Momentan nur A statt A+ bei SSLLabs

Einige technisch sehr aufmerksamen Nutzer haben uns bereits darauf angesprochen, daß wir derzeit beim SSL-Test von SSLLabs aktuell nur noch die Note „A“ und nicht mehr wie bisher die Note „A+“ erhalten.

Dies liegt an einer kürzlich erfolgten Änderung der Bewertungsregeln der SSL-Zertifikate, nicht an einer tatsächlichen Änderung der Sicherheit unserer Webseiten. Wir stellen derzeit auf etwas neuere Zertifikate um und werden dann in wenigen Tagen auch wieder wie üblich die SSL-Bestnote von SSLLabs erhalten.

Zum Hintergrund: Google hatte vor einigen Tagen öffentlich angekündigt, dass der Chrome-Browser ab Ende diesen Jahres alle SSL-Zertifikate, die SHA-1 einsetzen und länger als bis zum 31.12.2016 gültig sind, nicht mehr als vertrauenswürdig einstuft. Dies war eine reine Vorankündigung; es wäre also noch bis Ende 2014 Zeit gewesen, die eigenen Zertifikate zu überprüfen und anzupassen.

Trotzdem reagierte Qualys SSL Labs sofort und degradierte schon jetzt im Testergebnis alle Zertifikate, die SHA-1 einsetzen. Wir finden diese Entscheidung etwas unglücklich, weil viele Webseiten noch gar nicht auf andere Zertifikate umstellen konnten, da ihre CA (die Organisation die Zertifikate ausstellt) noch nicht in der Lage ist, entsprechende neue Zertifikate auszustellen.

Die Arbeiten bei unserer CA (SwissSign) laufen auf Hochtouren. Wir stehen in engem Austausch mit SwissSign und haben erfahren, dass wir bereits diese Woche neue Zertifikate ausgestellt bekommen sollen. Sobald uns diese zur Verfuegung stehen, werden wir sie installieren und dann auch wieder von Qualys SSLLabs als A+ bewertet werden. Bis dahin bitten wir um etwas Geduld und Nachsicht und können nur versichern, daß das mit der tatsächlichen Sicherheit unserer Webseiten und Services nichts zu tun hat.