Aufbau und Inhalte eines digitalen Zertifikats
Ein digitales Zertifikat ist der digitale Ausweis einer Identität –
vergleichbar mit einem Personalausweis, nur eben für Server, Organisationen oder Benutzer.
Statt eines Fotos oder einer Unterschrift enthält es kryptografische Informationen,
mit denen sich zweifelsfrei prüfen lässt, ob jemand „echt“ ist.
Zertifikate werden fast immer nach dem Standard X.509 Version 3 erstellt.
Dieser Standard legt fest, welche Felder ein Zertifikat enthalten darf oder muss
und wie sie interpretiert werden.
Abschnitt: Grundstruktur
Ein Zertifikat besteht aus mehreren logisch getrennten Bereichen.
Man kann es sich vorstellen wie ein Formular, das von der Zertifizierungsstelle (CA) ausgefüllt und anschließend signiert wird.
Versionsinformation
Dieses Feld gibt an, nach welchem X.509-Standard das Zertifikat aufgebaut ist.
In der Praxis ist das fast immer Version 3, da nur sie die sogenannten „Erweiterungen“ erlaubt.
Frühere Versionen (v1, v2) sind technisch überholt und werden kaum noch verwendet.
Seriennummer
Jedes Zertifikat erhält von der CA eine eindeutige Seriennummer.
Diese wird z. B. benötigt, wenn ein Zertifikat widerrufen wird —
denn in der Sperrliste (CRL) steht nicht der Name, sondern genau diese Seriennummer.
Sie dient also als „digitale Ausweisnummer“.
Signaturalgorithmus
Hier steht, mit welchem Algorithmus die CA das Zertifikat signiert hat,
zum Beispiel sha256WithRSAEncryption.
Das bedeutet: Der Hashwert des Zertifikatsinhalts wird mit SHA-256 berechnet
und dann mit dem privaten Schlüssel der CA (RSA) verschlüsselt.
Diese Kombination ergibt die digitale Signatur.
Aussteller (Issuer)
Das ist die Zertifizierungsstelle, die das Zertifikat erstellt und signiert hat.
Hier finden sich meist Angaben wie:
CN = Let's Encrypt Authority X3
O = Let's Encrypt
C = US
Diese Daten sind der digitale Stempel des Herausgebers.
Gültigkeitszeitraum
Zertifikate sind nur für einen begrenzten Zeitraum gültig.
Das schützt vor Missbrauch und zwingt zur regelmäßigen Erneuerung.
Ein typisches Let’s-Encrypt-Zertifikat ist z. B. 90 Tage gültig,
bei Unternehmenszertifikaten sind 1–2 Jahre üblich.
Das Feld enthält zwei Werte:
Not Before– ab wann das Zertifikat gültig istNot After– bis wann es gültig bleibt
Wenn der Client ein Zertifikat außerhalb dieses Zeitraums sieht, lehnt er es sofort ab.
Subjekt (Subject)
Das Subjekt beschreibt, auf wen das Zertifikat ausgestellt wurde – also den Inhaber.
Hier steht zum Beispiel:
CN = informatik-pruefung.de
O = Studio Reichert
L = Konstanz
C = DE
„CN“ steht für Common Name und bezeichnet in der Regel die Domain oder den Hostnamen,
auf den sich das Zertifikat bezieht.
Öffentlicher Schlüssel (Public Key Information)
Das ist das Herzstück des Zertifikats.
Hier steht der öffentliche Schlüssel des Inhabers,
mit dem Nachrichten verifiziert oder verschlüsselt werden können.
Der dazugehörige private Schlüssel bleibt geheim beim Besitzer.
Beispiel:
Public-Key: RSA (2048 Bit)
Modulus: A2:34:5B:...
Exponent: 65537
Der Browser nutzt diesen öffentlichen Schlüssel,
um zu prüfen, ob eine Nachricht tatsächlich vom Server stammt,
der zum Zertifikat gehört.
Erweiterungen (Extensions)
Ab Version 3 dürfen Zertifikate zusätzliche Felder enthalten.
Diese heißen Extensions und geben Hinweise auf die Art der Verwendung.
Beispiele:
Key Usage: Digital Signature, Key Encipherment
Extended Key Usage: TLS Web Server Authentication
Subject Alternative Name: DNS:informatik-pruefung.de, DNS:www.informatik-pruefung.de
Key Usage legt fest, wofür der Schlüssel verwendet werden darf.
Zum Beispiel zum Signieren, aber nicht zum Zertifikate-Ausstellen.Extended Key Usage beschreibt spezialisierte Szenarien wie „Webserver“, „Mailserver“ oder „VPN-Client“.
Subject Alternative Name (SAN) ist besonders wichtig:
Hier können mehrere Domains oder Subdomains eingetragen werden,
für die das Zertifikat gültig ist.
Digitale Signatur
Am Ende steht die digitale Signatur der CA.
Sie bestätigt: „Alle oben stehenden Daten sind echt und wurden nicht verändert.“
Wenn nur ein Bit des Zertifikatsinhalts geändert würde,
würde die Signatur beim Prüfen sofort ungültig werden.
Die Signatur ist also das digitale Siegel des Ausstellers —
vergleichbar mit einem Wachssiegel auf einem offiziellen Dokument.
Beispielhafte Darstellung
Zertifikat:
├── Version: 3
├── Seriennummer: 04:A1:7F:22:...
├── Signaturalgorithmus: sha256WithRSAEncryption
├── Aussteller: CN=Let's Encrypt Authority X3
├── Gültig von: 2025-10-19
│ bis: 2026-01-17
├── Subjekt: CN=informatik-pruefung.de
├── Öffentlicher Schlüssel: RSA (2048 Bit)
├── Erweiterungen:
│ ├── Key Usage: Digital Signature, Key Encipherment
│ ├── Extended Key Usage: TLS Web Server Authentication
│ ├── Subject Alternative Name: DNS:informatik-pruefung.de
└── Signatur: 4F:8E:7A:...
Warum das alles wichtig ist
Diese Struktur ist entscheidend, um ein Zertifikat automatisch prüfen zu können.
Wenn ein Browser oder Server ein Zertifikat empfängt, schaut er auf:
die Signatur (echt oder manipuliert?),
die Gültigkeit (aktuell oder abgelaufen?),
das Subject (passt es zur Domain?),
die Extensions (darf es für diesen Zweck überhaupt genutzt werden?).
Erst wenn alle Prüfungen erfolgreich sind,
wird das Zertifikat als vertrauenswürdig eingestuft und die Verbindung akzeptiert.