Vorhaben besprechen

TOOLBOX · SECURITY-CHECK

ZERTIFIKATEAUFSPÜREN.

Welche TLS-Zertifikate wurden für Ihre Domain ausgestellt? Domain eingeben und sehen, was die öffentlichen Certificate-Transparency-Logs über Aussteller, Laufzeit und Namen verraten.

Die Bot-Prüfung schützt die Toolbox vor automatisiertem Missbrauch.

Wir fragen bei crt.sh (Sectigo) die öffentlichen Zertifikatsdaten zu Ihrer Domain und ihren Subdomains ab. Ihre Website und die gefundenen Namen rufen wir nicht auf. Ergebnisse speichern wir nicht dauerhaft.

WAS SIE SEHEN

Jedes Zertifikat.
Jeder Name.

Der Bericht zeigt alle heute gültigen Zertifikate für Ihre Domain und ihre Subdomains, wie sie in den öffentlichen Logs stehen. Eine Note gibt es nicht: Ob ein Aussteller oder ein Name in Ordnung ist, wissen nur Sie.

  • 01

    Aussteller

    Welche Zertifizierungsstellen haben für Ihre Domain ausgestellt, und wie oft? Ein unbekannter Aussteller ist der wichtigste Hinweis auf ein fremd beantragtes Zertifikat.

  • 02

    Öffentlich sichtbare Namen

    Alle Hostnamen aus den Zertifikaten. Namen von Testsystemen oder Fernzugängen sind damit für jeden lesbar, auch für Angreifer.

  • 03

    Ablauf

    Läuft für einen Namen auch das neueste Zertifikat in weniger als 14 Tagen ab, weisen wir darauf hin: Vielleicht klemmt die automatische Verlängerung.

  • 04

    Einzelne Zertifikate

    Die neuesten zehn Zertifikate mit Aussteller, Laufzeit und allen Namen, jeweils mit Verweis auf den Eintrag bei crt.sh. Alle weiteren finden Sie dort über die Suche.

SO FUNKTIONIERT CERTIFICATE TRANSPARENCY

Öffentlich.
Nachprüfbar.

Certificate Transparency ist im Internet-Standard RFC 9162 beschrieben, der Version 2.0 nach RFC 6962. Die Grundbegriffe zu Verschlüsselung im Web erklärt unser Lexikon unter HTTP.

  • Zertifizierungsstellen reichen ausgestellte Zertifikate bei öffentlichen Logs ein. Ein Log lässt sich nur erweitern; ein Eintrag kann nicht gelöscht oder unbemerkt geändert werden.
  • Browser wie Google Chrome vertrauen öffentlichen TLS-Zertifikaten nur, wenn sie in solchen Logs stehen (Chrome Certificate Transparency Policy).
  • Jeder kann die Logs durchsuchen. crt.sh ist eine kostenlose Suche darüber, betrieben von Sectigo (crt.sh).
  • Die Kehrseite: Wer will, findet so auch Namen, die sonst schwer zu entdecken wären. RFC 9162 nennt das ausdrücklich (Abschnitt 11.5).
  • Zertifikate werden kürzer gültig: Das CA/Browser Forum hat beschlossen, die Höchstlaufzeit von März 2026 bis März 2029 schrittweise von 398 auf 47 Tage zu senken (Ballot SC-081v3). Automatische Verlängerung wird damit Pflicht.

Quellen: RFC 9162, RFC 6962, RFC 8659 (CAA) und Chrome Certificate Transparency Policy.

NICHT TEIL DIESES CHECKS

Zertifikate im Log.
Nicht auf dem Server.

Der Check liest nur die öffentlichen Logs. Was auf Ihren Servern tatsächlich ausgeliefert wird, zeigen andere Werkzeuge der Toolbox.

crt.sh ist ein Dienst von Sectigo. Dieses Werkzeug ist kein Angebot von Sectigo und zeigt nur Daten, die öffentlich abrufbar sind.

FRAGEN

Gut zu wissen.

Was ist Certificate Transparency?

Certificate Transparency (CT) ist ein offenes Protokoll, nach dem Zertifizierungsstellen ausgestellte TLS-Zertifikate in öffentliche Logs schreiben. Die Logs lassen sich nur erweitern, nicht nachträglich ändern. So kann jeder prüfen, welche Zertifikate es für eine Domain gibt, und fremd oder falsch ausgestellte Zertifikate bemerken. Beschrieben ist das in RFC 9162, der Nachfolge von RFC 6962. Browser wie Google Chrome vertrauen öffentlichen Zertifikaten nur, wenn sie in solchen Logs stehen.

Woher stammen die Daten?

Von crt.sh, einer kostenlosen Suche über die CT-Logs, die Sectigo betreibt. Wir fragen dort die noch gültigen Zertifikate für Ihre Domain und alle Subdomains ab. crt.sh ist oft ausgelastet; dauert die Antwort zu lange, läuft die Abfrage im Hintergrund weiter, und ein zweiter Versuch einige Minuten später zeigt das Ergebnis meist sofort.

Ein Aussteller ist mir unbekannt. Was nun?

Fragen Sie zuerst Ihre Dienstleister: Hosting, Website-Baukasten, CDN oder E-Mail-Dienst beantragen Zertifikate oft selbst, unter eigenem Namen bei ihrer Zertifizierungsstelle. Stammt ein Zertifikat von niemandem, den Sie beauftragt haben, kann es falsch ausgestellt sein. Dann wenden Sie sich an die Zertifizierungsstelle und lassen es widerrufen. Mit einem CAA-Eintrag im DNS legen Sie fest, welche Stellen künftig ausstellen dürfen.

Warum sehe ich Namen, die nicht mehr in Gebrauch sind?

Ein Zertifikat steht im Log, solange es existiert, auch wenn der Server dahinter längst abgeschaltet ist. Wir zeigen nur Zertifikate, die heute noch gelten. Ein Name taucht also auf, wenn in den letzten Monaten ein Zertifikat dafür ausgestellt wurde. Ob der Dienst noch läuft, prüfen wir bewusst nicht: Wir rufen keinen der gefundenen Namen auf.

Welche Daten gehen an wen, und speichert TOMORIS etwas?

Unser Server fragt bei crt.sh nach der eingegebenen Domain. Sectigo erhält dabei den Domainnamen und die Adresse unseres Servers, nicht Ihre IP-Adresse. Die Antwort von crt.sh halten wir bis zu eine Stunde im Arbeitsspeicher, damit wiederholte Prüfungen crt.sh nicht erneut belasten; den fertigen Bericht fünf Minuten. Dauerhaft gespeichert wird nichts.

TOOLBOX

Weitere
Werkzeuge.

IHR NÄCHSTER SCHRITT

Ergebnis da.
Und jetzt?

Wir ordnen Befunde ein, priorisieren nach Risiko und setzen auf Wunsch um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Ergebnis besprechen