SSL Check

Was Sie aus einem SSL-Zertifikat ablesen können

Ein SSL/TLS-Zertifikat ist die kryptografische Identitätsbescheinigung einer Website. Es bindet einen öffentlichen Schlüssel an eine Domain und wird von einer Zertifizierungsstelle (CA) unterschrieben. Die wichtigsten Felder, die unser Check für Sie ausliest:

• Subject — die Domain (oder Domains via Subject Alternative Name), für die das Zertifikat gilt.
• Issuer — die Zertifizierungsstelle, die es ausgestellt hat (z. B. Let's Encrypt, DigiCert, Sectigo, GlobalSign).
• Valid From / To — Ausstellungs- und Ablaufdatum. Zertifikate von Let's Encrypt laufen typisch nach 90 Tagen ab, kommerzielle nach 12 Monaten.
• Public Key Algorithm + Length — RSA 2048 Bit oder ECDSA P-256 sind heute Standard. Alles unter RSA 2048 ist unsicher.
• Signature Algorithm — SHA-256 ist Standard. SHA-1 wird seit 2017 von Browsern abgelehnt.
• SAN (Subject Alternative Name) — die Liste aller Domains, die das Zertifikat abdeckt. Bei Wildcards steht hier z. B. *.example.com.

TLS-Versionen — was ist heute akzeptabel?

Browser akzeptieren heute nur noch TLS 1.2 und TLS 1.3. TLS 1.3 ist die modernere Variante mit besserer Performance und schmalerer Angriffsfläche. SSLv2, SSLv3, TLS 1.0 und TLS 1.1 sind seit 2020 in allen Mainstream-Browsern deaktiviert und gelten als unsicher. Wenn Ihre Webserver-Konfiguration noch alte Versionen anbietet, sollten diese sofort abgeschaltet werden — sie nützen niemandem mehr, schaffen aber Downgrade-Angriffsfläche.

Was tun bei abgelaufenem Zertifikat?

Bei Let's Encrypt ist die Erneuerung automatisierbar via Certbot oder ACME-Client — typisch alle 60 Tage. Falls die Automatik nicht greift, ist die Ursache fast immer eine DNS- oder Webserver-Misskonfiguration: HTTP-01-Challenge schlägt fehl, weil Port 80 blockiert ist, oder DNS-01-Challenge funktioniert nicht, weil das API-Token fehlt. Bei kommerziellen Zertifikaten genügt meist die Verlängerung über das CA-Dashboard und eine neue CSR.

Praktische Anwendungsfälle

Sie wollen vor einer Migration prüfen, ob das neue Zertifikat sauber ausgerollt ist. Sie haben eine Browser-Warnung gesehen und möchten die Ursache identifizieren (abgelaufen? falscher CN? Wildcard nicht abgedeckt?). Sie führen ein Security-Audit Ihrer eigenen Infrastruktur durch. Für tieferes Background-Wissen siehe unseren Artikel SSL-Zertifikate erklärt und den Glossar-Eintrag zu TLS/SSL.