{"id":6591,"date":"2018-12-04T09:58:06","date_gmt":"2018-12-04T08:58:06","guid":{"rendered":"https:\/\/www.psw-group.de\/blog\/?p=6591"},"modified":"2026-01-08T13:32:17","modified_gmt":"2026-01-08T12:32:17","slug":"ssl-uebersicht-das-war-das-verschluesselungs-jahr-2018","status":"publish","type":"post","link":"https:\/\/www.psw-group.de\/blog\/ssl-uebersicht-das-war-das-verschluesselungs-jahr-2018\/","title":{"rendered":"SSL-\u00dcbersicht: Das war das Verschl\u00fcsselungs-Jahr 2018"},"content":{"rendered":"

In unserer SSL-\u00dcbersicht sehen Sie, wie turbulent das Jahr 2018 im Bereich der Verschl\u00fcsselung war. Es kam zu \u00dcbernahmen, Umbenennungen, zum Vertrauensverlust und zu neuen innovativen Entwicklungen. Um den \u00dcberblick zu behalten, haben wir f\u00fcr Sie eine Jahres-SSL-\u00dcbersicht geschaffen.<\/span><\/p>\n

Namens-Wirrwarr der Zertifizierungsstellen (CAs)<\/span><\/h2>\n

Das erste Ereignis in unserer SSL-\u00dcbersicht betrifft die Certificate Authority (CA) Symantec, dar\u00fcber hinaus aber auch Thawte und GeoTrust. Google gab bekannt, dass man SSL-Zertifikaten dieser CAs nicht mehr vertraut (<\/span>wir berichteten<\/span><\/a>). Mit der Browser-Version Google Chrome 70, die im September erschienen ist, ging Chrome dazu \u00fcber, s\u00e4mtliche Verbindungen, die Zertifikate der Symantec-Gruppe nutzen, als nicht vertrauensw\u00fcrdig einzustufen. Grund f\u00fcr das entzogene Vertrauen war die Falschausstellung eines SSL-Zertifikats f\u00fcr die Domain google.com von Symantec. Der Suchmaschinenriese entdeckte weitere Zertifikate der CA, die nicht geltenden Standards entsprachen. So fiel die Entscheidung, der Symantec-Gruppe das Vertrauen zu entziehen. Im Dezember 2017 wurde die SSL-Sparte von Symantec durch DigiCert akquiriert. Kunden, die ihr Zertifikat aufgrund von Googles Entscheidung austauschen mussten, haben wir unkompliziert unterst\u00fctzt.<\/span><\/p>\n

Auch die Comodo CA richtete sich im Jahre 2018 neu aus. <\/span>Ende Oktober berichteten wir<\/span>, dass Comodo von Francisco Partners \u00fcbernommen wurde. Aufgrund dieser Neuerung und um sich von Comodo Cybersecurity abzugrenzen, wird der Firmenname von Comodo auf Sectigo<\/a> ge\u00e4ndert. Kunden haben leichtes Spiel: Eine Neuausstellung eines SSL-Zertifikats ist unn\u00f6tig. Lediglich das Comodo TrustLogo muss ge\u00e4ndert werden. Mittlerweile ist bereits das neue Trustlogo von Sectigo erh\u00e4ltlich. Kunden ist zu empfehlen, das alte Comodo Trustlogo gegen das Neue auszutauschen.\u00a0<\/span><\/p>\n

Einstellung dreij\u00e4hriger SSL\/TLS-Zertifikate<\/span><\/h2>\n

SSL-Verschl\u00fcsselung soll sicherer werden \u2013 auch das zeigt unsere SSL-\u00dcbersicht. Ein Mittel der Wahl war es, die Laufzeiten der SSL-Zertifikate zu k\u00fcrzen. Das <\/span>CA\/Browser Forum<\/span><\/a> hatte diesen Beschluss aus Sicherheitsgr\u00fcnden gefasst. Die Laufzeit von EV-Zertifikaten konnte nie zwei Jahre \u00fcberschreiten, sodass diese Neuerung ausschlie\u00dflich DV- und OV-Zertifikate betrifft. Seit Februar 2018 werden keine dreij\u00e4hrigen SSL\/TLS-Zertifikate mehr ausgestellt. Mit dieser Ma\u00dfnahme erhofft man sich, das Netz dadurch sicherer zu gestalten, dass veraltete Verschl\u00fcsselungsstandards schneller verschwinden. Zudem sollten Zertifizierungsstellen die M\u00f6glichkeit erhalten, flexibel auf Sicherheitsl\u00fccken zu reagieren und ihre SSL\/TLS-Zertifikate entsprechend zu optimieren.<\/span><\/p>\n

Kein Vertrauen ohne SSL<\/span><\/h3>\n

Seit der Version Google Chrome 68 <\/span>warnt der Browser<\/span><\/a> vor unverschl\u00fcsselten Websites. Wurden bislang HTTPS-Seiten mit einem \u201cSicher\u201d gekennzeichnet, ging Google ab Juli 2018 dazu \u00fcber, konkret vor unverschl\u00fcsselten Websites zu warnen. Begr\u00fcndet hat Google diesen Schritt damit, <\/span>dass verschl\u00fcsselte Sites immer mehr zum Standard werden<\/a><\/span>. Deshalb sei es notwendig, nicht mehr auf die SSL-Verschl\u00fcsselung hinzuweisen, sondern auf das Fehlen dieser.<\/span><\/p>\n

DSGVO macht SSL zum Muss<\/span><\/h3>\n

Mit dem 25. Mai 2018 trat die vielfach diskutierte europ\u00e4ische Datenschutz-Grundverordnung (EU-DSGVO) in Kraft. Europaweit wurden die Regelungen zum Verarbeiten personenbezogener Daten vereinheitlicht. Schon seit Januar 2016 ist es Pflicht, zumindest Kontaktformulare zu verschl\u00fcsseln (<\/span>\u00a7 13 Abs. 7 TMG<\/span><\/a>). Grund war und ist die M\u00f6glichkeit, \u00fcber die Website personenbezogene Daten zu erheben. Nicht alle Websitebetreiber sind dieser Vorgabe gefolgt. Mit dem Start der DSGVO jedoch mussten Website-Betreiber handeln und ihre Sites sicher verschl\u00fcsseln.<\/span><\/p>\n

Im Oktober 2017 erkl\u00e4rte das Bayerische Landesamt f\u00fcr Datenschutzaufsicht (BayLDA) in einer <\/span>Pressemitteilung <\/span><\/a>(PDF), dass man Websites im Allgemeinen und Kontaktformulare im Besonderen auf HTTPS-Verschl\u00fcsselung \u00fcberpr\u00fcft. Als bayerische Beh\u00f6rde konnte das BayLDA lediglich Websites bayerische Anbieter \u00fcberpr\u00fcfen. Mit dem Start der DSGVO sind jedoch Datensch\u00fctzer in verschiedenen Bundesl\u00e4ndern aktiv geworden.<\/span><\/p>\n

TLS 1.3 offiziell verabschiedet<\/span><\/h3>\n

Das darf in keiner SSL-\u00dcbersicht fehlen: Die <\/span>IETF hat mit TLS 1.3<\/span><\/a> den TLS 1.2-Nachfolger standardisiert. Bis es dazu kam, hat es wirklich lange gedauert. Denn Banken und Beh\u00f6rden h\u00e4tten gerne einen Zugang zu den verschl\u00fcsselten Verbindungen gehabt. Mittels Opt-in-Technik sollte das Mitlesen des verschl\u00fcsselten Verkehrs erm\u00f6glicht werden \u2013 nur zur Fehlersuche, versteht sich. Wenig verwunderlich, dass die IETF diesen kruden Vorschlag abgelehnt hatte.<\/span><\/p>\n

Das lange Warten auf den neuen Standard hat sich gelohnt:<\/span><\/p>\n