Was ist der Unterschied zwischen domain / company / extended validation?

Bei SSL-Zertifikaten kann man zwischen drei Stufen der Validierung auswählen:

• Domain validation
• Company validation
• Extended validation

In Bezug auf die Qualität der Verschlüsselung bei der Datenübertragung gibt es keinen Unterschied zwischen diesen SSL-Zertifikaten. Der Unterschied besteht in dem Aufwand, den der Zertifikatsaussteller (die Certificate Authority, kurz CA) betreibt, um zu überprüfen, ob der Aussteller tatsächlich berechtigt ist, ein Zertifikat für seine Domain zu erhalten. Beim Besuch einer Website, die mit einem Zertifikat ausgestattet ist, werden die verschieden validierten Zertifikate unterschiedlich angezeigt.

Domain Validation

Bei Domain Validation - DV - wird die Validierung mit automatisierten Verfahren durchgeführt. Der Antragsteller kann durch einen DNS-Eintrag für die Domain, durch Platzieren einer Datei auf der zugehörigen Website oder durch Bearbeiten einer E-Mail an eine Adresse der Domain nachweisen, dass er berechtigt ist, ein SSL-Zertifikat zu erhalten.

Company Validation

Bei Company Validation - CV - fordert die CA zusätzliche Nachweise in Form von Dokumenten, zum Beispiel einen Handelsregisterauszug oder Gewerbenachweis oder Personalausweis, eventuell auch zusätzliche Nachweise. Die CA prüft diese Nachweise manuell - deswegen ist auch der Preis für ein CV-Zertifikat höher als der für ein DV-Zertifikat. In einem CV-Zertifikat ist auch der Name des Antragstellers sichtbar. Ein Besucher der Website kann sich diesen Namen anzeigen lassen. Wenn der Name zu der Website passt, bedeutet das: Erhöhtes Vertrauen.

Extended Validation

Am sorgfältigsten prüft die CA die Validieren bei Extended Validation - EV. Hier werden mehrere Dokumente als Nachweis gefordert, die zusammen passen müssen, etwa zusätzlich ein Kontoauszug oder eine Bestätigung der Bank, eine Strom-, Wasser- oder Festnetz-Telefonrechnung oder ähnliches. Ausserdem wird geprüft, ob der Antragsteller unter einer in einem öffentlichen Telefonverzeichnis aufgeführten Telefonnummer erreichbar ist. Die Extended Validation ist meistens ein langwieriger Prozess, und die Anforderungen sind hoch. Wenn die Mitarbeiter der CA überzeugt sind, dass alles seine Richtigkeit hat, stellen sie ein Zertifikat aus, bei dem - je nach Browser - der Inhaber deutlich angezeigt wird. Ein Besucher sieht schnell, wer der Inhaber der Website ist und kann großes Vertrauen darin haben, dass er wirklich mit der gewünschten Website und nicht mit einem Fake verbunden ist. Der große Validierungsaufwand hat natürlich seinen Preis.

Also: Wenn es nur darum geht, die Verschlüsselung einer Datenübertragung zu gewährleisten, spielt die Art der Validierung keine Rolle. Wenn es darum geht, möglichst großes Vertrauen beim Besucher einer Website zu gewinnen, macht es Sinn, erhöhten Aufwand zu treiben.