Deutsch
Magyar
English
Slovenščina
Let’s Encrypt ist eine gemeinnützige Zertifizierungsstelle (Certificate Authority), die von Schwergewichten des Internets wie der Electronic Frontier Foundation (EFF), Mozilla und der Internet Security Research Group (ISRG) gegründet wurde und unterstützt wird. Ziel der Initiative ist es, allen kostenlose SSL-Zertifikate zur Verfügung zu stellen und das Internet dadurch sicherer zu machen.
Let’s Encrypt leistet zweifellos anerkennenswerte Arbeit, doch es ist kein Geheimnis, dass für kommerzielle Zwecke weiterhin die etablierten Zertifizierungsstellen gebraucht werden. Dazu gehören DigiCert (das 2017 auch das Zertifikatsgeschäft von Symantec übernommen hat), Sectigo (früher Comodo), GeoTrust, RapidSSL und Thawte. Für sie spricht auch, dass ihre Zertifikate mit Basisverschlüsselung und Domainvalidierung bereits zu sehr niedrigen Preisen erhältlich sind und ihr Name für die meisten Internetnutzer eine Garantie darstellt.
Gegen Let’s Encrypt spricht, dass es wichtige SSL-Zertifikatstypen wie Zertifikate mit Organisationsvalidierung (OV) oder mit erweiterter Validierung (Extended Validation) nicht ausstellt. Zertifikate für mehrere Domains und Wildcard-Zertifikate stellt es dagegen kostenlos aus.
Let’s Encrypt gibt es nur mit erheblichen Einschränkungen
Da Let’s Encrypt nur über begrenzte Ressourcen und Infrastruktur verfügt, musste es einige sehr ernsthafte Einschränkungen einführen. Weil es kostenlos ist, stellt es nur automatisierte, domainvalidierte SSL-Zertifikate (Domain Validated) mit Basisverschlüsselung aus und verzichtet damit auf viele Vorteile, die SSL-Zertifikate sonst bieten.
Ein Zertifikat von Let’s Encrypt bestätigt nur den Inhaber der Domain, enthält aber keine Angaben zum Unternehmen. Diese muss ein Validierungsexperte mit zusätzlichem Zeitaufwand beschaffen. Auch Zertifikatselemente, die schon die einfachen kostenpflichtigen Varianten mitbringen, fehlen, darunter das bekannte Vertrauenssiegel (Seal), das gut sichtbar auf zertifizierten Websites platziert werden kann.
Unternehmen möchten ihren Besuchern zunehmend zeigen, dass sie Daten zuverlässig verarbeiten. Ein gutes Beispiel dafür sind die SSL-Anzeigen in den Browsern. Dazu gehört etwa das Schloss-Symbol, das eine sichere Verbindung anzeigt. Den früher grün hervorgehobenen Firmennamen in der Adressleiste zeigen heutige Browser nicht mehr an; die Zertifikatsdaten lassen sich mit einem Klick auf das Symbol in der Adressleiste anzeigen.
Diese Elemente erhalten Unternehmen weiterhin bei kostenpflichtigen Anbietern wie DigiCert oder Sectigo, die dafür passende OV- oder EV-Zertifikate anbieten.
Ein OV-Zertifikat steht für die Organisationsvalidierung: Dabei werden nach Prüfung der Unternehmensunterlagen auch die Daten des Unternehmens bestätigt. Ein EV-Zertifikat steht für die höchste Validierungsstufe, bei der zusätzlich der Ansprechpartner geprüft wird, der für das validierte Unternehmen arbeitet. Früher erschien bei einem solchen Zertifikat die grüne Leiste im Browser; heute sind die Unternehmensdaten in den Zertifikatsdetails zu sehen.
Viele große Unternehmen setzen auf EV-Zertifikate, da diese auch die validierten Unternehmensdaten enthalten. Zur Zeit der grünen Browserleiste signalisierten auch Twitter, Apple und PayPal ihren Kunden auf diese Weise, dass sie auf der offiziellen Website gelandet sind und ihre persönlichen Daten sicher eingeben können. Viele Banken verwenden dieses Zertifikat auch heute, obwohl die Browser es nicht mehr gesondert hervorheben, sodass Besucher den Unterschied nur in den Zertifikatsdetails sehen.
Wegen der oben genannten Lücken von Let’s Encrypt entscheiden sich viele Unternehmen weiterhin für ein kostenpflichtiges Zertifikat.
Die Menschen brauchen mehr als nur kostenloses SSL
Wer schon einmal SSL-Zertifikate verkauft hat, weiß, dass es nicht genügt, den Kunden einfach einen SSL-Dienst zu verkaufen. Bei SSL ist die Transaktion mit dem Kauf nicht abgeschlossen!
Schon bei der Auswahl des passenden SSL-Dienstes ist Hilfe nötig. Danach muss das gekaufte Zertifikat auf der Website eingebunden werden, und es braucht Unterstützung bei der Validierung, beim Platzieren des Vertrauenssiegels, bei der Lösung verschiedener Probleme und beim Verfolgen der Erneuerungen. Diese Probleme können schon bei einem einfachen domainvalidierten Zertifikat auftreten; OV- und EV-Validierungen erfordern noch deutlich mehr Unterstützung.
Da Let’s Encrypt kostenlos ist, fehlt die Kapazität, Kunden bei der Installation ihres allerersten SSL-Zertifikats zu helfen, und es gibt keinen Support, der an jedem Tag des Jahres rund um die Uhr bei Problemen erreichbar ist. Es gibt zwar Community-Support, bei dem viele engagierte Menschen in ihrer Freizeit Fragen beantworten, doch das ist keine Lösung, auf die sich ein Unternehmen verlassen kann, wenn es in der heutigen schnelllebigen Welt nicht ins Hintertreffen geraten will. Um ein paar Euro zu sparen, kann kein Unternehmen die Kontinuität seines Geschäftsbetriebs oder das Vertrauen seiner Kunden aufs Spiel setzen – das lohnt sich einfach nicht!
Die Menschen brauchen eindeutig kein kostenloses, sondern ein zuverlässiges Zertifikat, ergänzt durch Kundenservice und Support rund um die Uhr. Unternehmen zahlen lieber für einen Dienst, der eine wirksame Lösung bietet, wenn ein Problem auftritt.
Studien haben zudem gezeigt, dass Kunden etablierten Zertifizierungsstellen wie DigiCert, Sectigo, GeoTrust und Thawte vertrauen. Außerdem stärkt ein gut sichtbares Vertrauenssiegel das Vertrauen der Kunden und damit die Conversion. Das galt besonders für das Norton Secured Seal, das Teil jedes Symantec-Zertifikats war und zu den bekanntesten Marken im Internet gehörte; DigiCert hat es nach der Übernahme durch sein eigenes Siegel ersetzt.
Das Modell von Let’s Encrypt, eine Einheitslösung für alle Probleme, ist nicht perfekt. Ein persönlicher Blog braucht offensichtlich ein anderes Zertifikat als das Portal eines Großunternehmens. Es ist zu erwarten, dass immer mehr Websites die Bedeutung der Validierung erkennen, und so gehört die Zukunft den Händlern, die verschiedene Zertifikatstypen anbieten.