Code Signing-Zertifikate

Es gibt zwei Validierungsstufen, und die Wahl zwischen ihnen hangt davon ab, wer signiert und was signiert wird.

• OV (Organization Validation) ist die Standardstufe. Die CA verifiziert die rechtliche Existenz eines eingetragenen Unternehmens und stellt das Zertifikat fur diese Organisation aus. Comodo und Sectigo stellen OV-aquivalente Zertifikate auch an verifizierte Einzelpersonen aus – manchmal als Individual Validation (IV) bezeichnet – fur Solo-Entwickler ohne eingetragenes Unternehmen. Die OV-Optionen von SSL Dragon beginnen bei $219/Jahr.
• EV (Extended Validation) erfordert eine grundlichere Unternehmensverifizierung gemas den EV-Richtlinien des CA/Browser Forums. Nur eingetragene Organisationen kommen in Frage; Einzelpersonen nicht. EV ist die einzige Stufe, die fur die Signierung von Windows-Kernelmodustreibern akzeptiert wird, und viele Unternehmens-Beschaffungs- und Audit-Richtlinien schreiben sie vor. Die EV-Optionen von SSL Dragon beginnen bei $287/Jahr.

Hinweis zu SmartScreen: Ein Update des Microsoft Trusted Root Program aus dem Jahr 2024 hat verandert, wie Reputation aufgebaut wird. SmartScreen-Reputation wird nun nach Datei-Hash und Download-Volumen aufgebaut, unabhangig vom Zertifikatstyp. EV gewahrt kein sofortiges SmartScreen-Vertrauen mehr. Sowohl OV- als auch EV-signierte Binardateien bauen Reputation auf dieselbe Weise auf, sobald sie in Umlauf sind.

Wahlen Sie OV, wenn Sie User-Mode-Anwendungen signieren und den gunstigeren Preis bevorzugen. Wahlen Sie EV, wenn Sie Windows-Kernelmodustreiber signieren, maximale Identitassicherheit benotigen oder Ihre Beschaffungsrichtlinien EV ausdrucklich vorschreiben.

Seit dem 1. Juni 2023 schreibt das CA/Browser Forum vor, dass der private Schlussel jedes offentlich vertrauenswurdigen Zertifikats auf Hardware generiert und gespeichert werden muss, die FIPS 140-2 Level 2 oder Common Criteria EAL 4+ erfullt. Herunterladbare .pfx-Dateien werden nicht mehr ausgestellt. Kaufer wahlen einen von drei Lieferwegen:

1. Von der CA versandter USB-Token. Die CA sendet einen vorinstallierten FIPS 140-2 Level 2 USB-Token (typischerweise ein YubiKey) an die verifizierte Adresse der Bestellung.
2. Eigenes konformes Gerat mitbringen. Wenn Ihr Team bereits ein FIPS 140-2 Level 2 oder Common Criteria EAL 4+ HSM oder Token betreibt, stellt die CA das Zertifikat auf Basis einer Attestierung dieses Gerats aus.
3. Cloud-HSM-Signierdienst. Der private Schlussel wird in einem von der CA verwalteten Cloud-HSM generiert und gespeichert, z. B. DigiCert KeyLocker, Sectigo Cloud Signing oder SSL.com eSigner. Kein physischer Token erforderlich, und die Signierung lasst sich problemlos in CI/CD-Pipelines integrieren.

Ein USB-Token ist am einfachsten fur gelegentliches manuelles Signieren; Cloud-Signing eignet sich besser fur automatisierte Builds. Alle drei Wege nutzen dieselbe Public Key Infrastructure (PKI): Das Zertifikat verknupft Ihre verifizierte Identitat mit einem offentlichen Schlussel, Hardware schutzt den privaten Schlussel, und die resultierende digitale Signatur wird von Windows verifiziert.

Einrichtungsschritte finden Sie in unseren Code-Signing-Tutorials.

Ab dem 1. Marz 2026 haben offentlich vertrauenswurdige Zertifikate eine maximale Gultigkeit von 460 Tagen (etwa 15 Monate), gegenuber dem bisherigen Maximum von 39 Monaten. Die Anderung geht auf das CA/Browser Forum Ballot CSC-31 zuruck. Mehrjahrige Bestellungen sind weiterhin erhaltlich, das Zertifikat selbst wird jedoch innerhalb der gekauften Laufzeit neu ausgestellt, anstatt sie zu uberspannen.

Was das auf Bestellebene bedeutet:

• Ein einzelnes neues Zertifikat ist auf ca. 15 Monate Gultigkeit begrenzt
• 2-jahrige und 3-jahrige Bestellungen bleiben verfugbar, mit Neuausstellung wahrend der Laufzeit
• HSM-installierte Bestellungen konnen die gesamte gekaufte Laufzeit abdecken, erfordern jedoch eine jahrliche Neuausstellung
• Vor dem 1. Marz 2026 ausgestellte Zertifikate bleiben bis zu ihrem ursprunglichen Ablaufdatum gultig

Ordnungsgemas mit einem Zeitstempel versehener Code bleibt auch nach Ablauf des Zertifikats vertrauenswurdig, sodass bereits signierte und veroffentlichte Software nicht betroffen ist. Nur der Erneuerungsrhythmus andert sich.

SSL Dragon fuhrt Optionen von vier Certificate Authorities. Hier ist ein Uberblick, wie die OV- und EV-Optionen bei Einstiegspreis, Hardware-Lieferung und Ausstellungszeit abschneiden.

Comodo und Sectigo OV beginnen beide bei $219/Jahr und sind die gunstigsten offentlich vertrauenswurdigen Optionen auf dieser Seite. DigiCert liegt im Premium-Bereich – $400 fur OV und $685 fur EV – und wird in der Regel von Kaufern gewahlt, deren Vertrage oder Compliance-Rahmenwerke DigiCert ausdrucklich nennen. GoGetSSL ist die gunstige Wahl auf EV-Ebene mit $369/Jahr. Alle vier CAs liefern Hardware-Token, wobei DigiCert zusatzlich KeyLocker Cloud Signing fur HSM-freie Workflows anbietet.

Keine offentlich vertrauenswurdige Certificate Authority bietet ab 2026 kostenloses Code Signing an.

Zwei reale Kostenfaktoren machen es unpraktikabel:

1. Die CA muss die Identitat des Herausgebers verifizieren (Organisation oder Einzelperson)
2. Seit Juni 2023 muss der private Schlussel auf FIPS-konformer Hardware gespeichert sein, fur die jemand bezahlen muss

Selbstsignierte Zertifikate konnen mit OpenSSL erstellt werden und sind kostenlos, aber Windows, macOS und Browser vertrauen ihnen nicht, sodass die Warnung „Unbekannter Herausgeber“ bestehen bleibt. Wenn der Preis das entscheidende Kriterium ist, sind Comodo Code Signing und Sectigo Code Signing OV (oder Individual Validation fur Solo-Entwickler) die Einstiegs-SKUs bei $219/Jahr.

Ein Zertifikat von jeder CA, die SSL Dragon fuhrt, kann Folgendes signieren:

• Windows-Binardateien und Installer: .exe-, .dll-, .cab-, .ocx-, .msi- und .xap-Dateien, signiert uber Microsoft Authenticode
• Windows-Treiber: User-Mode-Treiber (OV oder EV) und Kernelmodustreiber (nur EV)
• Java-Anwendungen: .jar-Dateien, signiert mit jarsigner
• Skripte und Makros: PowerShell-Skripte, VBScript und Microsoft Office VBA-Makros
• Weitere Formate: Adobe AIR-Pakete, Mozilla-Objektdateien und Microsoft Silverlight (veraltet, aber weiterhin gultig)
• Firmware und IoT-Software
• Container und Softwarepakete

Dasselbe Zertifikat deckt die meisten der oben genannten Falle ab; der Kernelmodustreiber-Fall ist der einzige, der die EV-Stufe erfordert.

Ein SSL/TLS-Zertifikat verschlusselt die Verbindung zwischen einem Browser und einer Website. Ein Code-Signing-Zertifikat signiert Software digital, damit das Betriebssystem verifizieren kann, wer sie veroffentlicht hat und ob die Datei unverandert ist.

Die beiden sind nicht austauschbar: Eines sichert eine Domain, das andere beweist den Ursprung einer ausfuhrbaren Datei. Beide sind X.509-Zertifikate, die von einer Certificate Authority ausgestellt werden, weshalb sie haufig verwechselt werden.