Google Chrome warnt vor immer mehr Websites

Seit Anfang Mai warnt der Browser Google Chrome in der Version 66 vor Webseiten, die eigentlich korrekt verschlüsselt sind. Der Grund hierfür ist ein Streit zwischen Google und einem der Dienste, die Zertifikate für verschlüsselte Webseiten ausstellten. Es handelt sich dabei um die Firma Symantec , die neben Antivirentools auch SSL-/TLS-Zertifikate für Webseiten vergab. Zu Symantec gehörten ebenfalls die Zertifizierungsstellen Verisign, Equifax, Geo Trust und Rapid SSL. Wie es zu dem Streit gekommen ist, vor welchen Websites Chrome heute und künftig warnt und warum das System von Zertifikaten so empfindlich ist, erklären wir in diesem Beitrag.

Google deckt Fehler bei Symantec-Zertifikaten auf

Google hat ein sehr starkes Interesse daran, dass das World Wide Web reibungslos, schnell und sicher funktioniert. Denn Google verdient mit Werbung im Internet Geld, und das geht umso besser, je zufriedener der Internetnutzer ist und je mehr er dem Internet und den Internet-Shops vertraut. Darum hat Google seinen eigenen Internet-Browser Chrome herausgebracht und darum arbeiten die Google-Ingenieure hart daran, das WWW sicherer zum machen. Was das Thema sicheres Internet angeht, so verfolgt Google unter anderem das Ziel, dass möglichst alle Websites verschlüsselt sind und alle verschlüsselten Webseiten zuverlässig den Firmen gehören, für die sie stehen. An dieser Stelle kommen die Zertifikate für Webseiten ins Spiel sowie die Unternehmen, die diese Zertifikate ausstellen, die sogenannten Zertifizierungsstellen. Letztere verkaufen an Webseitenbetreiber SSL-/TLS-Zertifikate, die belegen, dass die Website einer bestimmten Person oder Firma gehört. Sie enthalten auch den Schlüssel, mit dem sich die Verbindung zur Webseite verschlüsseln lässt. Zertifizierung und Verschlüsselung geschehen hier in einem. Die Zertifizierungsstelle muss also prüfen, ob ein Antragsteller auch wirklich der legitime Besitzer einer Website ist. Diese Überprüfung soll bei den Zertifizierungsstellen von Symantec wiederholt nicht gut genug gewesen sein. Symantecs wohl schlimmster Fehler war, dass sie ein Zertifikat für die Webseite Google.com an einen Nicht-Google-Mitarbeiter ausgestellt haben. Dadurch konnte diese Person im Internet vortäuschen, Google zu sein. Nachdem der Fehler aufgeflogen war, entdeckte Google eigenen Angaben zufolge rund 30.000 Zertifikate von Symantec, die nicht den geltenden Standards der Zertifizierungsbranche entsprachen. Aus dem daraus resultierenden Streit zwischen Google und Symantec zogen die Verantwortlichen bei Symantec letztes Jahr die Konsequenzen und verkauften ihre Zertifizierungssparte im Dezember 2017 für rund 950 Millionen US-Dollar an Digicert . Übrigens: SSL und TLS sind beide Verschlüsselungsprotokolle. SSL steht für Secure Socket Layers und TLS für Transport Layer Security. TLS ist der Nachfolger von SSL, das heutzutage als unsicher gilt. Aktuell ist die Version TLS 1.3. Viele Anwender und Anbieter sprechen allerdings immer noch von SSL-Verbindungen und -Zertifikaten, weil sich der Begriff für verschlüsselte Webseiten eingebürgert hat.

Siehe auch: SSL-Zertifikate kostenlos für Websites erstellen

Google Chrome warnt vor vielen verschlüsselten Websites

Seit dem ersten Dezember gibt es also keine neuen SSL-/TLS-Zertifikate von Symantec mehr. Es existieren jedoch natürlich noch viele Firmen, die in den Monaten und Jahren zuvor Zertifikate von Symantec für ihre Webseiten gekauft haben. Vor diesen Websites warnt Chrome seine Benutzer nun (siehe dazu Abbildung oben) und weist darauf hin, dass Angreifer gegebenenfalls Passwörter mitschneiden können. Betroffen davon sind jedoch nicht nur die 30.000 Zertifikate, bei denen Unregelmäßigkeiten festgestellt wurden, sondern alle Symantec-Zertifikate. Ab wann die Warnung angezeigt wird, hängt jeweils davon ab, wann das Zertifikat ausgestellt wurde. Google selbst macht hierzu knappe Angaben auf dieser Webseite . Der Domain Registrar Epag hat den Sachverhalt auf seiner Website etwas übersichtlicher erklärt. Ab Oktober 2018 soll Chrome in seiner Version 70 vor sämtlichen Symantec-Zertifikaten warnen.

Wie viele Webseiten davon dann noch betroffen sind, lässt sich nicht sagen, denn die Betreiber der Websites wurden bereits per Mail dazu aufgefordert, sich ein neues Zertifikat ausstellen zu lassen. Der Vorgang ist für die Betreiber kostenlos. Für den Anwender stellt die Warnung allerdings ein Problem dar. Der Grund: Er kann nur schwer entscheiden, ob Chrome vor der Webseite warnt, weil das Zertifikat unter den generellen Misstrauensvorwurf fällt oder ob andere Probleme vorliegen. Zumindest können Sie sich ansehen, ob eine bemängelte Webseite ein Zertifikat von Symantec, Verisign, Equifax, Geo Trust und Rapid SSL enthält und dieses vor dem ersten Dezember 2017 ausgestellt worden ist. Dann könnte die Warnung allein aufgrund des generellen Misstrauens erscheinen. Sicher ist das aber nicht. Sie sehen die erforderlichen Details, wenn Sie in Chrome auf die Fläche vor der Webadresse klicken und daraufhin „Zertifikat –› ungültig –› Details –› Aussteller“ wählen.

Warnungen erscheinen auch bei unverschlüsselten Websites

Google Chrome will ab Version 68 auch vor unverschlüsselten Webseiten warnen. Aller Voraussicht nach wird die Warnung aber nur aus den Worten „Nicht sicher“ vor der Webadresse im Browser bestehen. So warnt Chrome bereits einige Zeit vor Webseiten ohne Verschlüsselung, aber mit Log-in-Feldern. Diese Warnung soll den Druck auf Webseitenbetreiber erhöhen, ihre Sites verschlüsselt anzubieten. Seit etwa einem Jahr sollen unverschlüsselte Webseiten außerdem schlechter bei der Suchmaschine von Google gelistet werden. Auch dies übt auf die Webseitenbetreiber Druck aus, zumindest wenn sie auf eine gute Platzierung in den Google-Suchergebnissen Wert legen. Grundsätzlich bieten verschlüsselte Verbindungen zu Webseiten einige Vorteile für den Benutzer. So ist beispielsweise die Gefahr, dass Hacker gefährlichen Code in die Webseite einbauen, geringer als bei unverschlüsselten Sites. Es gibt allerdings auch Nachteile. Antivirensoftware kann den Datenstrom nicht auf Schadcode überprüfen. Das geht erst, wenn der Code vom Browser auf die Festplatte gespeichert wird. Bei den sogenannten dateilosen Viren findet eine solche Speicherung jedoch gar nicht mehr statt. Dieser Code wird direkt vom Browser aktiviert. Eine Antivirensoftware hat es aufgrund dessen schwer, dateilose Viren aus einer verschlüsselten Internetverbindung zu blockieren. Trotz dieser sowie weiterer Nachteile von verschlüsselten Verbindungen hält Google an seiner Strategie fest.

Weitere Fehlermeldungen bei SSL-/TLS-Verbindungen

Ihr Browser kontrolliert bei der Überprüfung eines Zertifikats, ob er ein dazu passendes Root-Zertifikat gespeichert hat. Zusätzlich zu den zwei schon genannten Warnungen kann aber auch sonst noch einiges schiefgehen. In der Folge kommt es zu einem Zertifikatsfehler und der Browser gibt eine Warnung aus. Die PWS-Group , selbst Anbieter von Zertifikaten für Webseiten, hat eine Liste mit mögli-chen Fehlermeldungen zusammengestellt.

Serverzertifikat ist abgelaufen: Ein SSL-Serverzertifikat hat stets eine bestimmte Laufzeit. In der Regel handelt es sich dabei um einen Zeitraum von ein bis zwei Jahren. Die Zeit beginnt normalerweise, wenn sich ein Webseitenbetreiber das Zertifikat von einer Zertifizierungsstelle geben lässt. Steuern Sie als Besucher eine Website an, deren Zertifikat älter als zwei Jahre ist, bekommen Sie die genannte Fehlermeldung. Insbesondere bei den Webseiten von kleineren Firmen kommt der Fehler schon mal vor, auch ohne dass die Verbindung deswegen unsicher sein muss. Der Administrator hat es in diesem Fall ganz einfach versäumt, rechtzeitig ein neues Zertifikat zu besorgen und einzubauen. Auf der sicheren Seite sind Sie aber trotzdem, wenn Sie eine entsprechend bemängelte Website wieder verlassen. Serverzertifikat wurde von einer unbekannten CA ausgegeben: Eine Zertifizierungsstelle (CA) muss anerkannt sein, um als vertrauenswürdig zu gelten. Nur wenn diese selbst einen Prozess durchlaufen und Vertrauenswürdigkeit bewiesen hat, wird sie in die Listen vertrauenswürdiger Zertifizierungsstellen der gängigen Internet-Browser aufgenommen. Wenn Ihr Browser die CA bemängelt, ist diese entweder tatsächlich nicht vertrauenswürdig oder ihr Root-Zertifikat fehlt aus anderen Gründen im Speicher Ihres Browsers. Sie sollten an dieser Stelle vorsichtig sein und die besuchte Seite wieder verlassen. Im Grunde ist das ein ähnliches Problem wie bei Google und Symantec, nur dass Chrome lediglich eine Standardwarnung vor der Verbindung ausgibt. Das Zertifikat für diesen Server ist ungültig: Dieser Fehler kann auftreten, wenn das Zertifikat fehlerhaft übertragen wurde. Es kann sich aber auch um ein gefälschtes oder manipuliertes Zertifikat handeln. Es ist empfehlenswert, eine Webseite mit diesem Fehler auf jeden Fall zu verlassen.