So generieren Sie einen CSR für ein SSL-Zertifikat

Was Sie vor dem Start benötigen

• Zugriff auf den Server oder das Control Panel, das das Zertifikat hosten wird, oder nutzen Sie unseren CSR-Generator, falls Sie diesen Zugriff nicht haben.
• Ihre Organisationsdaten genau so, wie sie rechtlich registriert sind. Zertifizierungsstellen prüfen diese bei OV- und EV-Zertifikaten.
• Eine Entscheidung zum Schlüsseltyp: RSA 2048-bit ist der Mindeststandard. ECC (zum Beispiel P-256) ist eine schnellere moderne Option, falls Ihr Server sie unterstützt.
• Ein CSR pro Zertifikat. Erstellen Sie bei jeder Bestellung oder Erneuerung mit einem neuen Schlüssel einen neuen CSR.

Jeder CSR fragt dieselben Felder ab. Hier sehen Sie, was in jedes Feld gehört:

Feld	Was einzugeben ist	Beispiel
Common Name (CN)	Die genaue zu sichernde Domain (FQDN)	www.example.com
Organization (O)	Ihr rechtlicher Firmenname	Example LLC
Organizational Unit (OU)	Abteilung (optional)	IT
Locality (L)	Stadt	Austin
State (ST)	Vollständiger Bundesland- oder Regionsname, nicht abgekürzt	Texas
Country (C)	Zweistelliger ISO-Ländercode	US
Email	Kontakt-E-Mail (optional)	[email protected]

Die fertige Datei ist eine standardmäßige PKCS #10-Anfrage. Sie enthält Ihren öffentlichen Schlüssel zusammen mit diesen Angaben und ist mit Ihrem privaten Schlüssel signiert, damit die Zertifizierungsstelle bestätigen kann, dass beide zusammengehören.

Tipp: Für ein Wildcard-Zertifikat setzen Sie den Common Name auf *.example.com. Für mehrere Domains auf einem Zertifikat behalten Sie Ihre Hauptdomain als Common Name bei und fügen die anderen als Subject Alternative Names (SANs) hinzu, nicht als zusätzliche Common Names.

---

Methode 1: CSR mit OpenSSL generieren (Apache, Nginx, Linux)

OpenSSL ist die universelle Methode, um einen CSR auf Apache, Nginx und den meisten Linux-Servern zu generieren. Verbinden Sie sich per SSH mit Ihrem Server und führen Sie Folgendes aus:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr

Hier sehen Sie, was jeder Teil bewirkt:

• req -new erstellt einen neuen CSR.
• -newkey rsa:2048 generiert gleichzeitig einen neuen 2048-Bit-RSA-privaten-Schlüssel.
• -nodes lässt den privaten Schlüssel ohne Passphrase, sodass Ihr Server ihn beim Neustart ohne Nachfrage laden kann.
• -keyout example.key speichert den privaten Schlüssel.
• -out example.csr speichert den CSR.

OpenSSL fragt dann die Felder aus der obigen Tabelle ab. Geben Sie Ihren Common Name, Ihre Organisation und Ihre Standortdaten ein. Das Challenge-Passwort können Sie leer lassen.

Um die Abfragen zu überspringen und SANs in einer Zeile hinzuzufügen, übergeben Sie das Subject und die Erweiterungen direkt:

openssl req -new -newkey rsa:2048 -nodes -keyout example.key -out example.csr 
  -subj "/C=US/ST=Texas/L=Austin/O=Example LLC/OU=IT/CN=www.example.com" 
  -addext "subjectAltName=DNS:example.com,DNS:www.example.com"

Achtung: Das Flag -addext benötigt OpenSSL 1.1.1 oder neuer. Manche älteren CentOS-7- und RHEL-7-Server liefern noch OpenSSL 1.0.2 aus, wo dieses Flag nicht existiert. Fügen Sie Ihre SANs dort stattdessen über eine Konfigurationsdatei hinzu. Führen Sie openssl version aus, wenn Sie sich nicht sicher sind.

Öffnen Sie die fertige Datei example.csr und kopieren Sie alles von —–BEGIN CERTIFICATE REQUEST—– bis —–END CERTIFICATE REQUEST—–. Bewahren Sie example.key geheim auf. Sie benötigen ihn später zur Installation des Zertifikats, und er kann nicht wiederhergestellt werden, falls Sie ihn verlieren.

Bevorzugen Sie ECC? Erstellen Sie zuerst den Schlüssel und bauen Sie den CSR anschließend daraus:

openssl ecparam -genkey -name prime256v1 -out example.key
openssl req -new -key example.key -out example.csr

Möchten Sie die genauen Schritte für Ihre Distribution? Lesen Sie unsere Anleitungen für Apache, Nginx, Ubuntu, Debian und Red Hat Linux.

---

Methode 2: CSR in cPanel generieren

Wenn Ihr Hosting cPanel verwendet, benötigen Sie die Kommandozeile nicht.

1. Melden Sie sich bei cPanel an und öffnen Sie SSL/TLS im Bereich Sicherheit.
2. Klicken Sie auf Certificate Signing Requests (CSR).
3. Füllen Sie unter Generate a New Certificate Signing Request (CSR) die Felder aus der obigen Tabelle aus. Verwenden Sie Ihre vollständige Domain als Wert für Domains oder Common Name.
4. Klicken Sie auf Generate.

cPanel zeigt den kodierten CSR auf dem nächsten Bildschirm an. Kopieren Sie ihn für Ihre Bestellung. cPanel speichert den passenden privaten Schlüssel für Sie unter Private Keys, sodass Sie ihn nicht manuell sichern müssen, aber merken Sie sich, wo er liegt, für die Installation.

Falls Sie den CSR später nicht mehr finden, bleibt er auf demselben Bildschirm Certificate Signing Requests gelistet, sodass Sie ihn erneut kopieren können, ohne ihn neu zu generieren.

Nutzen Sie stattdessen WHM? Der Ablauf ist nahezu identisch, unter SSL/TLS → Generate an SSL Certificate and Signing Request. Schritt-für-Schritt-Anleitungen: cPanel und WHM.

---

Methode 3: CSR unter Windows generieren (IIS)

Auf Windows-Servern mit IIS:

1. Öffnen Sie den IIS-Manager und wählen Sie Ihren Servernamen im linken Bereich aus.
2. Doppelklicken Sie auf Server Certificates.
3. Klicken Sie im Aktionsbereich auf Create Certificate Request.
4. Füllen Sie die Felder unter Distinguished Name aus: Common Name, Organization, Organizational Unit, City, State und Country.
5. Wählen Sie einen kryptografischen Anbieter, stellen Sie die Bitlänge auf 2048 oder höher ein und speichern Sie den CSR anschließend in einer Datei.

Lassen Sie den Anbieter auf Microsoft RSA SChannel Cryptographic Provider eingestellt, sofern Sie keinen bestimmten Grund haben, ihn zu ändern. Alles andere kann es später erschweren, das ausgestellte Zertifikat an Ihre Website zu binden.

IIS bewahrt den ausstehenden privaten Schlüssel im Zertifikatsspeicher des Servers auf, schließen Sie den Vorgang also nach Ausstellung des Zertifikats über Complete Certificate Request ab. Bauen Sie den Server in der Zwischenzeit nicht neu auf und löschen Sie die ausstehende Anfrage nicht, sonst ist der Schlüssel verloren und Sie benötigen eine Neuausstellung. Auf Windows-Rechnern ohne IIS können Sie stattdessen mit certreq oder dem MMC-Snap-In „Zertifikate“ einen CSR generieren.

Vollständige Anleitungen: Microsoft IIS und Microsoft Windows.

---

Methode 4: CSR mit unserem kostenlosen CSR-Generator erstellen

Kein Serverzugriff, oder Sie möchten es einfach in Sekunden erledigt haben? Nutzen Sie unser kostenloses Tool.

Öffnen Sie den CSR-Generator, geben Sie Ihren Common Name, Ihre Organisation und Ihren Standort ein und generieren Sie dann. Das Tool erstellt sofort sowohl den CSR als auch den privaten Schlüssel und sendet Ihnen den Schlüssel als Backup per E-Mail. Kopieren Sie den CSR für Ihre Bestellung und bewahren Sie den privaten Schlüssel an einem sicheren Ort auf.

Zwei ehrliche Hinweise:

• Das Tool generiert den privaten Schlüssel für Sie, was für die meisten DV- und OV-Zertifikate in Ordnung ist. Falls Ihre Sicherheitsrichtlinie verlangt, dass der Schlüssel Ihren eigenen Server nie verlässt, verwenden Sie stattdessen OpenSSL oder Ihr Control Panel.
• Der Generator funktioniert nicht für Code-Signing-Zertifikate. Seit Juni 2023 müssen Code-Signing-Schlüssel auf sicherer Hardware erstellt und gespeichert werden, generieren Sie diese also auf Ihrem Token oder HSM.

Jetzt Ihren CSR generieren →

---

Nach der Generierung des CSR: Prüfung und nächste Schritte

Bevor Sie den CSR einreichen, lohnt sich eine kurze Prüfung.

1. Überprüfen Sie ihn. Fügen Sie den CSR in unseren CSR-Decoder ein, um zu bestätigen, dass Common Name und Organisationsdaten korrekt sind. Ein Tippfehler hier bedeutet später eine Neuausstellung.
2. Reichen Sie ihn ein. Kopieren Sie den vollständigen CSR in Ihre Zertifikatsbestellung. Die Zertifizierungsstelle prüft ihn und stellt Ihr X.509-SSL-Zertifikat aus.
3. Installieren Sie das Zertifikat. Sobald es ausgestellt ist, folgen Sie unserer Anleitung Wie installiert man ein SSL-Zertifikat und verwenden Sie dabei den zuvor gespeicherten privaten Schlüssel.

Die meisten Zertifizierungsstellen senden das ausgestellte Zertifikat für ein DV-Zertifikat innerhalb weniger Minuten per E-Mail, meist als .crt– oder .cer-Datei zusammen mit einem Zwischenzertifikatspaket. Bewahren Sie es zusammen mit dem generierten privaten Schlüssel auf.

Bewahren Sie diesen privaten Schlüssel für die gesamte Laufzeit des Zertifikats gesichert und geheim auf. Ohne ihn kann das Zertifikat nicht installiert werden.

---

Häufige CSR-Fehler und wie man sie behebt

• Falscher Common Name. Das Zertifikat sichert genau das, was Sie eingeben. example.com und www.example.com sind unterschiedlich. Fügen Sie beide hinzu (eines als CN, eines als SAN), wenn Sie beide benötigen.
• Fehlende SANs. Moderne Browser verlassen sich auf Subject Alternative Names, nicht allein auf den Common Name. Listen Sie jede Domain auf, die das Zertifikat abdecken soll.
• CSR und privater Schlüssel passen nicht zusammen. Ein CSR funktioniert nur mit dem gleichzeitig generierten Schlüssel. Wenn Sie den Schlüssel verlieren oder einen neuen CSR generieren, müssen Sie eine Neuausstellung durchführen. Löschen Sie den Schlüssel niemals, bevor das Zertifikat installiert ist.
• Falscher Ländercode. Country verlangt den zweistelligen ISO-Code (US, GB, DE), nicht den vollständigen Ländernamen. „United States“ einzugeben ist einer der häufigsten Gründe, warum ein CSR abgelehnt wird.
• Abgekürzte oder Sonderzeichen in den Organisationsfeldern. Schreiben Sie den Bundesland-/Regionsnamen aus und vermeiden Sie Zeichen wie @, & oder Akzente in den Organisationsfeldern, da manche CAs diese ablehnen.
• Verwendung des CSR-Generators für Code-Signing. Code-Signing-CSRs müssen von sicherer Hardware stammen. Unser CSR-Generator ist nur für TLS/SSL-Zertifikate gedacht.

---

Häufig gestellte Fragen