rechtlichen Rahmenbedingungen für vertrauenswürdige elektronische Transaktionen. Sie unterscheidet zwischen einfachen und qualifizierten Zertifizierungsstellen, die strengen staatlichen Audits unterliegen. Für Unternehmen, die unter Regularien wie die NIS2-Richtlinie oder ISO 27001 fallen, gehört der nachweisbar sichere Umgang mit kryptografischen Schlüsseln und digitalen Zertifikaten zum verpflichtenden Kern des IT-Risikomanagements.

Fazit

Eine Certification Authority ist kein reines Nischenwerkzeug der Kryptografie, sondern die ordnungspolitische Instanz der digitalen Welt. Sie transformiert mathematische Verschlüsselung in überprüfbares und nutzbares organisatorisches Vertrauen. Angesichts der zunehmenden Vernetzung durch hybride Cloud-Strukturen, das Internet der Dinge und autonome Maschinenidentitäten wird die feingranulare Steuerung und Absicherung von Zertifizierungsstellen zu einer unverzichtbaren Kernkompetenz für jedes zukunftsorientierte IT-Management.