Zwischenzertifikat

Ein Zwischenzertifikat (auch: Intermediate Certificate) ist ein Bestandteil der sogenannten Zertifikatskette innerhalb der Public Key Infrastructure (PKI). Es stellt eine Verbindung zwischen dem Root-Zertifikat einer Zertifizierungsstelle (CA) und dem Endnutzerzertifikat

Aufbau einer Zertifikatskette

Eine vollständige Zertifikatskette besteht aus:

1. Root-Zertifikat: Selbstsigniert, in Betriebssystemen und Browsern als vertrauenswürdig verankert
2. Zwischenzertifikat(e): Vom Root-Zertifikat signiert, signiert wiederum die Endzertifikate
3. Endnutzerzertifikat: Das eigentliche SSL-Zertifikat für eine Domain oder Anwendung

Funktion des Zwischenzertifikats

• Ermöglicht die Ausstellung und Verwaltung von SSL-Zertifikaten ohne direkten Zugriff auf das Root-Zertifikat
• Trennt den hochsicheren Root-Schlüssel vom operativen Tagesgeschäft
• Verbessert Sicherheit: Bei Kompromittierung eines Zwischenzertifikats kann es widerrufen werden, ohne die Root-CA zu gefährden
• Mehrere Zwischenzertifikate können für verschiedene Zwecke (z. B. DV-, OV-, EV-Zertifikate) existieren

Beispiel einer Zertifikatskette

Root CA:       DigiCert Global Root G2
Zwischenzertifikat: DigiCert TLS RSA SHA256 2020 CA1
Endzertifikat: www.beispiel.de

Warum Zwischenzertifikate wichtig sind

• Ohne korrekt eingebundenes Zwischenzertifikat kann ein Browser dem Endzertifikat nicht vertrauen
• Fehlende Zwischenzertifikate führen zu SSL-Warnungen wie „Zertifikat nicht vertrauenswürdig“
• Sie sind für die Chain of Trust zwischen Domain und Root-Zertifikat erforderlich

Zwischenzertifikate und Webserver-Konfiguration

• Beim SSL-Zertifikat kaufen liefert die CA meist ein oder mehrere Zwischenzertifikate mit
• Webserver (z. B. Apache, Nginx, Plesk) erwarten das Zwischenzertifikat in einer separaten Datei (z. B. chain.pem) oder in Kombination mit dem Endzertifikat
• Die Datei wird über Parameter wie SSLCertificateChainFile (Apache) oder ssl_trusted_certificate (Nginx) eingebunden

Beispiel: Apache-Konfiguration mit Zwischenzertifikat

SSLCertificateFile /etc/ssl/certs/domain.crt
SSLCertificateKeyFile /etc/ssl/private/domain.key
SSLCertificateChainFile /etc/ssl/certs/intermediate.crt

Bezug zu Hosting und Domains

• Bei Verwendung eines SSL-Zertifikats auf einer registrierten Domain muss die vollständige Zertifikatskette korrekt konfiguriert sein
• Nach dem Domain registrieren sollte beim Einrichten eines Webservers mit HTTPS darauf geachtet werden, dass auch das Zwischenzertifikat eingebunden ist
• Viele Hosting-Anbieter oder Plesk-Installationen übernehmen das Einbinden automatisch

Empfehlungen für Anwender

• Immer vollständige Zertifikatskette vom Anbieter verwenden (Endzertifikat + Zwischenzertifikat)
• Nach jeder SSL-Erneuerung prüfen, ob sich das Zwischenzertifikat geändert hat
• Verwenden Sie SSL Labs oder ähnliche Tools, um die Gültigkeit der Kette zu überprüfen

Zusammenfassung

• Ein Zwischenzertifikat verknüpft das Root-Zertifikat mit dem Endnutzerzertifikat
• Es ist essenziell für eine funktionierende SSL-Verschlüsselung und Browser-Vertrauen
• Fehlende oder falsch eingebundene Zwischenzertifikate führen zu Warnmeldungen oder Verbindungsabbrüchen
• Beim Einrichten eines SSL-Zertifikats sollte die komplette Zertifikatskette berücksichtigt werden