Zertifikatsanfrage entwerfen

Namen, Verwendungszweck und Schlüsselgrenze einer Anfrage so begrenzen, dass ein Zertifikat nicht mehr Identität behauptet als der Dienst benötigt.

Lehrtext · 4 Abschnitte · zuletzt geprüft: 2026-07-30

Die Betriebsfrage

Eine Zertifikatsanfrage legt fest, welche Identität und welche kryptografische Verwendung ein Dienst später beweisen kann. Der Antrag ist damit eine Sicherheitsgrenze, nicht bloß ein Formular.

LernzielDu kannst eine Anfrage auf benötigte DNS-Namen, Schlüsselverwendung und verantwortlichen Ausstellungsweg begrenzen.

Anfrage als Vertrag

Dienst und Zielnamen aus der Architektur ableiten→Benötigte Protokollrolle und Schlüsselverwendung festlegen→Namensquelle und Berechtigung gegen die Vorlage prüfen→Schlüsselort, Exportregel und Erneuerungsweg entscheiden

Jeder zusätzliche Name vergrößert die Identität, die ein kompromittierter Schlüssel vortäuschen könnte.

Was nicht vermischt werden darf

Dienstidentität: DNS-Namen im SAN müssen dem erreichbaren Dienst entsprechen.
Ausstellungsrecht: Eine berechtigte Identität darf nur Anträge in ihrem vorgesehenen Scope stellen.
Schlüsselschutz: Der private Schlüssel bleibt bei der vorgesehenen Betriebsgrenze.

Prüffrage

Kurzcheck

Welche Angabe sollte ein generisches Webserver-Zertifikat nicht ohne nachgewiesenen Bedarf enthalten?

Zusätzliche Namen eines anderen Dienstes oder Mandanten
Den tatsächlich bereitgestellten FQDN
Den vorgesehenen Ausstellungsweg

Treffer. Richtig. Zusätzliche SANs erweitern die Identität des einen Schlüssels.

Jetzt anwenden

Diesen Stoff gibt es als Modul mit bewerteten Entscheidungs-Checks — dieselbe Einführung, danach die Übungen.

Zum Modul →

Quellen & Aktualität3 Primärquellen · zuletzt geprüft: 2026-07-30