Was ist ein Root-Zertifikat (CA)? Ein vollständiger Leitfaden zu Zertifizierungsstellen und der Vertrauenskette

Sichere Kommunikation im Internet geschieht nicht zufällig. Hinter jedem Schlosssymbol in Ihrem Browser, jeder HTTPS-Verbindung und jeder verschlüsselten Datenübertragung verbirgt sich ein sorgfältig konstruiertes Vertrauenssystem – und an der Grundlage dieses Systems sitzt das Wurzelzertifikat. Egal ob Sie ein Entwickler sind, der eine Webanwendung sichert, ein Systemadministrator, der Serverinfrastruktur verwaltet, oder ein Geschäftsinhaber, der Kundendaten schützt – das Verständnis von Wurzelzertifikaten ist unverzichtbares Wissen.

In diesem umfassenden Leitfaden erklären wir genau, was Wurzelzertifikate sind, wie Zertifizierungsstellen (CAs) funktionieren, wie die Vertrauenskette aufgebaut wird, und wie Sie Wurzelzertifikate auf Ihren eigenen Systemen verwalten.

Was ist ein Wurzelzertifikat?

Ein Wurzelzertifikat ist ein selbstsigniertes digitales Zertifikat, das von einer vertrauenswürdigen Zertifizierungsstelle (CA) ausgestellt wird. Es sitzt ganz oben in der Public Key Infrastructure (PKI)-Hierarchie und dient als ultimativer Vertrauensanker für alle davon abgeleiteten digitalen Zertifikate.

Im Gegensatz zu Standard-SSL/TLS-Zertifikaten, die von einer anderen Behörde signiert werden, wird ein Wurzelzertifikat von sich selbst signiert – das heißt, die CA bürgt für ihre eigene Identität. Dies ist möglich, weil Wurzelzertifikate vorinstalliert und von Betriebssystemen, Webbrowsern und anderer Clientsoftware von Natur aus vertraut werden.

Wenn Ihr Browser sich über HTTPS mit einer Website verbindet, prüft er nicht nur das Zertifikat der Website isoliert. Er verfolgt einen Pfad durch eine Zertifikatskette zurück, bis er ein Wurzelzertifikat erreicht, dem er bereits vertraut. Wenn sich dieses Wurzelzertifikat im vertrauenswürdigen Speicher des Systems befindet, wird die Verbindung als sicher betrachtet.

Wurzelzertifikate sind das Fundament der verschlüsselten Kommunikation im Web – und ohne sie hätten Technologien wie SSL/TLS keine zuverlässige Grundlage. Wenn Sie SSL/TLS auf Ihrer eigenen Infrastruktur bereitstellen, bieten Lösungen wie VPS-Hosting von AlexHost vollständigen Root-Zugriff und eine sichere Umgebung, um Ihren Zertifikatstapel effektiv zu implementieren und zu verwalten.

Die Rolle von Zertifizierungsstellen (CAs)

Eine Zertifizierungsstelle (CA) ist eine Organisation – öffentlich oder privat – die digitale Zertifikate ausstellt, verwaltet und widerruft. CAs sind die vertrauenswürdigen Drittparteien, die das gesamte PKI-System funktionieren lassen.

Das tun CAs in der Praxis:

• Identitätsverifizierung: Bevor eine CA ein Zertifikat ausstellt, überprüft sie die Identität der anfordernden Entität. Je nach Zertifikattyp (DV, OV oder EV) kann diese Überprüfung von einer einfachen Domänenbesitzprüfung bis zu einer vollständigen rechtlichen Geschäftsprüfung reichen.
• Zertifikatsausstellung: Nach der Verifizierung signiert die CA das Zertifikat mit ihrem privaten Schlüssel und bindet die Identität der Entität an einen öffentlichen Schlüssel.
• Zertifikatwiderruf: Wenn ein Zertifikat kompromittiert oder nicht mehr gültig ist, kann die CA es widerrufen und den Widerruf über eine Zertifikatwiderrufsliste (CRL) oder das Online Certificate Status Protocol (OCSP) veröffentlichen.

Bekannte öffentliche CAs sind DigiCert, Sectigo, GlobalSign und Let’s Encrypt. Diese Organisationen haben ihre Wurzelzertifikate in großen Betriebssystemen und Browsern vorinstalliert, weshalb Zertifikate, die sie ausstellen, von Endbenutzern automatisch vertraut werden.

Private CAs existieren auch in Unternehmensumgebungen und werden für interne Systeme, Intranets und Geräteverwaltung verwendet – aber ihre Wurzelzertifikate müssen manuell auf Clientgeräten verteilt und installiert werden.

Die Vertrauenskette: Wie sie funktioniert

Die Vertrauenskette (auch Zertifikatskette genannt) ist die hierarchische Abfolge von Zertifikaten, die ein Endbenutzerzertifikat zurück zu einem vertrauenswürdigen Wurzelzertifikat verbindet. Das Verständnis dieser Kette ist entscheidend für jeden, der SSL/TLS auf Webservern oder Anwendungen verwaltet.

Die drei Ebenen der Zertifikatshierarchie

#### 1. Wurzelzertifikat (Vertrauensanker)

Das Wurzelzertifikat ist das oberste Element in der Hierarchie. Es ist:

• Selbstsigniert von der CA
• Vorinstalliert in Betriebssystem- und Browser-Vertrauensspeichern
• Hochgradig gesichert – oft offline in Hardware-Sicherheitsmodulen (HSMs) gespeichert
• Langlebig, mit Gültigkeitszeiträumen, die oft 20–25 Jahre umfassen

Da das Wurzelzertifikat so wertvoll ist und seine Kompromittierung katastrophal wäre, gehen CAs außerordentliche Anstrengungen unternehmen, um es zu schützen. Genau deshalb existieren Zwischenzertifikate.

#### 2. Zwischenzertifikate

Zwischenzertifikate werden von der Root-CA ausgestellt und signiert. Sie fungieren als Puffer zwischen dem Wurzelzertifikat und Endbenutzerzertifikaten. Wichtige Merkmale sind:

• Betriebssicherheit: Die Root-CA kann offline bleiben, während Zwischen-CAs die tägliche Zertifikatsausstellung handhaben
• Kompartimentalisierung: Wenn eine Zwischen-CA kompromittiert wird, sind nur die von ihr ausgestellten Zertifikate betroffen – das Wurzelzertifikat bleibt intakt
• Flexibilität: Es können mehrere Zwischen-CAs für verschiedene Zwecke, Geographien oder Geschäftsbereiche erstellt werden

Wenn Sie ein SSL/TLS-Zertifikat auf einem Webserver installieren, müssen Sie normalerweise auch die Zwischenzertifikatskette installieren, damit Browser den Vertrauenspfad vervollständigen können.

#### 3. Endbenutzerzertifikate (Leaf-Zertifikate)

Dies sind die Zertifikate, die auf Websites, Mailservern, APIs und anderen Diensten installiert sind. Sie sind:

• Von einer Zwischen-CA signiert
• An einen bestimmten Domainnamen, eine IP-Adresse oder eine Organisation gebunden
• Kurzlebig, normalerweise 90 Tage bis 2 Jahre gültig
• Das, was Browser und Clients tatsächlich überprüfen, wenn eine sichere Verbindung hergestellt wird

Wie der Verifizierungsprozess in der Praxis funktioniert:

1. Ihr Browser verbindet sich mit https://example.com
2. Der Server präsentiert sein SSL/TLS-Zertifikat (Endbenutzerzertifikat)
3. Ihr Browser überprüft die Signatur des Zertifikats – es wurde von einer Zwischen-CA signiert
4. Ihr Browser überprüft das Zertifikat der Zwischen-CA – es wurde von einer Root-CA signiert
5. Ihr Browser überprüft seinen vertrauenswürdigen Root-Speicher – die Root-CA ist vorhanden und vertrauenswürdig
6. Die Verbindung wird als sicher überprüft ✓

Wenn ein Link in dieser Kette unterbrochen, abgelaufen, widerrufen oder nicht vertrauenswürdig ist, zeigt der Browser eine Sicherheitswarnung an und die Verbindung schlägt fehl.

Warum Wurzelzertifikate wichtig sind: Kernfunktionen

Sicherheit

Wurzelzertifikate sind der Mechanismus, durch den verschlüsselte Kommunikation authentifiziert und gesichert wird. Wenn sich ein Client mit einem Server über HTTPS, TLS oder andere verschlüsselte Protokolle verbindet, bietet das Wurzelzertifikat das grundlegende Vertrauen, das Verschlüsselung sinnvoll macht. Ohne es gäbe es keine zuverlässige Möglichkeit zu überprüfen, dass Sie tatsächlich mit dem beabsichtigten Server kommunizieren und nicht mit einem Angreifer, der einen Man-in-the-Middle-Angriff (MITM) durchführt.

Authentifizierung

Wurzelzertifikate ermöglichen die kryptographische Authentifizierung von Identitäten. Durch das Vertrauen in ein Wurzelzertifikat vertrauen Sie implizit jeder Entität, deren Zertifikat darauf zurückgeht – vorausgesetzt, die CA hat ihre Arbeit richtig gemacht. Deshalb existieren CA/Browser Forum-Standards und WebTrust-Audits: um sicherzustellen, dass CAs strenge Identitätsverifizierungspraktiken einhalten.

Datenintegrität

Über Verschlüsselung und Authentifizierung hinaus gewährleistet das PKI-System Datenintegrität. Digitale Signaturen, die von der Zertifikatskette abgeleitet sind, garantieren, dass Daten, die zwischen Client und Server übertragen werden, während der Übertragung nicht verändert wurden. Dies ist besonders wichtig für Finanztransaktionen, Gesundheitsdaten, Rechtsdokumente und jeden anderen sensiblen Datenaustausch.

Nichtabstreitbarkeit

In einigen Kontexten, besonders bei Code-Signatur- und Dokumentensignaturzertifikaten, unterstützen Wurzelzertifikate Nichtabstreitbarkeit – die Möglichkeit zu beweisen, dass eine bestimmte Entität ein bestimmtes Datenelement signiert oder gesendet hat, und dass sie dies später nicht leugnen kann.

Verwalten von Wurzelzertifikaten auf Ihrem System

Egal ob Sie SSL-Fehler beheben, interne PKI bereitstellen oder die Zertifikatskonfiguration Ihres Servers überprüfen – das Wissen, wie man Wurzelzertifikate anzeigt und verwaltet, ist eine praktische Fähigkeit für jeden Administrator.

Schritt 1: Anzeigen installierter Wurzelzertifikate

Unter Windows:

1. Drücken Sie Win + R, um das Dialogfeld Ausführen zu öffnen
2. Geben Sie certmgr.msc ein und drücken Sie Enter
3. Navigieren Sie zu Vertrauenswürdige Stammzertifizierungsstellen → Zertifikate
4. Sie sehen die vollständige Liste der vertrauenswürdigen Wurzelzertifikate, die auf dem System installiert sind

Alternativ können Sie PowerShell verwenden:

Get-ChildItem -Path Cert:LocalMachineRoot

Auf macOS:

1. Öffnen Sie Keychain Access (zu finden in Anwendungen → Dienstprogramme)
2. Wählen Sie in der linken Seitenleiste System Roots unter Keychains
3. Filtern Sie nach Zertifikaten im Abschnitt Kategorie
4. Durchsuchen oder suchen Sie nach bestimmten Wurzelzertifikaten

Unter Linux (Debian/Ubuntu):

Wurzelzertifikate werden normalerweise in /etc/ssl/certs/ gespeichert. Sie können sie mit folgendem Befehl auflisten:

ls /etc/ssl/certs/

Um ein bestimmtes Zertifikat anzuzeigen:

openssl x509 -in /etc/ssl/certs/ca-certificates.crt -text -noout

Das Paket ca-certificates verwaltet den vertrauenswürdigen Root-Speicher auf den meisten Debian-basierten Systemen.

Unter Linux (RHEL/CentOS/AlmaLinux):

ls /etc/pki/ca-trust/source/anchors/
update-ca-trust

Schritt 2: Hinzufügen eines benutzerdefinierten Wurzelzertifikats

In Unternehmensumgebungen oder bei Verwendung einer privaten CA müssen Sie möglicherweise ein benutzerdefiniertes Wurzelzertifikat zu Ihrem Vertrauensspeicher hinzufügen.

Unter Windows (über Gruppenrichtlinie oder manuell):

Import-Certificate -FilePath "C:pathtorootCA.crt" -CertStoreLocation Cert:LocalMachineRoot

Auf Ubuntu/Debian:

sudo cp rootCA.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates

Auf RHEL/CentOS:

sudo cp rootCA.crt /etc/pki/ca-trust/source/anchors/
sudo update-ca-trust extract

Schritt 3: Aktualisieren von Wurzelzertifikaten

Wurzelzertifikatsspeicher werden durch Betriebssystem- und Browser-Updates aktualisiert. Das Halten Ihrer Systeme auf dem neuesten Stand ist der einfachste und wichtigste Schritt zur Aufrechterhaltung eines gesunden Vertrauensspeichers.

• Windows: Windows Update verteilt Wurzelzertifikatsaktualisierungen automatisch über das Microsoft Trusted Root Certificate Program
• macOS: Wurzelzertifikatsaktualisierungen sind in macOS-Sicherheitsupdates enthalten
• Linux: Aktualisieren Sie das Paket ca-certificates regelmäßig: sudo apt update && sudo apt upgrade ca-certificates
• Browser: Chrome, Firefox und Edge verwalten ihre eigenen Root-Speicher (teilweise oder vollständig unabhängig vom Betriebssystem) und aktualisieren sie mit Browser-Updates

Schritt 4: Widerrufen oder Misstrauen eines Wurzelzertifikats

Wenn ein Wurzelzertifikat kompromittiert ist oder Sie eine CA aus Ihrem Vertrauensspeicher entfernen müssen, können Sie es manuell misstrauen oder löschen über die gleichen Schnittstellen, die oben beschrieben sind. Große Browser und Betriebssystemanbieter haben historisch kompromittierte CAs aus ihren Vertrauensspeichern entfernt – bemerkenswerte Beispiele sind Symantecs CA-Geschäft und mehrere staatlich verbundene CAs.

Wurzelzertifikate und Webhosting: Was Sie wissen müssen

Wenn Sie eine Website oder Webanwendung betreiben, beeinflusst die Wurzelzertifikatsinfrastruktur Sie direkt durch Ihr SSL/TLS-Zertifikat. Hier ist, was Sie beachten sollten:

Zertifikatsinstallation: Wenn Sie ein SSL-Zertifikat auf Ihrem Server installieren, müssen Sie auch die vollständige Zwischenzertifikatskette installieren. Wenn Sie dies nicht tun, führt dies zu Vertrauenskettenfehler für einige Clients, auch wenn das Zertifikat selbst gültig ist.

Zertifikatsauswahl: Wählen Sie SSL-Zertifikate von etablierten CAs, deren Wurzelzertifikate weit verbreitet vertraut sind. AlexHost bietet SSL-Zertifikate an, die von allen großen Browsern und Betriebssystemen erkannt werden, um sicherzustellen, dass Ihre Besucher niemals auf Vertrauensfehler stoßen.

Serverkonfiguration: Konfigurieren Sie Ihren Webserver (Apache, Nginx, LiteSpeed) ordnungsgemäß, um die vollständige Zertifikatskette bereitzustellen. Tools wie SSL Labs’ SSL Test können überprüfen, ob Ihre Kette ordnungsgemäß konfiguriert ist.

Hosting-Umgebung: Ihre Hosting-Umgebung muss SSL/TLS ordnungsgemäß unterstützen. Egal ob Sie auf Shared Web Hosting für eine unkomplizierte Website oder auf einem Dedicated Server für hochfrequente Anwendungen sind, die Sicherstellung, dass Ihre Plattform moderne TLS-Konfigurationen und Zertifikatverwaltung unterstützt, ist unverzichtbar.

E-Mail-Sicherheit: Wurzelzertifikate unterstützen auch E-Mail-Verschlüsselungsprotokolle wie S/MIME und STARTTLS. Wenn Sie einen Mailserver betreiben, erwägen Sie eine professionelle Email-Hosting-Lösung, die Zertifikatverwaltung und sichere Übertragung von Haus aus handhabt.

Häufige Wurzelzertifikatsprobleme und wie man sie behebt

Fehler „Zertifikat nicht vertrauenswürdig”

Ursache: Das Wurzelzertifikat der ausstellenden CA befindet sich nicht im Vertrauensspeicher des Clients.

Behebung: Stellen Sie sicher, dass Sie ein Zertifikat von einer weit verbreiteten CA verwenden. Für interne Systeme verteilen Sie Ihr privates Root-CA-Zertifikat auf alle Clientgeräte.

Fehler „Unvollständige Zertifikatskette”

Ursache: Das Zwischenzertifikat fehlt in der Serverkonfiguration.

Behebung: Laden Sie das Zwischenzertifikatsbündel von Ihrer CA herunter und konfigurieren Sie Ihren Webserver, um es zusammen mit Ihrem Endbenutzerzertifikat bereitzustellen.

Fehler „Zertifikat ist abgelaufen”

Ursache: Entweder Ihr Endbenutzerzertifikat oder ein Zwischenzertifikat in der Kette ist abgelaufen.

Behebung: Erneuern Sie Ihr SSL-Zertifikat. Wenn ein Zwischenzertifikat abgelaufen ist, laden Sie das aktualisierte Bündel von Ihrer CA herunter.

Warnung „Selbstsigniertes Zertifikat”

Ursache: Das Zertifikat wurde nicht von einer vertrauenswürdigen CA ausgestellt – es wird von sich selbst oder von einer privaten CA signiert, die nicht im Vertrauensspeicher ist.

Behebung: Ersetzen Sie es durch ein Zertifikat von einer vertrauenswürdigen öffentlichen CA, oder verteilen Sie Ihr privates Root-CA-Zertifikat auf alle Clients, die ihm vertrauen müssen.

Wurzelzertifikate vs. Zw