2026-07-21 · RESEARCH · Das Team von Offensive Technology

Wie viele Top-Domains schränken ein, wer ihre Zertifikate ausstellen darf?

Kurze Antwort: Wir haben die 1.000 am stärksten frequentierten Domains im Internet analysiert, 994 davon aufgelöst und den CAA-Record ausgelesen, den jede davon im DNS veröffentlicht. Nur 32,4% veröffentlichen überhaupt einen CAA-Record. Die anderen 67,6% setzen auf DNS-Ebene keine Einschränkung, welche Zertifizierungsstelle ein TLS-Zertifikat für ihren Namen ausstellen darf. Jede der etlichen öffentlich vertrauten CAs könnte also prinzipiell getäuscht oder kompromittiert werden, um ein gültiges Zertifikat für sie auszustellen, ohne dass etwas in den DNS-Einträgen der Domain widersprochen hätte. Unter der Minderheit, die CAA setzt, bittet weniger als die Hälfte (42,5%) um Benachrichtigung, wenn eine CA eine Anfrage sieht, die gegen ihre Richtlinie verstößt. Das ist genau die eine Zeile, die CAA von einem stillen Zaun in eine Alarmanlage verwandelt. Jede Zahl hier stammt aus passiven öffentlichen DNS-Abfragen, die wir selbst gegen eine veröffentlichte Top-Seiten-Liste durchgeführt haben. Es wurde kein Host kontaktiert und nichts gescannt. Hier ist genau beschrieben, wie wir gemessen haben und was dies beweist und was nicht.

Das Ergebnis in einem Diagramm

Für jede Domain haben wir drei öffentliche Fragen gestellt. Veröffentlicht sie einen CAA-Record? Wenn ja, nennt sie einen Kontakt für Benachrichtigungen (iodef), damit eine CA sie vor Verstößen warnen kann? Und steuert sie die Ausstellung von Wildcard-Zertifikaten getrennt von regulären Zertifikaten? Jede Schicht ist kleiner als die vorherige:

Was ein CAA-Record tatsächlich tut

Jeder Browser vertraut Dutzenden Zertifizierungsstellen, und standardmäßig kann jede davon ein gültiges TLS-Zertifikat für jede beliebige Domain ausstellen. Das ist komfortabel, birgt aber eine Schwachstelle: Wenn eine einzelne CA durch eine fehlerhafte Domain-Validierungsprüfung getäuscht, gezwungen oder kompromittiert wird, kann sie ein Zertifikat für einen Namen ausstellen, der nicht ihr Kunde ist, und ein Browser wird es akzeptieren. Die fälschliche Ausstellung von Zertifikaten ist nicht hypothetisch. Sie ist der Grund, warum die Branche überhaupt mehrschichtige Schutzmaßnahmen rund um die Ausstellung entwickelt hat.

CAA (RFC 8659, welches das frühere RFC 6844 ersetzt hat) ist der Teil dieser Schutzmaßnahme auf DNS-Ebene. Eine Domain veröffentlicht einen kurzen Record, der im Wesentlichen besagt: "Nur diese CAs dürfen für mich ausstellen." Seit ein Beschluss des CA/Browser Forum am 8. September 2017 in Kraft getreten ist, muss jede öffentlich vertraute CA diesen Record zum Zeitpunkt der Ausstellung auslesen und die Ausstellung eines Zertifikats verweigern, das durch den Record nicht autorisiert ist. Es ist eine seltene Schutzmaßnahme, die sowohl kostenlos einzurichten ist als auch von der Gegenseite aktiv durchgesetzt wird.

Ein CAA-Record-Set hat einige wesentliche Komponenten:

• issue nennt eine CA, die reguläre Zertifikate ausstellen darf, zum Beispiel 0 issue "letsencrypt.org". Ein issue ";" mit einem Semikolon bedeutet, dass überhaupt keine CA ausstellen darf.
• issuewild regelt Wildcard-Zertifikate (*.example.com) separat, was wichtig ist, da ein einzelnes Wildcard-Zertifikat eine größere Auswirkung hat als ein einzelner Hostname.
• iodef gibt eine URL oder eine Mailbox an, über die eine CA eine Anfrage melden kann, die gegen die Richtlinie verstößt. Das ist der Unterschied zwischen dem stillschweigenden Blockieren einer fehlerhaften Anfrage und dem Erfahren, dass eine versucht wurde.

Zwei Drittel der am stärksten frequentierten Domains konfigurieren nichts

Die prägende Zahl ist das Fehlen. Von den 994 Domains, die aufgelöst werden konnten, veröffentlichen 672 (67,6%) keinen CAA-Record. Für diese Domains sagt das DNS nichts darüber aus, wer ihre Zertifikate ausstellen darf. Die Antwort lautet also: Jeder im öffentlichen Trust Store. Das ist kein Sicherheitsvorfall und für sich genommen keine Schwachstelle. Es ist eine verpasste Gelegenheit, die Angriffsfläche für eine bestimmte Klasse von Angriffen zu verkleinern, mit einem Record, der eine Zeile und kein Geld kostet.

Unter den 322 Domains, die tatsächlich CAA veröffentlichen, verlassen sich die meisten nicht auf einen einzelnen Anbieter: Zwei Drittel (66,5%) autorisieren mehr als eine Zertifizierungsstelle, mit einem Median von drei. Das ist normal und sinnvoll für eine Organisation, die verschiedene CAs für unterschiedliche Systeme nutzt, etwa einen internen PKI-Anbieter hier und eine öffentliche CA für die Marketing-Website dort. Was auffällt, ist die Lücke bei der Benachrichtigung. Nur 42,5% der Veröffentlicher konfigurieren einen iodef-Kontakt. Die Mehrheit hat also einen Zaun gebaut, aber keine Alarmanlage: Eine CA, die eine Anfrage erhält, die gegen ihre Richtlinie verstößt, wird diese verweigern, aber der Domain-Inhaber erfährt nie, dass es jemand versucht hat. Dies knüpft direkt an dasselbe Thema an wie unsere Studie zur E-Mail-Authentifizierungs-Exposition dieser Domains, bei der das Muster dasselbe war: Der grundlegende Record wird häufiger gesetzt als die Einstellung, die tatsächlich Alarm schlagen würde.

Wie wir das gemessen haben

Ein Skeptiker sollte in der Lage sein, dies von Grund auf nachzuvollziehen. Hier ist daher die gesamte Methodik ohne Auslassungen.

• Die Gesamtheit. Wir haben die Tranco-Liste verwendet (Liste N29KW, erstellt am 20. Juli 2026), ein forschungsorientiertes Top-Seiten-Ranking, das den Durchschnitt mehrerer Anbieter über 30 Tage bildet, um täglichen Manipulationen zu widerstehen. Es ist veröffentlicht, versioniert und dauerhaft zitierfähig, was für die Reproduzierbarkeit wichtiger ist als die Liste eines einzelnen Anbieters. Siehe tranco-list.eu und das zugrundeliegende NDSS-2019-Paper.
• Die Stichprobe. Die Top-1.000-Domains aus dieser Liste. 994 wurden zu aktiven Nameservern aufgelöst; 6 nicht und wurden verworfen, sodass der Nenner 994 beträgt.
• Die Abfragen. Für jede Domain eine dig CAA <domain>-Abfrage gegen öffentliche rekursive Resolver sowie eine NS-Abfrage als Erreichbarkeitsprüfung. Wir haben die Antwort nach den Tags issue, issuewild und iodef geparst und sie am Apex der Domain ausgelesen. Dies ist die übliche Metrik für die Verbreitung und der Record, den eine CA für die registrierte Domain konsultiert.
• Was wir nicht getan haben. Wir haben weder ein Zertifikat angefordert noch uns mit einem Webserver verbunden oder etwas gescannt. Das Auslesen eines öffentlichen DNS-Records ist eine Abfrage, keine Sondierung. Das ist dieselbe Grenze zwischen einer Überprüfung und einer Straftat, die auch jeden von uns durchgeführten Auftrag.
• Was wir aufbewahrt haben. Nur aggregierte Zahlen und Prozentwerte. Die Ergebnisse pro Domain verblieben für die Dauer des Durchlaufs im Arbeitsspeicher und wurden nie auf die Festplatte geschrieben. Es wird keine Domain namentlich genannt. Wir haben nur erfasst, ob ein iodef-Tag vorhanden war, nie dessen Kontaktwert, und keine personenbezogenen Daten erhoben. Domains und deren DNS-Records sind keine personenbezogenen Daten.

Ein neutraler Blick darauf, wer autorisiert wird

Eine Aggregation ist zeigenswert, da sie die Zertifizierungsstellen beschreibt, nicht die gemessenen Websites, und keine Domain nennt. Über die 322 CAA-veröffentlichenden Domains hinweg tauchten diese Aussteller am häufigsten in den autorisierten Listen auf. Verstehen Sie dies als eine Beliebtheitskarte vertrauenswürdiger CAs, nicht als Bewertungssystem der Sicherheit von jemandem:

Was dies nicht beweist

Ehrliche Grenzen, denn eine Zahl ohne Vorbehalte ist bloßes Marketing.

• Es ist eine Momentaufnahme. Das DNS ändert sich täglich. Diese Zahlen beschreiben den 20. Juli 2026, keinen Trend. Eine Domain ohne CAA heute kann nächste Woche einen hinzufügen.
• Ein fehlendes CAA ist keine Schwachstelle. Es ist eine Schutzmaßnahme, die nicht aktiviert wurde. Viele gut geführte Organisationen verzichten auf CAA und verlassen sich auf andere Ebenen. Wir messen die Verbreitung einer Härtungsmaßnahme, wir zählen keine Sicherheitslücken.
• CAA ist keine Mauer. Es bindet nur CAs, die es berücksichtigen, widerruft keine bereits ausgestellten Zertifikate und schützt nicht davor, dass eine autorisierte CA kompromittiert wird. Es schränkt die Gruppe der ausstellungsberechtigten Stellen ein, und iodef meldet Versuche. Das nachträgliche Erkennen unerwarteter Ausstellungen ist die Aufgabe von Certificate Transparency-Überwachung, was sich natürlich mit CAA ergänzt.
• Nur Apex. Wir haben den CAA-Record am Apex jeder registrierten Domain ausgelesen. Da CAA durch Aufsteigen im DNS-Baum ausgewertet wird, kann eine Subdomain dies erben oder überschreiben. Wir haben keine Subdomains aufgezählt und würden das auch nicht tun, da dies eher wie das Kartieren fremden Eigentums wirkt als das Auslesen eines einzelnen öffentlichen Records.
• Die Spitze der Liste ist durchmischt. Zu den am stärksten frequentierten Domains gehören CDNs und Infrastrukturen, deren Zertifikatspraxis sich von der eines typischen Unternehmens unterscheidet. Die Gesamtheit besteht aus den "meistfrequentierten Namen", nicht aus "Unternehmen wie Ihrem". Betrachten Sie die Prozentwerte daher als Orientierung, nicht als Maßstab für Ihr eigenes Risiko.

Warum das für einen Angreifer relevant ist und warum für Sie

Ein gefälschtes, aber gültiges Zertifikat ist ein mächtiges Werkzeug. Es ermöglicht einem Angreifer, der sich bereits in der Position befindet, Datenverkehr abzufangen, etwa über einen gekaperten Netzwerkpfad oder einen manipulierten Resolver, Ihre Domain mit einem Schloss zu präsentieren, dem der Browser vertraut, ohne Warnung an den Besucher. Fälschliche Ausstellungen sind selten, gerade weil CAs auditiert werden und CAA durchgesetzt wird. Aber "selten" reicht nicht aus, wenn die Kosten für eine höhere Hürde aus einem einzigen DNS-Record bestehen. Die Veröffentlichung von CAA schließt jede CA aus, die Sie nicht nutzen, und das Hinzufügen eines iodef-Kontakts bedeutet: Wenn jemand versucht, ein Zertifikat über eine CA zu erhalten, die Sie nie autorisiert haben, erfahren Sie davon, anstatt es von einem Kunden zu hören.

Die Lösung ist unspektakulär und größtenteils kostenlos: Listen Sie die CAs auf, die Sie tatsächlich nutzen, fügen Sie einen issuewild-Eintrag hinzu, wenn Sie Wildcard-Zertifikate ausstellen, und richten Sie ein iodef-Postfach ein, das Sie auch lesen. Der schwierige Teil ist nie die DNS-Änderung. Es ist das Wissen um jede Stelle, von der Ihre Organisation rechtmäßig Zertifikate bezieht, damit das Aktivieren von CAA nicht stillschweigend eine Erneuerung blockiert, die Sie vergessen haben. Das erfordert Erfahrung, und es ist dieselbe Erfahrung, die nötig ist, um zu wissen, welche Ihrer exponierten Angriffsflächen tatsächlich wichtig sind und welche nur Rauschen darstellen.

Zertifikatsautorisierung: Schnelle Antworten

Was ist ein CAA-Record?

CAA (Certification Authority Authorization, RFC 8659) ist ein DNS-Record, der auflistet, welche Zertifizierungsstellen TLS-Zertifikate für eine Domain ausstellen dürfen. Seit September 2017 fordert das CA/Browser Forum von öffentlich vertrauten CAs, diesen zu prüfen und die Ausstellung zu verweigern, wenn sie durch den Record nicht autorisiert ist. Kein CAA-Record bedeutet keine Einschränkung: Jede öffentliche CA darf ausstellen.

Welcher Anteil der Top-Domains veröffentlicht einen CAA-Record?

In unserer Überprüfung der 1.000 am stärksten frequentierten Domains im Juli 2026 (994 aufgelöst) veröffentlichten nur 32,4% einen CAA-Record; 67,6% veröffentlichen keinen. Unter den Veröffentlichern konfigurieren 42,5% auch einen iodef-Benachrichtigungskontakt und 36% steuern die Wildcard-Ausstellung separat.

Stoppt ein CAA-Record jede fälschliche Zertifikatsausstellung?

Nein. Es handelt sich um mehrschichtige Verteidigung: Es bindet nur CAs, die es berücksichtigen, widerruft keine bereits ausgestellten Zertifikate und verhindert nicht die Kompromittierung einer autorisierten CA. Es schränkt ein, wer ausstellen darf, und meldet mit iodef entsprechende Versuche. Kombinieren Sie es mit Certificate Transparency-Überwachung.

Wie prüfe und setze ich meinen eigenen CAA-Record?

Lesen Sie ihn aus mit dig CAA yourdomain.com. Um einen zu setzen, autorisieren Sie nur die CAs, die Sie nutzen (zum Beispiel 0 issue "letsencrypt.org"), fügen Sie einen issuewild-Eintrag hinzu, wenn Sie Wildcards nutzen, und fügen Sie 0 iodef "mailto:[email protected]" hinzu, damit eine CA Verstöße melden kann. Das Überprüfen Ihres eigenen Records ist eine passive Abfrage, also sicher und kostenlos.

Ähnliche Beiträge

• Wie anfällig sind die Top-Domains für E-Mail-Spoofing?
• Was können Angreifer tatsächlich über Ihr Unternehmen sehen?
• Warum Autorisierung jedem Test vorausgeht