Reicht ein DV-Zertifikat für den Unternehmenseinsatz?

Bei Verschlüsselung und Browser-Vertrauen ja. Organisationen, die ihren Namen im Zertifikat zeigen wollen oder regulatorische Vorgaben haben, wählen OV.

Wildcard ist praktisch, wenn sich Subdomains häufig ändern; SAN wird für unterschiedliche Basisdomains benötigt. Beides lässt sich kombinieren. Wildcard erfordert DNS-Validierung.

Gilt die 47-Tage-Regel auch für interne Zertifikate?

Sie ist nicht verpflichtend; die Regel gilt für öffentlich vertrauenswürdige Zertifikate. Da kurze Laufzeiten das Risiko eines nach außen gelangten privaten Schlüssels senken, gehen interne PKIs denselben Weg.

Ratgeber

Zertifikatstypen: DV, OV, EV, Wildcard und die übrigen

Ein Zertifikat ist nicht gleich Zertifikat. Dasselbe X.509-Format dient unterschiedlichen Zwecken und folgt unterschiedlichen Vertrauensmodellen. Dieser Beitrag trennt die Typen und benennt, um welche es beim Zertifikats-Lifecycle-Management geht.

19. August 2026 · 5 Min. Lesezeit

Nach Validierungsstufe

DV (domainvalidiert): Die Zertifizierungsstelle prüft nur, dass Sie die Domain kontrollieren (ein DNS-Eintrag oder eine HTTP-Datei). Ausstellung innerhalb von Minuten, meist kostenlos und über ACME automatisiert. Die große Mehrheit der Websites nutzt DV.
OV (organisationsvalidiert): Zusätzlich zur Domain wird die Existenz der Organisation anhand von Dokumenten geprüft; der Organisationsname erscheint im Zertifikat. Ein manueller Prozess, der einige Tage dauert.
EV (Extended Validation): Strengere Prüfung der Organisation. Browser zeigten früher den Firmennamen grün an; diese Hervorhebung wurde entfernt. Kürzere Laufzeiten machen den manuellen EV-Prozess noch aufwendiger.

Nach Geltungsbereich

Einzelne Domain: Ein Domainname; die meisten Zertifizierungsstellen nehmen das www-Präfix mit auf.
Multi-Domain (SAN): Mehrere Domainnamen in einem Zertifikat; üblich auf Load Balancern und gemeinsam genutzten Diensten.
Wildcard: *.company.com: jede direkte Subdomain. Die Domainvalidierung muss über DNS erfolgen (dns-01); HTTP-Validierung ist für Wildcards nicht zulässig.

Nach Vertrauensmodell

Öffentlich vertrauenswürdig: Ausgestellt von einer Zertifizierungsstelle in den Root-Stores der Browser; unterliegt den Regeln des CA/Browser Forum und dem 47-Tage-Zeitplan.
Interne PKI (privat): Eigene Root- und Zwischenzertifizierungsstelle der Organisation; nur die eigenen Geräte vertrauen ihr. Die Laufzeitregel ist nicht verpflichtend, dieselbe Disziplin ist aber gute Praxis. Spricht die interne PKI ACME, wird sie mit derselben Automatisierung verwaltet.

Nach Verwendungszweck

TLS-Serverzertifikat: Websites, APIs, Load Balancer, Mailserver. Gegenstand dieses Beitrags und von Pecatra.
TLS-Client-Zertifikat (mTLS): Weist die Identität des Clients gegenüber dem Server nach; eingesetzt zwischen Diensten und für den VPN-Zugang.
Code Signing: Belegt die Herkunft von Softwarepaketen; eigene Prozesse bei den Zertifizierungsstellen und Pflicht zur Schlüsselablage in Hardware.
S/MIME und Dokumentsignatur: E-Mail- und Dokumentsignaturen; an eine Person gebundene Zertifikate.
Geräte- und IoT-Zertifikate: Bei der Fertigung im Gerät hinterlegt, meist langlebig; ein eigenes Verwaltungsthema.

Um welche es beim Lifecycle-Management geht

Schrumpfende Laufzeiten und der Druck, die Verlängerung zu automatisieren, betreffen öffentlich vertrauenswürdige TLS-Serverzertifikate. Zertifikate einer internen PKI lassen sich mit demselben Werkzeug verwalten; Code Signing und S/MIME sind andere Prozesse.

Zu inventarisieren: öffentliche und interne TLS-Serverzertifikate, zusammen mit jedem System, auf dem sie installiert sind.
Automatisch verlängerbar: Zertifikate einer Zertifizierungsstelle, die ACME spricht; Let's Encrypt, kommerzielle Zertifizierungsstellen mit ACME-Unterstützung und interne PKIs mit ACME.
Weiterhin manuell: OV- und EV-Zertifikate sowie Zertifizierungsstellen ohne ACME; hier werden zumindest Überwachung und verifizierte Installation automatisiert.

Häufige Fragen

Reicht ein DV-Zertifikat für den Unternehmenseinsatz?: Bei Verschlüsselung und Browser-Vertrauen ja. Organisationen, die ihren Namen im Zertifikat zeigen wollen oder regulatorische Vorgaben haben, wählen OV.
Wildcard oder SAN?: Wildcard ist praktisch, wenn sich Subdomains häufig ändern; SAN wird für unterschiedliche Basisdomains benötigt. Beides lässt sich kombinieren. Wildcard erfordert DNS-Validierung.
Gilt die 47-Tage-Regel auch für interne Zertifikate?: Sie ist nicht verpflichtend; die Regel gilt für öffentlich vertrauenswürdige Zertifikate. Da kurze Laufzeiten das Risiko eines nach außen gelangten privaten Schlüssels senken, gehen interne PKIs denselben Weg.

Quellen

Verwalten Sie Ihre Zertifikate an einem Ort

Inventar, Ablaufüberwachung, Verlängerung über ACME und verifizierte Installation, in Ihrer eigenen Infrastruktur.

Demo anfragen