Wie man einen CSR auf Webmin generiert

Dieses Tutorial zeigt Ihnen , wie Sie eine CSR (Certificate Signing Request) unter Webmin erzeugen. Webmin ist eine browserbasierte Steuerungsoberfläche für Linux-Server, daher haben Sie zwei praktische Möglichkeiten, die CSR zu erstellen: über Webmins integrierte SSL-Module (ein grafisches Formular für das Webmin-Panel selbst oder für einen Apache Virtual Host) oder mit der OpenSSL-Kommandozeile über das in Webmin integrierte Terminal. Der OpenSSL-Weg ist am flexibelsten und erzeugt einen Schlüssel und eine CSR, die Sie mit jedem beliebigen Webserver verwenden können (Apache, Nginx, Lighttpd oder alles andere, was Webmin verwaltet).

Die folgenden Schritte gehen von einem modernen Webmin 2.x und OpenSSL 3.x aus, den aktuellen Versionen auf jeder unterstützten Linux-Distribution im Jahr 2026 (Ubuntu 22.04 / 24.04 / 26.04, Debian 12 und 13, RHEL 9 und 10, Rocky 9 und 10, AlmaLinux 9 und 10, openSUSE Leap 15.6 und Tumbleweed). Das Ergebnis ist eine standardmäßige PEM-kodierte CSR, signiert mit SHA-256, die von jeder öffentlichen Zertifizierungsstelle akzeptiert wird.

Schritt 1: Bei Webmin anmelden

Öffnen Sie Webmin in einem Browser unter der URL Ihres Servers auf Port 10000:

https://yourwebsite.com:10000

Ersetzen Sie yourwebsite.com durch den Hostnamen oder die IP-Adresse Ihres Servers. Port 10000 ist der Standard-Port von Webmin. Melden Sie sich mit dem root-Konto oder einem Webmin-Benutzer an, der Berechtigungen zur Verwaltung von SSL besitzt.

Schritt 2: Das Webmin-Terminal öffnen

Webmin 2.x wird mit einem integrierten Terminal ausgeliefert, das Sie verwenden können, ohne eine separate SSH-Sitzung öffnen zu müssen. Klicken Sie im linken Bereich, direkt unter dem Link Refresh Modules, auf das Symbol Terminal (zweites Symbol von links), oder drücken Sie Alt + K, um es zu öffnen. Es erscheint eine Shell-Eingabeaufforderung, die mit dem Benutzer läuft, mit dem Sie angemeldet sind.

Wenn Sie eine direkte SSH-Verbindung von Ihrem eigenen Rechner bevorzugen, verbinden Sie sich mit demselben Server und führen Sie den Befehl aus dem nächsten Schritt dort stattdessen aus. Das Ergebnis ist identisch.

Schritt 3: Privaten Schlüssel und CSR mit OpenSSL erzeugen

Führen Sie im Terminal den folgenden Befehl aus. Er erstellt in einem Schritt einen 2048-Bit-RSA-Schlüssel und eine passende CSR, wobei das Subject und die Subject Alternative Names (SANs) direkt inline angegeben werden, damit OpenSSL nicht interaktiv nachfragt:

sudo openssl req -new -newkey rsa:2048 -noenc 
-keyout /etc/ssl/private/yourwebsite.com.key 
-out /etc/ssl/private/yourwebsite.com.csr 
-subj "/C=US/ST=California/L=San Jose/O=Your Company LLC/CN=yourwebsite.com" 
-addext "subjectAltName=DNS:yourwebsite.com,DNS:www.yourwebsite.com"

Unter Debian und Ubuntu existiert das Verzeichnis /etc/ssl/private/ bereits. Unter RHEL, Rocky, AlmaLinux und Fedora lautet die Konvention /etc/pki/tls/private/ für Schlüssel und /etc/pki/tls/certs/ für die CSR. Wählen Sie Pfade, die Ihr Webserver lesen kann, oder speichern Sie die Dateien in Ihrem Home-Verzeichnis und verschieben Sie sie später. Falls das Zielverzeichnis nicht existiert, legen Sie es zunächst mit sudo mkdir -p /etc/ssl/private an.

Was jeder Teil des Befehls bewirkt:

• -newkey rsa:2048 erzeugt einen neuen 2048-Bit-RSA-Schlüssel. 2048 Bit ist derzeit das Minimum für öffentliche Zertifikate. Verwenden Sie rsa:4096 für einen größeren Schlüssel, oder wechseln Sie zu ECDSA (siehe unten).
• -noenc lässt den privaten Schlüssel unverschlüsselt, damit der Webserver ihn beim Start ohne Abfrage einer Passphrase lesen kann. (Bei OpenSSL 1.x lautet die entsprechende Option -nodes; beide funktionieren weiterhin in OpenSSL 3.x.)
• -keyout und -out benennen die Datei des privaten Schlüssels und die CSR-Datei.
• -subj übergibt das Zertifikats-Subject direkt inline. Ersetzen Sie die Beispielwerte durch Ihre tatsächlichen Angaben:
  • C: zweistelliger Ländercode, in dem Ihre Organisation rechtlich registriert ist (zum Beispiel US).
  • ST: vollständiger Name des Bundesstaats oder der Provinz (zum Beispiel California), keine Abkürzungen.
  • L: vollständiger Name der Stadt oder Gemeinde (zum Beispiel San Jose).
  • O: rechtlicher Name der Organisation. Für ein Domain-Validation-Zertifikat (DV) lassen Sie dies weg oder setzen es auf Ihre Domain.
  • CN: vollständig qualifizierter Domainname (FQDN) der abzusichernden Website (zum Beispiel yourwebsite.com).
• -addext „subjectAltName=…“ listet jeden Hostnamen auf, den das Zertifikat abdecken muss. Öffentliche Zertifizierungsstellen validieren anhand der SAN-Liste, daher sollten Sie den Common Name hier ebenfalls aufnehmen. Für einen Wildcard geben Sie sowohl den Wildcard als auch die Apex-Domain an: DNS:*.yourwebsite.com,DNS:yourwebsite.com. Wildcards decken eine Subdomain-Ebene ab und passen nicht automatisch auf die Apex-Domain selbst.

Wenn Sie stattdessen einen ECDSA-Schlüssel bevorzugen (kleiner und schneller, mit weit verbreiteter Unterstützung für P-256), verwenden Sie diese Variante:

sudo openssl req -new -newkey ec -pkeyopt ec_paramgen_curve:prime256v1 -noenc 
-keyout /etc/ssl/private/yourwebsite.com.key 
-out /etc/ssl/private/yourwebsite.com.csr 
-subj "/C=US/ST=California/L=San Jose/O=Your Company LLC/CN=yourwebsite.com" 
-addext "subjectAltName=DNS:yourwebsite.com,DNS:www.yourwebsite.com"

Der Backslash am Ende jeder Zeile ist eine Shell-Zeilenfortsetzung, sodass der Befehl eine logische Anweisung bleibt, die zur besseren Lesbarkeit auf mehrere Zeilen aufgeteilt ist. Wenn Ihr Terminal die mehrzeilige Form nicht gut verarbeitet, fügen Sie den gesamten Befehl in einer einzigen Zeile ein.

Schritt 4: Den privaten Schlüssel schützen

Listen Sie das Verzeichnis auf, um zu bestätigen, dass beide Dateien erstellt wurden:

sudo ls -l /etc/ssl/private/yourwebsite.com.*

Sie sollten zwei neue Dateien sehen:

• yourwebsite.com.key: der private Schlüssel. Er muss auf dem Server verbleiben, darf niemals an die Zertifizierungsstelle gesendet werden und darf niemals per E-Mail versendet oder in ein Formular eingefügt werden. Wer den Schlüssel besitzt, kann sich als Ihre Website ausgeben.
• yourwebsite.com.csr: der Certificate Signing Request. Dies ist die einzige Datei, die Sie beim SSL-Anbieter einreichen.

Schränken Sie die Berechtigungen des privaten Schlüssels so ein, dass nur root ihn lesen kann:

sudo chmod 600 /etc/ssl/private/yourwebsite.com.key

Auf Distributionen mit aktiviertem SELinux (RHEL, Rocky, AlmaLinux, Fedora) sollten Sie nach dem Verschieben des Schlüssels an seinen endgültigen Speicherort den korrekten SELinux-Kontext erneut anwenden, zum Beispiel mit sudo restorecon -Rv /etc/pki/tls/.

Schritt 5: Die CSR überprüfen (optional, aber empfohlen)

Bevor Sie die CSR einreichen, bestätigen Sie, dass sie das richtige Subject und die richtigen SANs enthält und dass ihre Signatur gültig ist:

openssl req -noout -text -verify -in /etc/ssl/private/yourwebsite.com.csr

Prüfen Sie, ob die Zeile Subject Ihren Angaben entspricht, ob X509v3 Subject Alternative Name jeden von Ihnen erwarteten Hostnamen auflistet und ob die Signaturprüfung verify OK anzeigt. Der Signaturalgorithmus sollte sha256WithRSAEncryption lauten (oder ecdsa-with-SHA256 bei einem ECDSA-Schlüssel). Wenn Sie lieber nicht die Kommandozeile verwenden möchten, fügen Sie den CSR-Text in unseren Online-CSR-Decoder ein, um dieselben Felder in einem Browser zu lesen.

Schritt 6: Die CSR kopieren und einreichen

Geben Sie die CSR aus, damit Sie sie kopieren können:

sudo cat /etc/ssl/private/yourwebsite.com.csr

Sie sehen einen Textblock wie diesen:

-----BEGIN CERTIFICATE REQUEST-----
MIIBozCB... (a long string of characters)
-----END CERTIFICATE REQUEST-----

Kopieren Sie den gesamten Block einschließlich der Zeilen —–BEGIN CERTIFICATE REQUEST—– und —–END CERTIFICATE REQUEST—– (jede Markierung hat auf beiden Seiten fünf Bindestriche). Fügen Sie ihn beim Kauf Ihres SSL-Zertifikats in das Bestellformular ein und belassen Sie den passenden privaten Schlüssel auf dem Server.

Eine CSR über Webmins grafische Module erzeugen

Wenn Sie die Kommandozeile lieber vermeiden möchten, enthält Webmin zwei grafische Formulare, die eine CSR für Sie erstellen. Wählen Sie das aus, das zu dem passt, wofür das Zertifikat gedacht ist.

Für einen Apache Virtual Host (Ihre Website)

• Gehen Sie zu Servers > Apache Webserver.
• Öffnen Sie den Tab Global Configuration, klicken Sie auf Configure Apache Modules, aktivieren Sie das Modul ssl und klicken Sie auf Enable Selected Modules, falls es nicht bereits aktiviert ist.
• Öffnen Sie im Tab Existing virtual hosts den Virtual Host auf Port 443 (oder erstellen Sie einen), indem Sie auf dessen Globus-Symbol klicken.
• Wählen Sie auf der Seite Virtual Server Options SSL Options und klicken Sie dann auf Create signing request.
• Füllen Sie das Formular aus (Land, Bundesland, Stadt, Organisation, Common Name, E-Mail, Schlüsselgröße 2048 oder höher sowie eventuelle Subject Alternative Names), wählen Sie, wohin Webmin die Dateien .csr und .key schreiben soll, und klicken Sie auf Create Now.

Die beiden Dateien erscheinen an den von Ihnen angegebenen Pfaden. Verwenden Sie die .csr-Datei für Ihre Bestellung und bewahren Sie die .key-Datei auf dem Server auf.

Für das Webmin-Panel selbst (Port 10000)

Wenn Sie nur ein Zertifikat für die Webmin-Anmeldeoberfläche benötigen, nicht für eine Website, erzeugen Sie die CSR über das Webmin-Konfigurationsmodul:

• Gehen Sie zu Webmin > Webmin Configuration > SSL Encryption.
• Öffnen Sie den Tab Create Signing Request.
• Füllen Sie Hostname (den öffentlichen Namen, unter dem Sie Webmin erreichen), Land, Bundesland, Stadt, Organisation, E-Mail und Schlüsselgröße aus und klicken Sie dann auf Create.

Webmin schreibt den Request und den passenden Schlüssel unter /etc/webmin/. Nachdem die CA das ausgestellte Zertifikat zurückgesendet hat, installieren Sie es über dieselbe Seite SSL Encryption, sodass es die Standarddatei /etc/webmin/miniserv.pem ersetzt.

Nachdem Sie das Zertifikat erhalten haben

Sobald die Zertifizierungsstelle Ihre CSR validiert und das Zertifikat ausgestellt hat, installieren Sie es auf dem Server. Die genauen Schritte hängen davon ab, für welchen Dienst das Zertifikat bestimmt ist:

• Ein SSL-Zertifikat auf Webmin installieren (Apache über Webmin).
• Ein SSL-Zertifikat direkt auf Apache installieren.
• Ein SSL-Zertifikat auf Nginx installieren, falls Sie Ihre Websites stattdessen mit Nginx bereitstellen.

Wenn Sie einen vollständig grafischen Ablauf in Ihrem Browser bevorzugen, können Sie die CSR auch mit unserem Online-CSR Generator erstellen. Er erzeugt den privaten Schlüssel in Ihrem Browser, daher sollten Sie den Schlüssel selbst speichern und auf den Server übertragen, bevor Sie die Installation abschließen.

Häufig gestellte Fragen