GermanWikipedia - /page/entry.mu

Micron Document

<!DOCTYPE html>

<title>Online Certificate Status Protocol</title>

</head>

<h1 id="firstHeading" class="firstHeading mw-first-heading"><span class="mw-page-title-main">Online Certificate Status Protocol</span></h1>

</header>

</div>

<div id="mw-content-text" class="mw-body-content mw-content-ltr" lang="de" dir="ltr"><div class="mw-content-ltr mw-parser-output" lang="de" dir="ltr"><p>Das <b>Online Certificate Status Protocol</b> (<b>OCSP</b>) ist ein <a href="Netzwerkprotokoll" title="Netzwerkprotokoll">Netzwerkprotokoll</a>, das es <a href="Client" title="Client">Clients</a> ermöglicht, den Status von <a href="X.509" title="X.509">X.509</a>-<a href="Digitales_Zertifikat" title="Digitales Zertifikat">Zertifikaten</a> bei einem <a href="Validierungsdienst" title="Validierungsdienst">Validierungsdienst</a> abzufragen. Es ist im <a href="Request_for_Comments" title="Request for Comments">RFC</a> 6960 beschrieben und ein <a href="Internetstandard" title="Internetstandard">Internetstandard</a>.

</p><p>Benötigt wird dies z. B. bei:

</p>

<ul><li>der Prüfung <a href="Digitale_Signatur" title="Digitale Signatur">digitaler Signaturen</a></li>

<li>der <a href="Authentisierung" class="mw-redirect" title="Authentisierung">Authentisierung</a> in <a href="Kommunikationsprotokoll" title="Kommunikationsprotokoll">Kommunikationsprotokollen</a> (z. B. bei <a href="Transport_Layer_Security" title="Transport Layer Security">TLS</a>)</li>

<li>der <a href="Verschl%C3%BCsselung" title="Verschlüsselung">Verschlüsselung</a> von E-Mails,</li></ul>

<p>um jeweils zu überprüfen, ob die verwendeten Zertifikate evtl. gesperrt und damit bereits vor Ende ihres regulären Gültigkeitszeitraums ungültig wurden.

</p>

<div class="mw-heading mw-heading2"><h2 id="Funktionsweise">Funktionsweise</h2></div>

<p>Mittels OCSP kann der Status eines Zertifikats durch Anfrage bei einem Server (ein so genannter OCSP-Responder) abgefragt werden. Dieser OCSP-Responder wird in der Regel vom Herausgeber des Zertifikats betrieben und liefert als Antwort „good“ (d. h. das Zertifikat ist nicht gesperrt), „revoked“ (Zertifikat ist gesperrt) oder „unknown“ (der Status konnte nicht ermittelt werden, etwa weil der Herausgeber des Zertifikats dem Responder nicht bekannt ist). Des Weiteren besteht die Möglichkeit, dass der OCSP-Responder sogenannte Positivauskünfte („Zertifikat ist authentisch und gültig“) erteilt. Dabei wird der Antwort ein Hash-Wert des Zertifikats mitgegeben, wenn das Zertifikat tatsächlich existiert. Die Erteilung von Positivauskünften ist im OCSP-Standard RFC 2560<sup id="cite_ref-1" class="reference"><a href="#cite_note-1"><span class="cite-bracket">[</span>1<span class="cite-bracket">]</span></a></sup> allerdings nicht vorgesehen, so dass ihre korrekte Auswertung ein vom Standard abweichendes Verhalten der OCSP-Clients erfordert. In Deutschland ist die Erteilung von Positivauskünften für <a href="Qualifiziertes_Zertifikat" title="Qualifiziertes Zertifikat">qualifizierte Zertifikate</a> vom <a href="Signaturgesetz_(Deutschland)" title="Signaturgesetz (Deutschland)">Signaturgesetz</a> gefordert.

</p><p>Reguläre Antworten (OCSP Response) sind stets vom OCSP Responder <a href="Digitale_Signatur" title="Digitale Signatur">digital signiert</a> und können somit vom Client auf ihre Echtheit und Unverfälschtheit geprüft werden. Antworten, die Fehlersituationen repräsentieren, sind nicht signiert. Die Anfrage (OCSP Request) kann signiert sein, muss es aber nicht sein; in der Praxis werden OCSP Requests selten signiert.

</p><p>OCSP erlaubt es auch, in einer Anfrage die Gültigkeit mehrerer Zertifikate abzufragen; der Responder liefert dann in seiner Antwort eine Liste mit den jeweiligen Zertifikatsstatus.

</p><p>Sofern ein OCSP-Responder auf einer aktuellen Datenbasis (z. B. einer Replikation der Datenbank der <a href="Zertifizierungsstelle_(Digitale_Zertifikate)" title="Zertifizierungsstelle (Digitale Zertifikate)">Zertifizierungsstelle</a>) arbeitet, gibt er stets den gegenwärtigen Sperrstatus des Zertifikates an. Für die Gültigkeit einer <a href="Elektronische_Signatur" title="Elektronische Signatur">elektronischen Signatur</a> ist aber unter Umständen nicht der Status des Zertifikates zum Zeitpunkt der Prüfung (und der OCSP-Abfrage) relevant, sondern der Status zum (vergangenen) Zeitpunkt der Signierung (dies gilt z. B. für elektronische Signaturen nach dem <a href="Signaturgesetz_(Deutschland)" title="Signaturgesetz (Deutschland)">deutschen Signaturgesetz</a>). Daher müssen die OCSP-Antworten bei einem gesperrten Zertifikat auch den Sperrzeitpunkt angeben, so dass sich daraus ermitteln lässt, ob dieses Zertifikat zu einem bestimmten Zeitpunkt noch gültig war. Falls jedoch die <a href="Zertifizierungsstelle" class="mw-disambig" title="Zertifizierungsstelle">Zertifizierungsstelle</a> vorübergehende Sperrungen (Suspendierungen) zulässt, kann man einer positiven OCSP-Antwort („good“) nicht entnehmen, ob dieses Zertifikat zwischenzeitlich suspendiert war. Allerdings wird dies gemeinhin nicht als Nachteil von OCSP gewertet, sondern vielmehr die Suspendierung von Signaturzertifikaten als problematisch für elektronische Signaturen angesehen. Daher ist eine solche Suspendierung in Deutschland für <a href="Qualifiziertes_Zertifikat" title="Qualifiziertes Zertifikat">qualifizierte Zertifikate</a> nicht zugelassen. Im Unterschied zu OCSP unterstützt das <a href="Server-based_Certificate_Validation_Protocol" title="Server-based Certificate Validation Protocol">Server-based Certificate Validation Protocol</a> die Abfrage des Zertifikatsstatus zu einem vergangenen Zeitpunkt.

</p><p>OCSP besitzt kein eigenes Transport-Protokoll, zum Transport wird in der Regel <a href="Hypertext_Transfer_Protocol" title="Hypertext Transfer Protocol">http</a> oder <a href="Hypertext_Transfer_Protocol_Secure" title="Hypertext Transfer Protocol Secure">https</a> verwendet.

</p>

<div class="mw-heading mw-heading2"><h2 id="Verbreitung">Verbreitung</h2></div>

<p>OCSP wird inzwischen von vielen Standard-Programmen und Betriebssystemen (z. B. <a href="Microsoft_Windows_Vista" title="Microsoft Windows Vista">Microsoft Windows Vista</a>, <a href="Adobe_Acrobat" title="Adobe Acrobat">Adobe Acrobat</a>, <a href="Mozilla_Firefox" title="Mozilla Firefox">Mozilla Firefox</a>, <a href="Mozilla_Thunderbird" title="Mozilla Thunderbird">Mozilla Thunderbird</a>, <a href="Lotus_Notes" class="mw-redirect" title="Lotus Notes">Lotus Notes</a> Version 8, <a href="Opera_(Browser)" title="Opera (Browser)">Opera</a> ab Version 8<sup id="cite_ref-2" class="reference"><a href="#cite_note-2"><span class="cite-bracket">[</span>2<span class="cite-bracket">]</span></a></sup><sup id="cite_ref-3" class="reference"><a href="#cite_note-3"><span class="cite-bracket">[</span>3<span class="cite-bracket">]</span></a></sup>) unterstützt. Einige, vor allem ältere Programme unterstützen nur <a href="Zertifikatsperrliste" title="Zertifikatsperrliste">Zertifikatsperrlisten</a> (CRLs) zur Prüfung des Zertifikatsstatus.

</p><p>Um der Forderung des <a href="Signaturgesetz_(Deutschland)" title="Signaturgesetz (Deutschland)">Signaturgesetzes</a> nach einem aktuellen Auskunftsdienst zu genügen, betreiben alle Aussteller von qualifizierten Zertifikaten in Deutschland einen OCSP-Responder.

</p><p><a href="Let%E2%80%99s_Encrypt" title="Let’s Encrypt">Let’s Encrypt</a> hat OCSP im August 2025 abgeschaltet. Nach eigenen Angaben geschah dies primär aus Gründen des <a href="Datenschutz" title="Datenschutz">Datenschutzes</a>, da eine CA über OCSP erfährt, welche Websites ein Nutzer aufruft. Daneben hat der Betrieb von OCSP Ressourcen gebunden, um die im Schnitt 140.000 Anfragen pro Sekunde zu beantworten.<sup id="cite_ref-4" class="reference"><a href="#cite_note-4"><span class="cite-bracket">[</span>4<span class="cite-bracket">]</span></a></sup>

</p>

<div class="mw-heading mw-heading2"><h2 id="Vor-_und_Nachteile">Vor- und Nachteile</h2></div>

<div class="mw-heading mw-heading3"><h3 id="Vorteile">Vorteile</h3></div>

<p>Im Gegensatz zu Sperrlisten, die nur in bestimmten Intervallen erstellt werden und damit nicht immer aktuell sind, können OCSP-Responder sekundengenaue Sperrinformationen liefern, sofern sie eine aktuelle Datenbasis verwenden (z. B. die CA-Datenbank).

</p><p>Außerdem ermöglicht es OCSP im Gegensatz zu Sperrlisten, nicht gesperrte Zertifikate von gefälschten Zertifikaten zu unterscheiden – wenn der OCSP-Responder so konfiguriert ist, dass er nur bei tatsächlich existierenden Zertifikaten die Antwort „good“ liefert (Positivauskunft). Dies wird vor allem dann wichtig, wenn die von der Zertifizierungsstelle (CA) zur Signierung der Zertifikate eingesetzten <a href="Algorithmus" title="Algorithmus">Algorithmen</a> und Schlüssellängen im Laufe der Zeit unsicher und Fälschungen möglich werden. Allerdings sieht <a href="Der_Standard" title="Der Standard">der Standard</a> vor, dass ein OCSP-Responder bereits dann die Antwort „good“ liefert, wenn das Zertifikat nicht in einer Sperrliste gelistet ist; in diesem Fall könnte das Zertifikat auch gar nicht ausgestellt worden, d. h. gefälscht sein.

</p>

<div class="mw-heading mw-heading3"><h3 id="Nachteile">Nachteile</h3></div>

<p>OCSP liefert – wie Sperrlisten – nur Auskünfte zum Sperrstatus von Zertifikaten, prüft aber nicht die mathematische Korrektheit der Signaturen der Zertifikate, ihre Gültigkeitsdauer oder ggf. im Zertifikat angegebene Nutzungsbeschränkungen. Außerdem muss der Client zunächst eine <a href="Public-Key-Infrastruktur#Konzept" title="Public-Key-Infrastruktur">Zertifizierungskette</a> ermitteln. Um diese Aufgaben an den Auskunftsdienst auszulagern, wurde <a href="Server-based_Certificate_Validation_Protocol" title="Server-based Certificate Validation Protocol">SCVP</a> entwickelt.

</p><p>Weiterhin hängt die Aktualität von OCSP-Antworten von der verwendeten Datenbasis ab. Bei manchen Implementierungen basiert der OCSP-Responder auf einer Sperrliste und liefert daher keine aktuelleren Sperrinformationen als diese.

</p><p>Problematisch ist, dass viele Client-Implementierungen ein Zertifikat auch dann als gültig betrachten, wenn sie die Fehlerantwort „tryLater“ erhalten. Da Fehlerantworten nicht signiert sind, kann ein Angreifer durch gefälschte „tryLater“-Antworten die OCSP-Prüfung aushebeln.<sup id="cite_ref-5" class="reference"><a href="#cite_note-5"><span class="cite-bracket">[</span>5<span class="cite-bracket">]</span></a></sup>

</p><p>Die ursprüngliche OCSP-Implementierung kann zu beträchtlichen Kosten für die Zertifizierungsstellen führen, da diese dabei für ein bestimmtes Zertifikat jedem Client in Echtzeit Antworten liefern müssen. Wenn beispielsweise eine Website mit hohem Verkehrsaufkommen ein Zertifikat ausgestellt bekommt, dann werden die Server der Zertifizierungsstelle wahrscheinlich von einem starken Aufkommen an OCSP-Anfragen getroffen, die die Gültigkeit des Zertifikates abfragen.

</p>

<div class="mw-heading mw-heading2"><h2 id="Bedenken_hinsichtlich_der_Wahrung_der_Privatsphäre"><span id="Bedenken_hinsichtlich_der_Wahrung_der_Privatsph.C3.A4re"></span>Bedenken hinsichtlich der Wahrung der Privatsphäre</h2></div>

<p>Die Verwendung von OCSP wirft Fragen hinsichtlich der Wahrung der Privatsphäre auf, weil es bedingt, dass der Client neben dem eigentlichen Kommunikationsziel eine dritte Partei kontaktiert, um die Gültigkeit des Zertifikats zu überprüfen. Eine Möglichkeit, dieses Problem zu lösen, liegt in der Verwendung von <a href="Online_Certificate_Status_Protocol_stapling" title="Online Certificate Status Protocol stapling">OCSP Stapling</a>, dabei wird z. B. das Browserverhalten nicht enthüllt.

</p>

<div class="mw-heading mw-heading2"><h2 id="Siehe_auch">Siehe auch</h2></div>

<ul><li><a href="Certificate_Validation_Service" title="Certificate Validation Service">Certificate Validation Service</a></li></ul>

<div class="mw-heading mw-heading2"><h2 id="Normen_und_Standards">Normen und Standards</h2></div>

<p>Nachfolgend der Entwicklungspfad zum aktuellen <a href="Request_for_Comments" title="Request for Comments">Request for Comments</a> (RFC):

</p>

/* start https://de.wikipedia.org/ */

.mw-parser-output .dewiki-iconexternal>a{background-position:center right!important;background-repeat:no-repeat!important}body.skin-minerva .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/OOjs_UI_icon_external-link-ltr-progressive.svg")!important;background-size:10px!important;padding-right:13px!important}body.skin-timeless .mw-parser-output .dewiki-iconexternal>a,body.skin-monobook .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/MediaWiki_external_link_icon.svg")!important;padding-right:13px!important}body.skin-vector .mw-parser-output .dewiki-iconexternal>a{background-image:url("./_mw_/Link.ernal-small-ltr-progressive.svg")!important;background-size:0.857em!important;padding-right:1em!important}

/* end https://de.wikipedia.org/ */

</style><span class="dewiki-iconexternal"><a href="https://datatracker.ietf.org/doc/html/rfc2560" class="extiw external" title="rfc:2560">2560</a></span></i> – <i><span lang="en">X.509 Internet Public Key Infrastructure Online Certificate Status Protocol – OCSP</span></i>. Juni 1999 (veraltet, englisch).

<ul><li><i><a href="Request_for_Comments" title="Request for Comments">RFC</a>: <span class="dewiki-iconexternal"><a href="https://datatracker.ietf.org/doc/html/rfc6277" class="extiw external" title="rfc:6277">6277</a></span></i> – <i><span lang="en">Online Certificate Status Protocol Algorithm Agility</span></i>. Juni 2011 (Ergänzung, veraltet, englisch).</li></ul></li>

<li><i><a href="Request_for_Comments" title="Request for Comments">RFC</a>: <span class="dewiki-iconexternal"><a href="https://datatracker.ietf.org/doc/html/rfc6960" class="extiw external" title="rfc:6960">6960</a></span></i> – <i><span lang="en">X.509 Internet Public Key Infrastructure Online Certificate Status Protocol – OCSP</span></i>. Juni 2013 (englisch).</li></ul>

<div class="mw-heading mw-heading2"><h2 id="Einzelnachweise">Einzelnachweise</h2></div>

<li id="cite_note-1"><span class="mw-cite-backlink"><a href="#cite_ref-1">↑</a></span> <span class="reference-text"><i><a href="Request_for_Comments" title="Request for Comments">RFC</a>: <span class="dewiki-iconexternal"><a href="https://datatracker.ietf.org/doc/html/rfc2560" class="extiw external" title="rfc:2560">2560</a></span></i> – <i><span lang="en">X.509 Internet Public Key Infrastructure Online Certificate Status Protocol – OCSP</span></i>. Juni 1999 (veraltet, englisch).</span>

</li>

<li id="cite_note-2"><span class="mw-cite-backlink"><a href="#cite_ref-2">↑</a></span> <span class="reference-text"><span class="cite">Yngve Nysæter Pettersen: <a rel="nofollow" class="external text" href="https://web.archive.org/web/20100210031759/http://labs.opera.com/news/2006/11/09/"><i>Introducing Extended Validation Certificates.</i></a> <a href="Opera_Software" title="Opera Software">Opera Software</a>, 9. November 2006, archiviert vom <span class="dewiki-iconexternal"><a class="external text" href="https://redirecter.toolforge.org/?url=http%3A%2F%2Flabs.opera.com%2Fnews%2F2006%2F11%2F09%2F">Original</a></span> (nicht mehr online verfügbar) am <span style="white-space:nowrap;">10. Februar 2010</span><span>;</span><span class="Abrufdatum"> abgerufen am 8. Januar 2010</span> (englisch).</span> <small class="archiv-bot"><span class="wp_boppel noviewer" aria-hidden="true" role="presentation"><span typeof="mw:File"><span title="i"></span></span></span> <b>Info:</b> Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.</small><span style="display:none"><a rel="nofollow" class="external text" href="http://IABotmemento.invalid/http://labs.opera.com/news/2006/11/09/">@1</a></span><span style="display:none"><a rel="nofollow" class="external text" href="http://labs.opera.com/news/2006/11/09/">@2</a></span><span style="display:none">Vorlage:Webachiv/IABot/labs.opera.com</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AOnline+Certificate+Status+Protocol&rft.title=Introducing+Extended+Validation+Certificates&rft.description=Introducing+Extended+Validation+Certificates&rft.identifier=https%3A%2F%2Fweb.archive.org%2Fweb%2F20100210031759%2Fhttp%3A%2F%2Flabs.opera.com%2Fnews%2F2006%2F11%2F09%2F&rft.creator=Yngve+Nys%C3%A6ter+Pettersen&rft.publisher=%5B%5BOpera+Software%5D%5D&rft.date=2006-11-09&rft.source=http://labs.opera.com/news/2006/11/09/&rft.language=en"> </span></span>

</li>

<li id="cite_note-3"><span class="mw-cite-backlink"><a href="#cite_ref-3">↑</a></span> <span class="reference-text"><span class="cite">Yngve Nysæter Pettersen: <a rel="nofollow" class="external text" href="https://web.archive.org/web/20081118143946/http://my.opera.com/rootstore/blog/2008/07/03/rootstore-newsletter"><i>Rootstore newsletter.</i></a> <a href="Opera_Software" title="Opera Software">Opera Software</a>, 3. Juli 2008, archiviert vom <span class="dewiki-iconexternal"><a class="external text" href="https://redirecter.toolforge.org/?url=http%3A%2F%2Fmy.opera.com%2Frootstore%2Fblog%2F2008%2F07%2F03%2Frootstore-newsletter">Original</a></span> (nicht mehr online verfügbar) am <span style="white-space:nowrap;">18. November 2008</span><span>;</span><span class="Abrufdatum"> abgerufen am 8. Januar 2010</span> (englisch).</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AOnline+Certificate+Status+Protocol&rft.title=Rootstore+newsletter&rft.description=Rootstore+newsletter&rft.identifier=https%3A%2F%2Fweb.archive.org%2Fweb%2F20081118143946%2Fhttp%3A%2F%2Fmy.opera.com%2Frootstore%2Fblog%2F2008%2F07%2F03%2Frootstore-newsletter&rft.creator=Yngve+Nys%C3%A6ter+Pettersen&rft.publisher=%5B%5BOpera+Software%5D%5D&rft.date=2008-07-03&rft.source=http://my.opera.com/rootstore/blog/2008/07/03/rootstore-newsletter&rft.language=en"> </span></span>

</li>

<li id="cite_note-4"><span class="mw-cite-backlink"><a href="#cite_ref-4">↑</a></span> <span class="reference-text"><span class="cite"><a rel="nofollow" class="external text" href="https://letsencrypt.org/2025/08/06/ocsp-service-has-reached-end-of-life"><i>OCSP Service Has Reached End of Life.</i></a> 6. August 2025,<span class="Abrufdatum"> abgerufen am 9. August 2025</span>.</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AOnline+Certificate+Status+Protocol&rft.title=OCSP+Service+Has+Reached+End+of+Life&rft.description=OCSP+Service+Has+Reached+End+of+Life&rft.identifier=https%3A%2F%2Fletsencrypt.org%2F2025%2F08%2F06%2Focsp-service-has-reached-end-of-life&rft.date=2025-08-06"> </span></span>

</li>

<li id="cite_note-5"><span class="mw-cite-backlink"><a href="#cite_ref-5">↑</a></span> <span class="reference-text"><span class="cite">Moxie Marlinspike: <a rel="nofollow" class="external text" href="http://www.thoughtcrime.org/papers/ocsp-attack.pdf"><i>Defeating OCSP.</i></a> (PDF; 64 kB)<span class="Abrufdatum"> Abgerufen am 27. Januar 2011</span> (englisch).</span><span style="display: none;" class="Z3988" title="ctx_ver=Z39.88-2004&rft_val_fmt=info%3Aofi%2Ffmt%3Akev%3Amtx%3Adc&rfr_id=info%3Asid%2Fde.wikipedia.org%3AOnline+Certificate+Status+Protocol&rft.title=Defeating+OCSP&rft.description=Defeating+OCSP&rft.identifier=http%3A%2F%2Fwww.thoughtcrime.org%2Fpapers%2Focsp-attack.pdf&rft.creator=Moxie+Marlinspike&rft.language=en"> </span></span>

</li>

</ol></div><div><div class="zim-footer">

Dieser Artikel wurde von <a class="external text" title="Zuletzt bearbeitet am 2025-08-09" href="https://de.wikipedia.org/wiki/?title=Online_Certificate_Status_Protocol&oldid=258710301">Wikipedia</a> herausgegeben. Der Text ist unter <a class="external text" href="https://creativecommons.org/licenses/by-sa/4.0/deed.de">Creative Commons Attribution-Share Alike 4.0</a> verfügbar, sofern nicht anders angegeben. Für die Mediendateien können zusätzliche Bedingungen gelten.

</div>

</div></div>

</div>

</main>

</div>

</body></html>