Let’s Encrypt hat angekündigt, seine OCSP-Responder-Infrastruktur einzustellen – ein Schritt, der in der IT-Sicherheitswelt sowohl Zuspruch als auch Diskussionen ausgelöst hat. Was bedeutet dieser Schritt für die Validierung von SSL/TLS-Zertifikaten, für Website-Betreiber und für die allgemeine Sicherheit im Netz? Wir beleuchten Hintergründe, Alternativen und Auswirkungen.
Was ist OCSP – und warum war es bisher so wichtig?
Das Online Certificate Status Protocol (OCSP) ist ein Mechanismus, mit dem Clients – beispielsweise Webbrowser – den Status eines digitalen Zertifikats in Echtzeit überprüfen können. Dies geschieht über eine Anfrage an den OCSP-Responder der Zertifizierungsstelle (CA), also bei Let’s Encrypt beispielsweise unter ocsp.int-x3.letsencrypt.org.
Primäres Ziel ist es, festzustellen, ob ein Zertifikat gültig, widerrufen oder unbekannt ist. OCSP wurde eingeführt, um die schwerfälligen Certificate Revocation Lists (CRLs) zu ergänzen, die früher regelmäßig heruntergeladen werden mussten und nicht in Echtzeit arbeiteten.
Let’s Encrypt stellt OCSP-Server ein – die Hintergründe
Im Frühjahr 2025 kündigte die gemeinnützige Zertifizierungsstelle Let’s Encrypt offiziell an, ihre OCSP-Dienste bis Ende Juni 2025 vollständig einzustellen. Die Entscheidung wurde mit der strategischen Ausrichtung auf zukunftsfähigere und effizientere Sicherheitsmechanismen wie OCSP Must-Staple sowie Short-Lived Certificates (Kurzlaufzertifikate) begründet.
“Der Nutzen von OCSP in unserer heutigen Sicherheitsarchitektur ist zunehmend begrenzt. Stattdessen setzen wir auf kurzlebige Zertifikate und Protokolle wie TLS 1.3, die weniger auf externe Validierung angewiesen sind und die Sicherheit durch kürzere Lebensdauer strukturell verbessern”, so ein Sprecher der Internet Security Research Group (ISRG), der Trägerorganisation von Let’s Encrypt.
OCSP-Stapling – also das Anhängen des OCSP-Antworts an die TLS-Verbindung selbst – wird zwar weiterhin unterstützt, allerdings entfällt die externe OCSP-Verfügbarkeit. Clients, die aktiv den Status eines Zertifikats per OCSP prüfen wollen, erhalten künftig keinen Response mehr.
Warum war der Nutzen von OCSP ohnehin begrenzt?
OCSP galt lange als Goldstandard der Zertifikatsprüfung. Doch es gibt mehrere Schwächen:
- Latenz und Abhängigkeiten: Die Prüfung verlangt eine HTTP-Anfrage an einen Drittdienst, was die Latenz beim Verbindungsaufbau erhöht und von der Verfügbarkeit des OCSP-Servers abhängt.
- Privacy-Leakage: Bei jeder OCSP-Anfrage sieht die Zertifizierungsstelle, welche Websites der Nutzer besucht – ein Datenschutzrisiko.
- Soft-Fail-Strategie: Die meisten Browser behandeln fehlgeschlagene OCSP-Antworten als nicht kritisch (“soft fail”), was das System angreifbar macht.
Laut einer Analyse von Mozilla aus dem Jahr 2023 erkannten über 90 % der Firefox-Nutzer im Fehlerfall keine transparente Warnung, wenn ein Widerruf aufgrund einer nicht verfügbaren OCSP-Antwort nicht erkannt wurde.
Welche Alternativen gibt es zur OCSP-Validierung?
Mit dem Wegfall der OCSP-Responder durch Let’s Encrypt gewinnt die Diskussion um Alternativen an Gewicht. Drei Technologien stehen im Fokus:
- OCSP Must-Staple: Erweiterung im Zertifikat, die angibt, dass der Server selbst eine gültige OCSP-Antwort mitliefern muss. Zwar erhöht diese Methode die Sicherheit, wird aber noch nicht flächendeckend von Clients oder Hosting-Anbietern unterstützt.
- CRLs (Certificate Revocation Lists): Listet alle widerrufenen Zertifikate einer CA. Aufgrund ihrer Größe und mangelnden Echtzeitfähigkeit sind CRLs weniger effizient, erleben aber vielfach ein Revival – etwa als Delta-CRLs oder in E-Mobility-CAs.
- Short-Lived Certificates: Let’s Encrypt setzt bereits heute standardmäßig eine Gültigkeitsdauer von 90 Tagen ein. Dies reduziert die Notwendigkeit einer Widerrufsfunktion, da kompromittierte Zertifikate ohnehin rasch verfallen.
Google Chrome hat OCSP-Checks bereits 2012 deaktiviert und setzt auf Certificate Transparency (CT) Logs und eigene Sicherheitsmechanismen, beispielsweise CRLSets – komprimierte Widerrufslisten mit Fokus auf häufig angegriffene Sites.
Was müssen Website-Betreiber jetzt beachten?
Für Betreiber von Websites, die Let’s Encrypt-Zertifikate nutzen, ergeben sich durch die Abschaltung der OCSP-Server nur dann Probleme, wenn ältere Clients oder spezifische Sicherheitssysteme weiterhin auf diese Infrastruktur angewiesen sind. Für die meisten modernen Browser und Server-Konfigurationen wird kein kritisches Risiko gesehen.
Die Betreiber sollten jedoch sicherstellen, dass ihre Umgebungen folgende Anforderungen erfüllen:
- Aktive Unterstützung von OCSP Stapling auf dem Webserver (z.B. mit Apache: SSLUseStapling On)
- Automatisierte Zertifikatserneuerung, z. B. über Certbot oder ACME-Clients
- Regelmäßige Überprüfung auf Kompromittierung oder Missbrauch von Zertifikatsschlüsseln
Organisationen, die hohe Compliance-Anforderungen (z. B. im Bereich Banken, kritische Infrastrukturen, Behörden) erfüllen müssen, sollten zusätzlich eigene Widerrufsmechanismen oder interne CA-Lösungen prüfen.
Auswirkungen auf die Gesamt-Sicherheit im Internet
Der Schritt Let’s Encrypts wird in der Sicherheits-Community als Signal gewertet: Die zentralisierte, intransparente Infrastruktur traditioneller OCSP-Systeme ist nicht mehr zeitgemäß. Mit der zunehmenden Etablierung von Technologien wie Certificate Transparency, DANE (DNS-based Authentication of Named Entities) und dem obligatorischen Einsatz von HTTPS via HSTS entwickelt sich die Websicherheit in eine resilientere, dezentrale Richtung.
Ein Bericht von Netcraft (2024) zeigt: 82,4 % aller öffentlich erreichbaren HTTPS-Websites nutzen Let’s Encrypt-Zertifikate. Der Einfluss dieser CA ist somit erheblich. Die Umstellung auf moderne Mechanismen könnte somit richtungsweisend sein – besonders wenn andere CAs dem Beispiel folgen.
Statistisch zeigt sich der Trend ebenfalls: Laut der CA/B Forum-Statistik vom Dezember 2024 beträgt die durchschnittliche Laufzeit neu ausgestellter TLS-Zertifikate weniger als 90 Tage – ein Zeichen für die zunehmende Akzeptanz kurzlebiger Zertifikate.
Praktische Handlungsempfehlungen für Administratoren
Für Unternehmen und technische Entscheidungsträger ergeben sich folgende unmittelbare Maßnahmen:
- Implementieren Sie OCSP Stapling in Ihrer Webserver-Konfiguration, um den Zertifikatsstatus direkt mit auszuliefern.
- Nutzen Sie Short-Lived Certificates und automatisieren Sie deren Erneuerung zur Minimierung von Revocation-Risiken.
- Prüfen Sie alternative Monitoring-Tools zur Zertifikatsüberwachung, wie z. B. crt.sh oder Facebook’s Certificate Transparency Monitoring.
Fazit: Ein Schritt in Richtung moderner Sicherheit
Mit dem Ausstieg aus dem OCSP-Betrieb sendet Let’s Encrypt ein deutliches Signal: Moderne Sicherheit im Web setzt auf Struktur statt Reaktion, Automatisierung statt manuelle Prozesse. Die Entscheidung mag auf den ersten Blick riskant erscheinen – in der Gesamtbetrachtung jedoch folgt sie einem klaren Trend zur Reduktion von Abhängigkeiten, zur Verbesserung der Resilienz und zur Wahrung der Privatsphäre.
Wie sehen Sie die Entwicklung der Zertifikatsinfrastruktur? Diskutieren Sie mit uns in den Kommentaren! Welche Alternativen setzen Sie heute schon ein – und wo sehen Sie die größten Herausforderungen?
