Anleitungen zu Code Signing-Zertifikaten

Ein Code-Signing-Zertifikat wird nicht so installiert wie ein SSL-Zertifikat. Es gibt keine Datei, die man auf einen Server legt. Der private Schlüssel muss innerhalb eines zertifizierten Hardware-Bausteins erzeugt werden und dort für die gesamte Laufzeit des Zertifikats verbleiben. Das verändert die Reihenfolge aller nachfolgenden Schritte: was Sie beim Bestellvorgang auswählen, was Sie der Certificate Authority zusenden müssen, was nach Abschluss der Validierung eintrifft, und was Sie eingeben, wenn Sie schließlich etwas signieren.

Diese Anleitungen decken jede dieser Phasen für die von SSL Dragon verkauften Zertifikate ab. Nutzen Sie diese Seite, um herauszufinden, in welcher Phase Sie sich befinden, und um die wenigen Regeln zu prüfen, die unabhängig von Certificate Authority oder Gerät gelten.

Schnellnavigation

• Welche Zustellmethode für ein Code-Signing-Zertifikat wählen?
• YubiKey 5 FIPS CSR-Erstellung und Attestierung
• Luna Network HSM 7: Leitfaden zu CSR und Attestierung
• So validieren Sie Sectigo- und Comodo-Code-Signing-Zertifikate
• So validieren Sie DigiCert- und GoGetSSL-Code-Signing-Zertifikate
• So richten Sie ein EV-Code-Signing-Zertifikat auf einem versendeten Token ein
• Installation des YubiKey 5 FIPS Code-Signing-Zertifikats
• So signieren Sie eine EXE-Datei mit einem Code-Signing-Zertifikat

Was heute jede Code-Signing-Zertifikatsbestellung bestimmt

Drei branchenweite Veränderungen liegen allen acht Anleitungen unten zugrunde. Wer sie zuerst liest, versteht, warum der Ablauf so aussieht, wie er aussieht, und vermeidet es, veralteten Anleitungen zu folgen, die immer noch weit verbreitet sind.

Der private Schlüssel muss in zertifizierter Hardware erzeugt und gehalten werden

Seit dem 1. Juni 2023 verlangen die Code Signing Baseline Requirements des CA/Browser Forums, dass der private Schlüssel durch ein Kryptografiemodul geschützt wird, das mindestens nach FIPS 140-2 Level 2 oder Common Criteria EAL 4+ zertifiziert ist. Certificate Authorities dürfen es Ihnen nicht mehr erlauben, einen Schlüssel im Browser oder auf einem Laptop zu erzeugen und anschließend eine PFX-Datei herunterzuladen.

Alles andere folgt aus dieser einen Regel. Deshalb fragt das Bestellformular überhaupt nach einer Zustellmethode, deshalb gibt es eine Attestierungsdatei (damit weisen Sie der CA nach, dass ein Schlüssel, dessen Erzeugung sie nie gesehen hat, tatsächlich innerhalb konformer Hardware erzeugt wurde), und deshalb bedeutet die Installation des Zertifikats, es in einen Steckplatz auf einem Gerät einzufügen, statt es in einen Server zu importieren.

Zertifikate sind nun für Monate gültig, nicht für Jahre

Das CA/Browser-Forum-Ballot CSC-31, verabschiedet am 17. November 2025 als Code Signing Baseline Requirements Version 3.10.0, verkürzte die maximale Gültigkeit eines öffentlich vertrauenswürdigen Code-Signing-Zertifikats von 39 Monaten auf 460 Tage für Zertifikate, die am oder nach dem 1. März 2026 ausgestellt werden. Dies gilt gleichermaßen für Standard- und Extended-Validation-Zertifikate.

Beide CAs haben frühzeitig gehandelt und sich beide auf 459 Tage festgelegt, also rund fünfzehn Monate: Sectigo ab dem 23. Februar 2026 und DigiCert ab dem 24. Februar 2026. DigiCert hat gleichzeitig seine Zwei- und Dreijahres-Optionen entfernt. Jede Anleitung, einschließlich älterer Versionen dieser Seiten, die Ihnen ein dreijähriges Code-Signing-Zertifikat anbietet, beschreibt ein Produkt, das es nicht mehr gibt. Mehrjährige Käufe bedeuten jetzt mehrjährige Abdeckung mit Neuausstellung, nicht ein einziges langes Zertifikat. Die kürzere Laufzeit ist auch der Grund, warum das Zeitstempeln jeder Signatur nicht mehr optional ist, denn ein Zeitstempel sorgt dafür, dass bereits ausgelieferte Software auch nach Ablauf des Zertifikats gültig bleibt.

Extended Validation umgeht SmartScreen nicht mehr

EV-Code-Signing-Zertifikate haben früher die Warnung von Microsoft Defender SmartScreen bei einer brandneuen Anwendung übersprungen. Dieses Verhalten wurde im August 2024 entfernt, als die EV-Code-Signing-Objektbezeichner aus den Root-Zertifikaten im Microsoft Trusted Root Program herausgenommen wurden. Windows behandelt nun jedes Code-Signing-Zertifikat gleich, und eine mit EV signierte Datei baut Reputation genauso auf wie eine mit OV signierte.

EV bedeutet weiterhin eine strengere Prüfung Ihrer Organisation, und manche Beschaffungsrichtlinien in Unternehmen verlangen es weiterhin, daher hat es nicht aufgehört, nützlich zu sein. Es sorgt lediglich nicht mehr für sofortiges Windows-Vertrauen, und kein Signaturverfahren auf diesen Seiten wird daran etwas ändern.

Phase 1: Wählen oder bestätigen Sie Ihre Zustellmethode

Dies ist die erste Entscheidung und die einzige, die Sie nicht rückgängig machen können. Sie bestimmt, ob die CA Ihnen Hardware zusendet oder erwartet, dass Sie Ihre eigene bereitstellen, und entscheidet damit, welche der folgenden Anleitungen für Sie gelten.

Welche Zustellmethode für ein Code-Signing-Zertifikat wählen?

Vergleicht die beiden Optionen im Bestellformular, ein von der CA vorab geladener und versandter Token gegenüber Hardware, die Sie bereits besitzen, mit den aktuellen Versandkosten für jede CA, den Geräten, die Sectigo und DigiCert heute tatsächlich akzeptieren, was CA-betriebene Cloud-Signing-Dienste anders machen, und warum die Wahl beim Bestellvorgang festgelegt wird. Lesen Sie ihn, bevor Sie bestellen: Er listet auch die Fragen auf, die es sich lohnt, vorab zu klären, etwa ob Ihr Gerät auf der unterstützten Liste Ihrer CA steht und ob es tatsächlich eine Attestierung erzeugen kann. Falls die Bestellung bereits existiert, legt er dar, was zu diesem Zeitpunkt noch geändert werden kann und was nicht.

Phase 2: Erzeugen Sie den Schlüssel und den CSR in Ihrer eigenen Hardware

Überspringen Sie diese Phase, wenn die CA Ihnen einen vorab geladenen Token zusendet, denn der Schlüssel wird für Sie erzeugt, bevor das Gerät versandt wird. Sie gilt nur, wenn Sie sich entschieden haben, Hardware zu verwenden, die Sie bereits besitzen. In diesem Fall kann die CA erst dann etwas ausstellen, wenn Sie ihr einen auf diesem Gerät erzeugten CSR sowie ein Attestierungspaket zusenden, das belegt, dass der Schlüssel dort erzeugt wurde und nicht exportiert werden kann.

Eine Warnung, bevor Sie mit einem YubiKey beginnen: Die YubiKey Manager GUI, auf die sich ältere Anleitungen stützen, erreichte am 19. Februar 2026 das Ende ihres Lebenszyklus. Das Kommandozeilenwerkzeug ykman und der Yubico Authenticator sind davon nicht betroffen und werden in den folgenden Anleitungen verwendet.

YubiKey 5 FIPS CSR-Erstellung und Attestierung

Der vollständige ykman-Weg auf einem YubiKey 5 FIPS: das Versetzen des Tokens zunächst in den FIPS-zugelassenen Modus (andernfalls verweigert er die Schlüsselerzeugung), die Wahl des Steckplatzes und des Schlüsselalgorithmus, die Erzeugung des Schlüsselpaars und des CSR, den Export des Attestierungszertifikats und des Yubico-Zwischenzertifikats sowie deren Zusammenführung zu der einen PEM-Datei, die die CA erwartet. Behandelt außerdem die PowerShell-Kodierungsfalle, durch die eine ansonsten korrekte Attestierungsdatei abgelehnt wird.

Luna Network HSM 7: Leitfaden zu CSR und Attestierung

Dieselbe Aufgabe auf einem Thales Luna Network HSM, unter Verwendung des eigenständigen cmu-Dienstprogramms aus dem Luna HSM Client: Erzeugung des RSA-Schlüsselpaars mit den Attributen, von denen die Attestierung abhängt, Auslesen der Objekt-Handles, Aufbau des CSR mit dem richtigen Signaturalgorithmus und Erzeugung der Public-Key-Bestätigung, die die CA prüft. Lesenswert auch, wenn Sie diese Befehle schon einmal ausgeführt haben, denn die branchenweit verbreitete Version erzeugt ohne eine zusätzliche Option einen mit SHA-1 signierten CSR.

Phase 3: Bestehen Sie die Validierung

Bei der Validierung geht es darum, wer Sie sind, nicht um Ihre Hardware, daher läuft sie parallel zu den Phasen 1 und 2 und nicht danach. Die CA bestätigt, dass die im Zertifikat genannte Einheit rechtlich existiert, dass sie über eine Adresse und eine Telefonnummer oder E-Mail-Adresse erreichbar ist, die sie über eine andere Quelle als Ihr Bestellformular verifizieren kann, und dass die Person, die die Anfrage genehmigt hat, dazu berechtigt war. Hier bleiben fast alle verzögerten Bestellungen hängen, und dies ist die einzige Phase, die Sie nicht durch eigenes schnelleres Handeln beschleunigen können.

Die beiden CAs führen unterschiedliche Prozesse durch, wählen Sie also die Anleitung, die zu Ihrem Zertifikat passt.

So validieren Sie Sectigo- und Comodo-Code-Signing-Zertifikate

Was Sectigo prüft und in welcher Reihenfolge, für Organization Validation, für einzelne Entwickler ohne Unternehmen und für Extended Validation: die Registerprüfung Ihres rechtlichen Namens, die automatisierte Video-ID-Sitzung, die Adress- und Kontaktverifizierung, die Subscriber Agreement, den Rückruf, der die Bestellung abschließt, sowie die zusätzlichen Schritte zur betrieblichen Existenz und zweiten Prüfung, die EV hinzufügt. Erklärt außerdem, warum Comodo-gebrandete Unterlagen bei einer Sectigo-Bestellung auftauchen, und was zu tun ist, wenn das staatliche Register allein nicht ausreicht.

So validieren Sie DigiCert- und GoGetSSL-Code-Signing-Zertifikate

Der Prozess von DigiCert für CS und EV CS, einschließlich des Punktes, an dem die meisten Bestellungen stolpern: Zwei getrennte Dinge müssen abgeschlossen werden, die Organisation muss für Code Signing validiert werden, und eine für diesen Zertifikatstyp gekennzeichnete verifizierte Kontaktperson muss die Anfrage genehmigen, und die Bestellung bleibt ausstehend, bis beides erledigt ist. Behandelt Organisations-, Adress- und Telefonverifizierung, den Bestätigungsanruf, den Weg für einzelne Entwickler ohne registriertes Unternehmen und was zu tun ist, wenn eine Bestellung ins Stocken gerät.

Phase 4: Bringen Sie das Zertifikat auf Ihre Hardware

Sobald die Validierung besteht, wird das Zertifikat ausgestellt. Was als Nächstes geschieht, hängt von der in Phase 1 gewählten Zustellmethode ab. Entweder trifft ein Token per Post ein, auf dem Schlüssel und Zertifikat bereits enthalten sind, oder Sie erhalten eine Zertifikatsdatei, die in das Gerät importiert wird, das Ihren CSR erzeugt hat.

So richten Sie ein EV-Code-Signing-Zertifikat auf einem versendeten Token ein

Der Weg für einen Token, den die CA Ihnen zusendet, so werden EV-Bestellungen normalerweise ausgeliefert. Behandelt die Installation des SafeNet Authentication Client, die Reihenfolge, in der Client und Token verbunden werden müssen, das Ersetzen des anfänglichen Token-Passworts, das die CA Ihnen per E-Mail geschickt hat, die Bestätigung, dass das Zertifikat für Windows sichtbar ist, sowie das Auffinden des Fingerabdrucks, den Ihr Signaturwerkzeug benötigt. Lesen Sie den Abschnitt zur Sperrung, bevor Sie das Passwort eingeben: Der Token sperrt sich nach wenigen Fehlversuchen, und das Administratorpasswort, mit dem sich die Sperre aufheben ließe, verbleibt bei der CA.

Installation des YubiKey 5 FIPS Code-Signing-Zertifikats

Der Import des ausgestellten Zertifikats in den YubiKey-Steckplatz, dessen Schlüsselpaar Ihren CSR erzeugt hat, entweder mit ykman oder dem Yubico Authenticator, sowie wie Sie das Ergebnis überprüfen und was zu tun ist, wenn die CA eine PKCS#7-Datei sendet, die das Tooling nicht lesen kann. Klärt außerdem zwei Punkte, bei denen ältere Anleitungen sich irren: welche Anmeldeinformationen der Import tatsächlich verlangt, und wo sich das Sectigo-Zwischenzertifikat wirklich befinden muss, damit Ihre Signaturen korrekt verkettet werden.

Phase 5: Signieren Sie Ihren Code und überprüfen Sie ihn

Die letzte Phase ist die, die Sie bei jeder Veröffentlichung wiederholen werden, daher lohnt es sich, den Befehl einmal richtig zu bekommen und ihn zu skripten.

So signieren Sie eine EXE-Datei mit einem Code-Signing-Zertifikat

Das Auffinden von SignTool im Windows SDK, ohne eine Versionsnummer raten zu müssen, der Signaturbefehl mit einem SHA-256-Digest und einem RFC-3161-Zeitstempel, die Auswahl des richtigen Zertifikats auf einem Rechner, der mehrere enthält, die kanonische Überprüfung und warum sie ohne den richtigen Schalter fehlschlägt, sowie wie man von einem Cloud-Schlüssel oder einer CI/CD-Pipeline aus signiert. Behandelt außerdem die tokenfreie Option, die Microsoft nun für die Verteilung außerhalb des Store empfiehlt, und was Signieren in Bezug auf SmartScreen bewirkt und was nicht.