Die unsichtbare Angriffsfläche, die du nicht kennst

Jedes Mal, wenn eine Certificate Authority (CA) ein TLS-Zertifikat für deine Domain ausstellt, wird das öffentlich sichtbar. Das ist kein Fehler – das ist gewollt. Stichwort: Certificate Transparency (CT).

Aber hier wird es brenzlig: Jeder kann ein Zertifikat für deine Domain beantragen. Wenn eine kompromittierte oder zwielichtige CA genau das tut, bekommst du davon möglicherweise gar nichts mit. Bis es zu spät ist.

Certificate Transparency wurde entwickelt, um dieses Sichtbarkeitsproblem zu lösen. Oeffentlich vertrauenswürdige CAs müssen alle ausgestellten Zertifikate an öffentliche CT-Logs übermitteln. Damit entsteht eine prüfbare Spur der Zertifikatsausstellung.

Die entscheidende Frage ist nicht, ob diese Logs existieren – sondern ob du sie aktiv beobachtest.

Was Certificate Transparency Suche wirklich zeigt

Wenn du CT-Logs durchsuchst, siehst du nicht nur Zertifikate, die du selbst beantragt hast. Du bekommst das vollständige Bild:

DNS SAN (exakte Übereinstimmung) findet Zertifikate mit identischem Hostnamen, einschließlich Literal-Wildcards wie *.example.com. Das ist dein Standardcheck – haben wir dieses Zertifikat tatsächlich angefordert?

DNS Host Coverage fängt Zertifikate ab, die deine Domain direkt abdecken, inklusive übergeordneter Wildcard-Domains. Damit erkennst du, ob jemand ein Wildcard-Zertifikat erhalten hat, auf das er keinen Zugriff haben sollte.

DNS Host und Subdomains geht tiefer und zeigt Zertifikate, die für Namespaces unterhalb deines Hosts ausgestellt wurden. Hat jemand still und leise Zertifikate für api.example.com, staging.example.com oder andere Subdomains besorgt? Dann wirst du es hier entdecken.

Geschwindigkeit ist entscheidend: Neue Zertifikate erscheinen innerhalb von Minuten

Oeffentlich vertrauenswürdige TLS-Zertifikate tauchen üblicherweise innerhalb von 10 Minuten nach Ausstellung in den CT-Logs auf. Das ist kein nächtlicher Batch-Prozess – es läuft nahezu in Echtzeit.

Für die Sicherheitsüberwachung ist dieses Tempo entscheidend. Ein böswilliger Akteur, der ein Zertifikat für Phishing oder Man-in-the-Middle-Angriffe beantragt, hat nur ein schmales Zeitfenster, bevor eine Erkennung möglich wird.

Deshalb schlägt kontinuierliches Monitoring periodische Checks klar. Deine Domain könnte heute registriert werden, morgen ein Zertifikat erhalten – und eine wöchentliche Prüfung würde es komplett verpassen.

Pre-Certificates vs. Final Certificates: Warum Deduplizierung wichtig ist

CT-Logs speichern nicht nur fertige Zertifikate – sie können auch Pre-Certificates enthalten. Ein Pre-Certificate ist ein temporäres Zwischenprodukt, das manche CAs vor der eigentlichen Ausstellung einreichen.

Dasselbe logische Zertifikat kann dadurch zweimal in den CT-Logs auftauchen, mit unterschiedlichen binären Darstellungen.

Moderne CT-Suchwerkzeuge lösen das durch Deduplizierung: Sie vergleichen den TBS-no-CT SHA-256-Hash kombiniert mit dem Issuer SPKI SHA-256-Hash. "TBS-no-CT" bezeichnet die zu signierenden Zertifikatsdaten nach dem Entfernen der Certificate-Transparency-Erweiterungen. So werden Pre-Certificates und ihre entsprechenden finalen Zertifikate zusammengeführt – und du erhältst ein sauberes Ergebnis pro echtes Zertifikat statt verwirrender Duplikate.

Praktische Anwendungen für Entwickler und Sicherheitsteams

Für Entwickler: Integriere CT-Monitoring in deine Infrastructure-Provisioning-Skripte. Wenn du neue Umgebungen hochziehst, verifiziere automatisch, dass nur deine erwarteten Zertifikate in den CT-Logs für diese Domains auftauchen.

Für Sicherheitsteams: CT-Logs sind Gold wert für Threat Intelligence. Phishing-Kampagnen nutzen oft Zertifikate, die legitim wirken. Wenn du die CT-Logs auf Typosquatting-Domains überwachst (wie examp1e.com statt example.com), kannst du Markenimitation frühzeitig erkennen.

Für Startups: Wenn du in einem wettbewerbsintensiven Umfeld unterwegs bist, kann CT-Monitoring dich auf verdächtige Zertifikatsausstellungen aufmerksam machen – möglicherweise ein Zeichen für gezielte Angriffe oder Reconnaissance-Aktivitäten.

Überwachung ist nur der Anfang: Certificate Lifecycle Management

CT-Suche ist nur ein Baustein einer soliden Zertifikatsstrategie. Wenn du weißt, welche Zertifikate für deine Domains existieren, musst du auch deren Ablaufdaten im Blick behalten, Renewal-Fenster tracken und für korrektes Key Management sorgen.

Zertifikatsablauf-Fehler verursachen echte Produktionsausfälle – und sie kommen häufiger vor, als jemand zugibt.

Moderne Zertifikats-Monitoring-Plattformen wie CertObserver aggregieren CT-Daten, verfolgen Renewal-Risiken und alarmieren dich, bevor Zertifikate ablaufen. Das verwandelt Certificate Transparency von einem passiven Log in eine aktive Sicherheitskontrolle.

Das Fazit

Certificate Transparency verschafft dir Einblick in die Zertifikatsausstellung, der früher schlicht unmöglich war. Ob du ein einzelner Entwickler bist, der Handvoll Projekte verwaltet, oder ein Enterprise-Sicherheitsteam mit tausenden Domains – CT-Monitoring gehört in dein Sicherheitsarsenal.

Die gute Nachricht? Die Daten sind öffentlich verfügbar, Suchen sind schnell, und die Werkzeuge werden ständig besser. Keine Ausrede mehr, blind durch die Gegend zu fliegen, was Zertifikatsausstellungen angeht.

Beginne noch heute, deinen Zertifikats-Fußabdruck zu überwachen. Dein zukünftiges Ich wird es dir danken – wenn du nicht gerade debuggen musst, warum deine User plötzlich keine Verbindung aufbauen können, weil ein Zertifikat abgelaufen ist, von dem niemand wusste.

Bei NameOcean helfen wir Entwicklern und Startups, ihre Infrastruktur mit integriertem SSL-Management und Domain-Sicherheitstools abzusichern. Denn zu wissen, was mit deinen Zertifikaten passiert, sollte keinen Security-PhD erfordern.