VERANSTALTUNGEN

Developer Week 2018
25.06.18 - 28.06.18
In Nürnberg

XaaS Evolution 2018
01.07.18 - 03.07.18
In H4 Hotel Berlin Alexanderplatz

IT kessel.18
11.07.18 - 11.07.18
In Reithaus Ludwigsburg

2. Jahrestagung Cyber Security Berlin
11.09.18 - 12.09.18
In Berlin

DILK 2018
17.09.18 - 19.09.18
In Düsseldorf

SSL

„Gefälschte Zertifikate ausgestellt“, „Suchmaschinenbetreiber misstraut Zertifikaten“, „Marktführer trennen sich von ihren Zertifikate-Geschäften“: Die Schlagzeilen der letzten Monate rund um das Thema SSL-Zertifikate haben Anwender stark verunsichert.

Viele fragen sich zu Recht, wie man sichere Angebote erkennt und einen vertrauenswürdigen Anbieter findet. Dr. Kim Nguyen, Geschäftsführer der D-TRUST GmbH – Trustcenter und Vertrauensdiensteanbieter der Bundesdruckerei GmbH – gibt fünf praktische Ratschläge.

Praxistipp 1: „Drum prüfe, wer sich ewig bindet“

Die sichere Kommunikation und Datenübertragung von Server-to-Server oder Client-to-Server gehört bei vielen Unternehmen zu den geschäftskritischen Anwendungen – sie sorgt für reibungslose Prozesse – beispielsweise bei der Wartung in Produktionsbetrieben oder bei Bezahlvorgängen in Online-Shops. Es ist deshalb ratsam, regelmäßig die bestehenden Geschäftsbeziehungen mit der Certificate Authority (CA), die Ihnen Ihre Zertifikate bereitstellt, zu überprüfen. Und ist ein Wechsel notwendig: Nehmen Sie sich Zeit bei der Auswahl eines neuen Anbieters. Fragen Sie zum Beispiel, mit welchen Browsern und Geräten die angebotenen Zertifikate kompatibel sind und wie lange das Unternehmen schon SSL-Zertifikate ausstellt. Einige Zertifizierungsstellen lagern einen Teil der notwendigen Prüfprozesse aus. Das erhöht die Wahrscheinlichkeit fehlerhaft ausgestellter Zertifikate. Zu bevorzugen sind darum jene Stellen, die die gesamte Prozesskette – vom Antrag über die Prüfung bis hin zur Ausstellung - selbst in der Hand haben.

Praxistipp 2: Webseitenzertifikate sind nicht gleich Webseitenzertifikate

Domainvalidierte SSL-Zertifikate bieten das niedrigste Sicherheitsniveau. Es wird in der Regel lediglich per E-Mail geprüft, ob der Auftraggeber auch der Domaininhaber ist. Domains sollten im B2B-Umfeld deshalb mindestens eine Organisationsvalidierung vorweisen. Dabei müssen Unternehmen mit entsprechenden Dokumenten ihre Identität und die Domaininhaberschaft nachweisen. Den höchsten Verifizierungsstandard mit der größten transparenten Sicherheit für die Anwender bieten sogenannte Extended Validation-Zertifikate, kurz EV-Zertifikate. Webseiten, die EV-Zertifikate vorweisen, erkennt man an der grün eingefärbten Adressleiste. Sie sehen neben Domaincheck und Organisationsvalidierung zusätzlich einen individuellen Identitätsnachweis des Antragstellers vor. Dabei wird geprüft, ob dieser tatsächlich bei der Organisation angestellt ist und ob er die Befugnis hat, ein EV-Zertifikat zu erwerben. Eine besondere Form der EV-Zertifikate sind die neuen qualifizierten Webseitenzertifikate gemäß eIDAS-Verordnung. Neben den bestehenden Vorgaben für EV-Zertifikate sehen qualifizierte Webseitenzertifikate regelmäßige Prüfungen und eine strenge Kontrolle der Zertifizierungsstelle durch eine nationale Aufsichtsbehörde vor.

Praxistipp 3: „Made in Germany“ bevorzugen

Das Vertrauen in ausländische Anbieter ist durch verschiedene Sicherheitsvorfälle erschüttert. Zertifizierungsstellen mit Standort in Deutschland bieten Ihnen hier doppelte Sicherheit: Die Sicherheit, dass die Prüfungsregelungen bei der Ausstellung von Zertifikaten konsequent umgesetzt werden sowie die Sicherheit eines qualifizierten Support in der Landessprache. Doch auch hier gilt es genauer hinzuschauen. Bevorzugen Sie CA’s, die eine gesicherte Marktpräsenz besitzen sowie umfangreiche Erfahrungen und ein ausgeprägtes Know-how vorweisen.
Besonders vertrauenswürdige und kompetente Zertifizierungsstellen erhalten laut eIDAS-Verordnung den Status eines qualifizierten Vertrauensdiensteanbieters. Nur dieser erfüllt die verschärften Anforderungen der Verordnung an Sicherheit und Haftung. Dazu gehören beispielsweise die Meldung von Sicherheitsvorfällen innerhalb von 24 Stunden, die Gewährleistung von Datenschutz und Datensicherheit sowie der Einsatz von IT-Systemen, die diese Anforderungen erfüllen.

Praxistipp 4: Flexibel in der Anwendung und bei der Bezahlung

Vorteile in der Praxis bieten Produktsortimente, mit denen Sie flexibel Ihre unterschiedlichsten Anforderungen abdecken können - von organisationsvalidierten Webservern (SSL OV) oder solche mit Identifizierungsprozessen nach dem „Extended-Validation-Standard“ (SSL EV) bis hin zu qualifizierten Webseitenzertifikaten gemäß der europäischen eIDAS-Verordnung. Wichtig ist auch die Unterstützung von Wildcard-Zeichen, mit denen Sie beispielsweise in Shared Hosting- oder Intranet-Umgebungen beliebig viele Subdomains einer Hauptdomain absichern können. Ein weiterer praktischer Anwendungsfall ist die Möglichkeit, multiple Antragstellernamen (SAN-Einträge) zu verwenden. Dies erlaubt zum Beispiel den Einsatz des Zertifikats in Exchange-Umgebungen. Viele CA’s rechnen die Bereitstellung von Zertifikaten im Pre-Paid-Verfahren ab. Dann kann es jedoch passieren, dass Ihr Kontingent gerade dann erschöpft ist, wenn Sie ein neues Zertifikat benötigen. Flexibler ist darum eine nutzungsbasierte Abrechnung, bei der Sie unbegrenzt Zertifikate abrufen können. Und nur genau das bezahlen, was Sie tatsächlich im Jahr einsetzen.

Praxistipp 5: Finger weg von billigen Angeboten

Einige Anbieter im Markt versuchen über einen besonders niedrigen Preis SSL-Zertifikate zu vermarkten bzw. einige Webhoster geben beim Kauf eines Hosting-Pakets ein kostenloses SSL-Zertifikat dazu. Von diesen Angeboten ist dringend abzuraten. Wer nur nach dem billigsten Angebot schaut, muss immer Abstriche bei den Sicherheitsanforderungen hinnehmen und darf keine Hilfe während der Zertifikate-Laufzeit erwarten. Entscheiden Sie sich daher für das Angebot, das den besten Gesamtwert aufweist. Wichtig sind ein leistungsfähiger Service & Support, der Ihnen bei allen Fragen rund um Beantragung, Installation und Betrieb der SSL-Zertifikate weiterhilft und das in deutscher Sprache innerhalb der mitteleuropäischen Zeitzone.

Ein weiterer Mehrwert sind Plattformen für ein effizientes Management von Zertifikaten, die Ihnen der CA-Anbieter zur Verfügung stellt. Das sind hochsichere 24/7 Software-as-a-Service-Anwendungen, die eine zentrale Verwaltung und maximale Kostenkontrolle Ihres Zertifikatsbestandes bieten. Mit diesen Lösungen lassen sich Prüfprozesse von Zertifikatsdaten mit sekundenschnellen Reaktionszeiten bei der Zertifikatsauslieferung miteinander verbinden.

Dr. Kim Nguyen
Dr. Kim Nguyen, Geschäftsführer der D-TRUST GmbH

 

GRID LIST
Tb W190 H80 Crop Int Ac00bc491e29650606797a7a168b27ab

Datenaustausch und -archivierung in Zeiten der DSGVO

Nun ist es doch tatsächlich so weit: Die allseits gefürchtete…
Gérard Bauer

Bietet die DSGVO Cyberkriminellen eine Möglichkeit, sich besser zu verstecken?

Mit dem Ziel den Schutz und die Sicherheit von Daten deutlich zu verbessern, ist die…
Karl-Heinz Land

Die DSGVO bedeutet eine kalte Enteignung des Mittelstands

Was als Schutzschild gegen „Datenkraken“ wie Facebook, Twitter oder Google gedacht war,…
Tb W190 H80 Crop Int Ece7bb343adc210e89b8ba448a8c7677

DSGVO – Schutz sensibler Daten

Bereits im Mai 2016 wurde die neue Datenschutzgrundverordnung (DSGVO) verabschiedet. Nun…
Tb W190 H80 Crop Int Ffc54940f3b5a5b27ea7e7e75ad38fbe

DSGVO Tipps zum Umgang mit Google Produkten

Das wahrscheinlich am meisten diskutierte Thema für diesen Monat, die…
Schloss vor Weltkugel

Verschlüsselung: Technik mit Herausforderungen

Bereits die alten Ägypter haben Texte so umgeschrieben, dass sie nur von Empfängern…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security