SICHERHEITS-TOOL

Certificate Decoder

Dekodiere und analysiere SSL/TLS-Zertifikate. Mit Subject, Issuer, Validity, SANs, Key Usage, Fingerprints und Sicherheitsprüfung.

100% Lokal X.509 Fingerprints SANs

Datenschutz-Garantie: Zertifikate werden niemals hochgeladen. Die Analyse läuft komplett lokal im Browser. Perfekt für sensible Zertifikate oder Test-Setups.

Inhaltsverzeichnis

             Schnellübersicht
            PEM-Decoder: Base64-kodierte Zertifikate parsen
X.509-Felder: Subject, Issuer, Serial, Validity
SANs: Subject Alternative Names (DNS, IP, Email, URI)
Key Usage: Verwendungszweck des Zertifikats
Fingerprints: SHA-1, SHA-256
Sicherheits-Check: Ablauf, Algorithmus, CA
Theorie: Über X.509 und Zertifikate
FAQ: Häufige Fragen zu SSL/TLS

        

1. Certificate Decoder

Füge ein PEM-Zertifikat ein oder lade eine Datei hoch – alle Details werden extrahiert.

PEM-Zertifikat einfügen Format: PEM (Base64 zwischen -----BEGIN CERTIFICATE----- und -----END CERTIFICATE-----)

Datei hochladen (.pem, .crt, .cer)

Theorie – SSL/TLS-Zertifikate

Was ist ein X.509-Zertifikat?

X.509 ist der Standard für digitale Zertifikate:

Subject: Wem gehört das Zertifikat?
Issuer: Wer hat es ausgestellt?
Validity: Von wann bis wann gültig?
Public Key: Öffentlicher Schlüssel
Signature: Signatur der CA

Version 3 mit Extensions ist Standard

Wozu Zertifikate?

Zertifikate sichern die Kommunikation:

Verschlüsselung: Daten unlesbar für Dritte
Authentizität: Server ist wirklich der, der er vorgibt
Integrität: Keine Manipulation
Vertrauen: CA-Bestätigung

HTTPS = HTTP + TLS + Zertifikat

Fingerprints & SANs

Wichtige Zertifikatsfelder:

Fingerprint: SHA-1/SHA-256 Hash des Zertifikats
SANs: Welche Domains das Zertifikat abdeckt
Key Usage: Wofür darf der Key verwendet werden?
Extended Key Usage: Server/Client-Auth
CA: Ist es ein Root-Zertifikat?

SAN: example.com, www.example.com

Best Practices

Let's Encrypt: Kostenlose Zertifikate
Auto-Renewal: Ablauf automatisch verlängern
SHA-256: Nicht mehr SHA-1 signieren
RSA 2048+: Oder ECDSA 256+
HSTS: HTTPS erzwingen
OCSP Stapling: Schnellere Validierung

Let's Encrypt certbot --nginx

Wussten Sie schon?

Zertifikate haben ein Ablaufdatum – maximal 398 Tage (seit September 2020). Let's Encrypt-Zertifikate sind nur 90 Tage gültig. Das ist Absicht: Bei Kompromittierung ist der Schaden begrenzt, und es zwingt zur Automatisierung. Apple und Google fordern mittlerweile sogar höchstens 200 Tage (ab 2024). Moderne Infrastruktur nutzt certbot, acme.sh oder Cloud-Loadbalancer mit Auto-Renewal.

2. Geschichte der Zertifikate

Von X.509 zu Let's Encrypt und HTTPS Everywhere.

1988

X.509 Standard

X.509 wird von der ITU-T als Standard für digitale Zertifikate veröffentlicht. Ursprünglich für X.500-Verzeichnisdienste gedacht.

1995

SSL 2.0 (Netscape)

Netscape entwickelt SSL 2.0. Erste praktische Anwendung von Zertifikaten im Web. Bereits 1996 durch SSL 3.0 ersetzt.

1999

TLS 1.0 (RFC 2246)

TLS 1.0 wird als Standard veröffentlicht. Nachfolger von SSL. Wird in den 2000ern zum De-facto-Standard für HTTPS.

2008

MD5-Kollisionen

Die Flame-Malware nutzt eine MD5-Kollision, um ein gefälschtes Microsoft-Zertifikat zu erstellen. MD5 wird endgültig als unsicher eingestuft.

2011

DigiNotar-Hack

DigiNotar wird gehackt – gefälschte Zertifikate für Google, Microsoft und andere. Firma geht bankrott. Vertrauen in CAs wird hinterfragt.

2015

Let's Encrypt

Let's Encrypt startet – kostenlose, automatisierte Zertifikate. ACME-Protokoll revolutioniert das Web. HTTPS-Verbreitung steigt explosionsartig.

2017

HTTPS Everywhere

Über 50% des Web-Traffics ist verschlüsselt. Chrome und Firefox markieren HTTP als "Nicht sicher". HTTPS wird Standard.

Heute

Post-Quantum-Zertifikate

Neue Algorithmen (ECDSA, Ed25519) und Vorbereitung auf Post-Quantum-Kryptographie. Kurze Laufzeiten (90-200 Tage) sind Standard. Automatisierung Pflicht.

3. FAQ – Häufige Fragen

Häufige Fragen zu SSL/TLS-Zertifikaten

Was ist der Unterschied zwischen PEM, DER und PKCS#12?

Format	Kodierung	Verwendung
PEM	Base64 + ASCII-Header	Linux/Apache/Nginx
DER	Binär	Windows/Java
PKCS#12	Binär (Container)	Zertifikat + Key + Chain
PKCS#7	Base64/Binär	Chain ohne Key

PEM-Beispiel:

-----BEGIN CERTIFICATE-----
MIIDazCCAlOgAwIBAgIU... (Base64)
-----END CERTIFICATE-----

Konvertierung:

DER → PEM: openssl x509 -in cert.der -inform DER -out cert.pem
PEM → DER: openssl x509 -in cert.pem -outform DER -out cert.der

Was sind SANs und warum sind sie wichtig?

SANs (Subject Alternative Names) sind die Domains, IPs oder Emails, für die das Zertifikat gilt:

DNS: example.com, www.example.com
IP: 192.168.1.1, 2001:db8::1
Email: admin@example.com
URI: https://example.com/

Wichtig:

Moderner Standard: Browser prüfen nur noch SANs (nicht mehr CN)
Wildcards: *.example.com deckt alle Subdomains ab
Multi-Domain: Bis zu 100+ SANs möglich (SAN-Zertifikate)
Let's Encrypt: Standard-Limit 100 SANs pro Zertifikat

Fehlerquelle: Wenn die Domain nicht in SANs ist, zeigt der Browser eine Zertifikatswarnung.

Was bedeutet der Fingerprint?

Der Fingerprint ist ein Hash-Wert des gesamten Zertifikats:

SHA-1: 40 Hex-Zeichen (veraltet, unsicher)
SHA-256: 64 Hex-Zeichen (Standard)
Eindeutig: Pro Zertifikat einmalig

Verwendung:

Verifikation: Zertifikat gegen bekannten Fingerprint prüfen
Certificate Pinning: App akzeptiert nur bestimmte Zertifikate
Debugging: Zertifikat identifizieren
Forensik: Verdächtige Zertifikate tracken

Wichtig: Der Fingerprint ändert sich, sobald das Zertifikat neu ausgestellt wird (auch mit gleichem Subject)!

Was bedeutet Key Usage und Extended Key Usage?

Key Usage und Extended Key Usage (EKU) definieren, wofür der Schlüssel verwendet werden darf:

Key Usage (Bits):

Digital Signature: Signaturen erstellen
Key Encipherment: Schlüssel verschlüsseln
Data Encipherment: Daten verschlüsseln
Key Agreement: Schlüsselaustausch
Certificate Sign: Andere Zertifikate signieren
CRL Sign: CRLs signieren

Extended Key Usage (OIDs):

Server Auth: TLS-Server (Web)
Client Auth: TLS-Client
Code Signing: Software signieren
Email Protection: S/MIME
Time Stamping: Zeitstempel

Wichtig: Falsche EKU = Zertifikat wird abgelehnt!

Was ist eine Certificate Chain?

Eine Certificate Chain (Zertifikatskette) verbindet das Server-Zertifikat mit einer Root-CA:

1. Root CA: Im Browser/OS vorinstalliert
2. Intermediate CA: Von Root signiert
3. Server-Zertifikat: Von Intermediate signiert

Vertrauenskette:

Browser vertraut Root CA
Root CA vertraut Intermediate
Intermediate vertraut Server

Häufige Fehler:

Unvollständige Chain: Browser kann nicht validieren
Falsche Reihenfolge: Chain muss von Server → Root sortiert sein
Fehlende Intermediate: "Chain of trust broken"

Prüfen: openssl s_client -connect example.com:443 -showcerts

Wie lange sind Zertifikate gültig?

Aktuelle Regeln:

Anbieter	Max. Gültigkeit
Let's Encrypt	90 Tage
Apple (Safari)	398 Tage (ab 2020)
Google (Chrome)	200 Tage (ab 2024)
Kostenpflichtige CAs	398 Tage max.

Warum so kurz?

Sicherheit: Kompromittierte Certs schneller ungültig
Automatisierung: Erzwingt Renewal
Agilität: Schnellerer Wechsel bei Algorithmen
Revocation: Weniger Bedarf für CRL/OCSP

Empfehlung: Auto-Renewal mit certbot oder acme.sh.

Was ist der Unterschied zwischen RSA und ECDSA?

Merkmal	RSA	ECDSA
Schlüssellänge	2048-4096 Bit	256-521 Bit
Performance	Langsamer	Schneller
CPU-Last	Hoch	Niedrig
Größe	Größer	Kleiner
Verbreitung	Sehr hoch	Zunehmend
Sicherheit	2048 Bit = 112 Bit	256 Bit = 128 Bit

Empfehlung:

RSA 2048: Standard, kompatibel mit allem
RSA 4096: Höhere Sicherheit, langsamere Handshakes
ECDSA 256 (P-256): Moderne Alternative, sicherer und schneller
Ed25519: Neuester Standard, sehr schnell

Wichtig: Nicht alle Clients unterstützen ECDSA (sehr alte Systeme).

Wie prüfe ich, ob ein Zertifikat vertrauenswürdig ist?

Checkliste:

1. Gültigkeitsdatum: Aktuell gültig (nicht abgelaufen)
2. SANs: Deine Domain enthalten
3. Issuer: Bekannte CA (DigiCert, Let's Encrypt, etc.)
4. Chain: Vollständig bis Root CA
5. Fingerprint: Stimmt mit offizieller Quelle überein
6. Revocation: Nicht in CRL/OCSP widerrufen
7. Key Usage: Server Auth erlaubt
8. Signatur-Algorithmus: SHA-256, nicht SHA-1

Online-Tools:

SSL Labs: sslabs.com/ssltest
Hardenize: hardenize.com
crt.sh: Certificate Transparency Log

Kommandozeile: openssl s_client -connect example.com:443

Zusammenfassung

             Die wichtigsten Punkte
            X.509: Standard für digitale Zertifikate
PEM: Base64-kodiert, mit BEGIN/END-Header
Subject/Issuer: Wem gehört es, wer hat es ausgestellt
Validity: Gültigkeitszeitraum (max. 398 Tage)
SANs: Welche Domains abgedeckt sind
Fingerprint: SHA-1/SHA-256 Hash zur Identifikation
Key Usage: Wofür der Schlüssel verwendet werden darf
Chain: Root CA → Intermediate → Server
Let's Encrypt: Kostenlose, automatisierte Zertifikate
Unser Tool: Certificate Decoder mit 100% lokaler Analyse

        

Weitere Sicherheits-Tools

File Integrity Checker

Datei-Integrität mit MD5, SHA-1, SHA-256 prüfen.

Zum Tool

Hash Generator

MD5, SHA-1, SHA-256 und andere Hash-Verfahren.

Zum Tool

Passwort-Stärke Checker

Prüfe die Stärke von Passwörtern und ihre Sicherheit.

Zum Tool

DDoS Protection Simulator

Simuliere DDoS-Angriffe und teste Schutzmaßnahmen.

Zum Tool