SSL-Zertifikat-Decoder (X.509)

Fügen Sie ein SSL/TLS-Zertifikat im PEM-Format ein, um sofort Subject, Aussteller, Gültigkeitszeitraum, SAN, Seriennummer, Public-Key-Algorithmus und SHA-1/SHA-256-Fingerabdrücke zu entschlüsseln. Kostenloses Tool, das auch offline mit selbstsignierten und internen CA-Zertifikaten funktioniert.

Was ist der SSL-Zertifikat-Decoder?

Der SSL-Zertifikat-Decoder ist ein kostenloses Tool, das ein von Ihnen eingefügtes SSL/TLS-Zertifikat im PEM-Format liest und Subject, Aussteller, Gültigkeitszeitraum, SAN-Einträge, Seriennummer, Public-Key-Algorithmus, Signaturalgorithmus und Fingerabdrücke auflistet. Die Analyse der zugrunde liegenden ASN.1-DER-Binärstruktur erfolgt serverseitig, sodass jeder den Inhalt eines Zertifikats einsehen kann, ohne die OpenSSL-Kommandozeile oder spezielle Software zu benötigen.

Im Gegensatz zu einem Live-SSL-Checker (der sich über das Internet mit einer öffentlichen Domain verbindet und das Zertifikat über einen tatsächlichen TLS-Handshake abruft) entschlüsselt dieses Tool direkt den von Ihnen eingefügten PEM-Text. Das bedeutet, es kann auch Zertifikate untersuchen, die ein Live-Checker gar nicht erreichen kann: noch nicht in Produktion eingesetzte Zertifikate, selbstsignierte oder interne CA-Zertifikate in einem privaten Netzwerk sowie bereits lokal gespeicherte Zertifikatsdateien.

So verwenden Sie den SSL-Zertifikat-Decoder

PEM-Zertifikat einfügen Fügen Sie Text, der mit "-----BEGIN CERTIFICATE-----" beginnt, direkt in das Textfeld ein.
Mehrere Zertifikate werden unterstützt Fügen Sie eine komplette Kette (Endzertifikat plus Zwischenzertifikate) ein — jeder Block wird automatisch erkannt.
Auf "Entschlüsseln" klicken Prüfen Sie die Anzahl der erkannten Zertifikate und klicken Sie dann auf die Schaltfläche, um sie serverseitig zu analysieren.
Ergebnisse ansehen Subject, Aussteller, Gültigkeitszeitraum, SAN, Fingerabdrücke und mehr werden für jedes Zertifikat aufgelistet.

Tipps für die Nutzung

Sie können eine gesamte Zertifikatskette (Serverzertifikat plus Zwischen-CA-Zertifikate) auf einmal einfügen — jeder Block wird automatisch getrennt und einzeln entschlüsselt.
Vergleichen Sie den hier angezeigten SHA-256-Fingerabdruck mit dem von der Zertifizierungsstelle oder dem Anbieter veröffentlichten Wert, um sicherzustellen, dass das Zertifikat nicht ausgetauscht oder manipuliert wurde.
Ein Zertifikat, bei dem Subject und Issuer identisch sind, ist selbstsigniert und wird im Ergebnis mit einem eigenen Badge gekennzeichnet.
Klicken Sie auf "Beispielzertifikat einfügen", bevor Sie Ihr eigenes einfügen, um zu sehen, wie die Ausgabe genau aussieht.
Bevor Sie ein Multi-Domain-Zertifikat in Produktion nehmen, prüfen Sie stets, ob alle benötigten Hostnamen unter SAN aufgeführt sind.

Wann Sie dieses Tool nutzen sollten

Ursache für Zertifikatsfehler diagnostizieren

Wenn der Browser wegen eines abgelaufenen Zertifikats eine Warnung anzeigt, prüfen Sie direkt den genauen validTo-Zeitstempel.

SAN vor dem Livegang prüfen

Bevor Sie ein Multi-Domain-Zertifikat umstellen, bestätigen Sie, dass wirklich jeder benötigte Hostname in der SAN-Erweiterung aufgeführt ist.

Schlüsselstärke prüfen

Bestätigen Sie bei einer Sicherheitsüberprüfung den Public-Key-Algorithmus und die Schlüssellänge, etwa RSA mit 2048 Bit oder mehr, oder welche EC-Kurve verwendet wird.

Interne oder selbstsignierte Zertifikate untersuchen

Entschlüsseln Sie Zertifikate aus internen Systemen oder privaten CAs, die ein domainbasierter Live-Checker nicht erreichen kann.

Glossar

PEM: Ein Textformat, das Base64-codierte DER-Daten zwischen den Zeilen "-----BEGIN CERTIFICATE-----" und "-----END CERTIFICATE-----" einschließt. Es ist die gängigste Art, Zertifikate zu speichern und auszutauschen.
X.509: Der internationale Standard, der die Struktur von Public-Key-Zertifikaten definiert. Er bildet die Grundlage nicht nur für TLS/SSL, sondern auch für S/MIME und Code-Signierung.
ASN.1 / DER: Die binären Kodierungsregeln, die die interne Struktur des Zertifikats streng definieren. PEM sind einfach diese DER-Daten, als Base64-Text codiert.
SAN (Subject Alternative Name): Eine Erweiterung, die zusätzliche Hostnamen oder IP-Adressen auflistet, für die das Zertifikat gültig ist. Sie ist bei jedem Zertifikat für mehrere Domains erforderlich.
Fingerabdruck: Ein Hash des gesamten Zertifikats, mit dem überprüft werden kann, ob es ausgetauscht oder manipuliert wurde.
Selbstsigniertes Zertifikat: Ein Zertifikat, bei dem Aussteller und Subject identisch sind, was bedeutet, dass es nicht von einer externen Zertifizierungsstelle (CA) verifiziert wurde.

Häufig gestellte Fragen

Es wird einmalig an den Server gesendet, um analysiert zu werden, aber nicht gespeichert oder dauerhaft protokolliert. Vermeiden Sie dennoch, Zertifikate mit sensiblen Informationen einzufügen, die Sie lieber gar nicht verarbeiten lassen möchten.

Nein. Dieses Tool akzeptiert ausschließlich öffentliche Zertifikate, die mit "-----BEGIN CERTIFICATE-----" beginnen. Fügen Sie niemals einen privaten Schlüssel in ein Online-Tool ein — auch nicht in dieses.

Häufige Ursachen sind fehlende BEGIN/END-Zeilen, beschädigter Base64-Inhalt oder das Einfügen eines privaten Schlüssels oder eines CSR (Certificate Signing Request) anstelle eines tatsächlichen Zertifikats.

Der Live-Checker verbindet sich über das Internet mit einer öffentlichen Domain und ruft das Zertifikat über einen echten TLS-Handshake ab. Dieses Tool entschlüsselt stattdessen den von Ihnen eingefügten PEM-Text und funktioniert daher auch mit selbstsignierten und internen CA-Zertifikaten, die der Live-Checker nicht erreichen kann.

Übrigens – Warum sieht ein Zertifikat wie unleserliches Kauderwelsch aus?

Öffnet man eine Zertifikatsdatei, findet man meist einen dichten, unleserlichen Textblock, der mit "-----BEGIN CERTIFICATE-----" beginnt. Dieses Format nennt sich PEM (Privacy-Enhanced Mail), und dahinter verbirgt sich nichts weiter als DER-codierte Binärdaten – eine Struktur, die durch eine Notation namens ASN.1 definiert wird – eingehüllt in Base64, damit sie sicher durch E-Mail-Systeme und reine Textdateien transportiert werden können. Mit anderen Worten: PEM ist DER lediglich in einem anderen Gewand; der eigentliche Inhalt ist streng als eine Abfolge von ASN.1-TLV-Elementen (Tag, Länge, Wert) definiert, und die Aufgabe dieses Tools besteht darin, diese Binärstruktur in etwas zu übersetzen, das ein Mensch tatsächlich lesen kann.

Der Name "X.509" selbst hat eine überraschende Geschichte. Er wurde ursprünglich 1988 von der ITU-T (Internationale Fernmeldeunion) als Teil des X.500-Verzeichnisdienststandards definiert, lange bevor es das moderne Web gab. Später wurde er 1999 von der IETF als RFC 2459 für die Internetnutzung angepasst, und heute ist RFC 5280 die aktuelle Spezifikation. Zertifikate gibt es in den Versionen v1, v2 und v3 – und Erweiterungsfelder wie SAN (Subject Alternative Name) stehen erst seit v3 zur Verfügung. Praktisch jedes heute ausgestellte TLS-Zertifikat ist v3, und dieses Tool geht beim Entschlüsseln von Erweiterungen im v3-Stil aus.

Oft sieht man für dasselbe Zertifikat sowohl einen SHA-1- als auch einen SHA-256-Fingerabdruck nebeneinander angezeigt. SHA-1 gilt als Signaturalgorithmus als veraltet, seit praktische Kollisionsangriffe gegen ihn demonstriert wurden, taucht aber weiterhin als Fingerabdruck zur eindeutigen Identifizierung eines Zertifikats auf – vor allem aus Kompatibilitätsgründen mit älteren Werkzeugen, weshalb dieses Tool beide Werte anzeigt. Für jede neue Verifizierungsarbeit sollte der SHA-256-Wert bevorzugt werden.

Alle Wissenstexte ansehen