Wenn OCSP wegfällt, wie wird die Sperrung geprüft?

Die Zertifizierungsstellen veröffentlichen weiterhin CRLs; Browser fassen sie zu aggregierten Listen zusammen. Für Anwendungs-Clients wird der CRL-Download konfiguriert.

Warum funktioniert ein von mir gesperrtes Zertifikat noch?

Der Client prüft die Sperrung möglicherweise nicht oder nutzt eine veraltete Liste. Die endgültige Lösung ist, das Zertifikat von den Servern zu entfernen und das neue zu installieren.

Ratgeber

Warum die Zertifikatssperrung nicht funktioniert und wie kurze Laufzeiten das lösen

Wenn ein privater Schlüssel abfließt, sperren Sie das Zertifikat; aber erfährt der Browser davon? Meist nicht. Kürzere Laufzeiten schließen genau diese Lücke.

8. September 2026 · 5 Min. Lesezeit

Zwei Mechanismen

CRL (Sperrliste): Die Zertifizierungsstelle veröffentlicht eine Liste gesperrter Zertifikate (RFC 5280). Die Liste wächst; lädt der Client sie nicht herunter oder nutzt eine veraltete Kopie, bleibt die Sperrung unsichtbar.
OCSP: Der Client fragt die Zertifizierungsstelle für jedes Zertifikat in Echtzeit ab (RFC 6960). Datenschutz (die Zertifizierungsstelle sieht, welche Seiten Sie besuchen), Latenz und die Frage, was bei Nichterreichbarkeit der Zertifizierungsstelle passiert, sind die Probleme.
OCSP Stapling: Der Server hängt eine signierte, von der Zertifizierungsstelle bezogene OCSP-Antwort an den TLS-Handshake an; der Client kontaktiert die Zertifizierungsstelle nicht. Es erfordert eine korrekte Konfiguration.

Was Browser tun

Die meisten Browser brechen die Verbindung bei einem OCSP-Fehler nicht ab; kann ein Angreifer OCSP blockieren, bleibt die Sperrung unsichtbar.
Chrome liefert eigene kompakte Sperrlisten (CRLSets) mit dem Browser aus; nicht jede Sperrung schafft es hinein.
Let's Encrypt kündigte 2024 an, seinen OCSP-Dienst einzustellen, und verlagerte die Sperrinformationen auf CRLs; auch die Regeln des CA/Browser Forum machen OCSP optional und CRLs verpflichtend.

Warum kurze Laufzeiten die Antwort sind

Das Zertifikat wird nach 47 Tagen von selbst ungültig; das Missbrauchsfenster eines abgeflossenen Schlüssels ist höchstens so lang.
Fälle, in denen die Sperrprüfung scheitert (blockiertes OCSP, veraltete CRL), verlieren mit kurzen Laufzeiten an Bedeutung.
Da die automatische Verlängerung ohnehin Pflicht ist, läuft der Bezug eines neuen Zertifikats nach einer Sperrung über dieselbe Pipeline.
Das ist einer der Kerngründe hinter dem Ballot SC-081.

Was das für Ihre Organisation bedeutet

Wenn Sie sperren müssen: Zertifizierungsstelle benachrichtigen, neues Schlüsselpaar erzeugen, neues Zertifikat installieren und prüfen, dass das Zielsystem den neuen Fingerabdruck ausliefert.
Eine Sperrung ist erst abgeschlossen, wenn das Inventar jedes System zeigt, auf dem das alte Zertifikat installiert war.
Lassen Sie OCSP Stapling auf den Servern aktiviert; hat Ihre Zertifizierungsstelle OCSP eingestellt, wechseln Sie zur CRL-Verteilung.

Häufige Fragen

Wenn OCSP wegfällt, wie wird die Sperrung geprüft?: Die Zertifizierungsstellen veröffentlichen weiterhin CRLs; Browser fassen sie zu aggregierten Listen zusammen. Für Anwendungs-Clients wird der CRL-Download konfiguriert.
Warum funktioniert ein von mir gesperrtes Zertifikat noch?: Der Client prüft die Sperrung möglicherweise nicht oder nutzt eine veraltete Liste. Die endgültige Lösung ist, das Zertifikat von den Servern zu entfernen und das neue zu installieren.

Quellen

Verwalten Sie Ihre Zertifikate an einem Ort

Inventar, Ablaufüberwachung, Verlängerung über ACME und verifizierte Installation, in Ihrer eigenen Infrastruktur.

Demo anfragen