Glossar · Zertifikate
OCSP
OCSP fragt den Status eines Zertifikats live ab: gültig, widerrufen oder unbekannt. Wie die Prüfung läuft, was Stapling ändert und warum Sperrlisten OCSP ablösen.
So funktioniert es
Zertifikate sterben vor ihrem Ablauf: Schlüssel werden gestohlen, Namen wechseln den Besitzer. OCSP fragt den Aussteller im Moment der Verbindung: Gilt dieses Zertifikat noch? Die Antwort ist signiert und frisch, ein Widerruf wirkt in Minuten, ohne dass der Client ganze Sperrlisten laden muss.
Abgefragt wird bei jedem Verbindungsaufbau, und das verrät dem Aussteller, wer wohin will: ein Nebenkanal an Metadaten. OCSP Stapling dreht den Spieß um: Der Server holt die Antwort selbst und heftet sie an den Handshake. Der Client prüft, ohne zu fragen, und der Aussteller erfährt nichts.
Warum es wichtig ist
Ohne Statusprüfung gilt jedes Zertifikat bis zum Ablauf, auch das gestohlene. Mit ihr schrumpft das Fenster zwischen Kompromittierung und Wirkung auf die Frische der Antwort. Genauigkeit hat einen Preis: Erreichbarkeit des Prüfdienstes und Privatsphäre des Fragenden.
Wo OCSP noch angeboten wird, bleibt Stapling die bessere Form: Der Server trägt die Beweislast, nicht der Client, und der Aussteller erfährt nichts über die Fragenden.
Der Stand heute
OCSP ist auf dem Rückzug. Seit 2023 dürfen öffentliche Zertifizierungsstellen darauf verzichten: Das CA/Browser Forum hat mit dem Ballot SC-063 Sperrlisten (CRLs) zur Pflicht gemacht und OCSP freigestellt. Let's Encrypt hat am 7. Mai 2025 die OCSP-Adressen aus seinen Zertifikaten genommen und am 6. August 2025 seine OCSP-Dienste abgeschaltet. Den Widerruf tragen seither Sperrlisten und immer kürzere Laufzeiten.
Bei obhut
Zertifikate von obhut entstehen über öffentliche ACME-Stellen und tragen deren Statusdienste: Gültigkeit und Widerruf prüft der Client gegen den Aussteller, der Edge liefert die Zertifikate mit dem jeweils gültigen Stand.
