Websites herunterladen, die AWS Certificate Manager nutzen

Über AWS Certificate Manager

Ein Zertifikat gilt normalerweise als Identitätsnachweis. Das Zertifikat, das dieser Dienst ausstellt, lässt sich besser als Nachweis einer Lieferantenbeziehung lesen. AWS Certificate Manager sagt nichts über das Unternehmen hinter der Domain aus, nichts über seine Größe, seinen Markt oder irgendetwas in seinem Stack oberhalb der Transportschicht. Was das Zertifikat dagegen aussagt: Der Betreiber hat ein Konto bei einem bestimmten Cloud-Anbieter und hat ihm Ausstellung und Erneuerung übertragen.

AWS Certificate Manager gehört bei uns zur Kategorie SSL/TLS certificate authorities, stammt vom Anbieter Amazon Web Services und stellt seit 2016 öffentliche Zertifikate aus. Der Dienst ist dafür da, die Zertifikatserneuerung von der Liste der Dinge zu streichen, die ein Betriebsteam vergessen kann, und der Anbieter präsentiert ihn als Weg, Zertifikate sowohl für seine eigenen integrierten Dienste als auch für Hybrid- und Multi-Cloud-Workloads zu beziehen. Gerade diese Breite begrenzt die Aussagekraft des Signals. Hinter einer Website mit einem solchen Zertifikat steht ein Kunde des Cloud-Anbieters. Der Endpunkt, mit dem der Browser spricht, kann jedoch ein Load Balancer, eine Distribution eines Content-Delivery-Netzwerks oder ein Application Gateway innerhalb dieses Kontos sein, ebenso gut aber ein Container oder ein On-Premises-Host an ganz anderer Stelle.

Stand Oktober 2026 erscheint das Zertifikat auf 540.622 Websites. 377.524 davon verorten wir in den USA, und die Endung .com zieht sich durch den Bestand, was ungefähr dem Bild einer Cloud-Plattform entspricht, die weltweit verkauft und in einer einzigen Währung abrechnet. Geografische Auswertungen erfordern bei jedem Cloud-Dienst Sorgfalt, denn das Land, das wir zuordnen, gehört zur Website und ihrem Publikum, nicht zu der Region, in der die Workload läuft.

Für Forscher liegt der praktische Wert dieses Merkmals darin, dass es das Web nach Infrastruktur statt nach Absicht aufteilt. Cloud-Anbieter und ihre Partner nutzen es, um Konten zu finden, die bereits fest an einen Wettbewerber gebunden sind. Sicherheits- und Compliance-Teams verwenden es als Indikator dafür, wo Ausstellung und Erneuerung zentralisiert wurden, was wichtig wird, wenn sich die Frage stellt, wer handeln müsste, falls ein Zertifikat in aller Eile ersetzt werden muss. Anbieter, die selbst etwas verkaufen, das Verschlüsselung terminiert, von Content-Delivery-Netzwerken über Application Firewalls bis zu Reverse Proxys, lesen dasselbe Merkmal als Zeichen dafür, dass die Zertifikatsverwaltung bereits innerhalb einer konkurrierenden Plattform automatisiert ist.

Die Erkennung hat Grenzen, die man klar benennen sollte. Daten zum Aussteller sehen wir nur dort, wo wir einen Handshake mit dem Ursprungsserver abschließen, auf den die Domain tatsächlich zeigt. Eine Website hinter dem Proxy eines Drittanbieters präsentiert daher dessen Zertifikat, und das verwaltete Zertifikat dahinter bleibt unsichtbar. Websites, die den Dienst für interne oder private Endpunkte nutzen, machen ihn nie öffentlich sichtbar. Der Fehler geht hier in Richtung Untererfassung, und sein Ausmaß kann niemand von außerhalb des Kontos messen.

Abfragen pro Domain sind für diese Frage das falsche Werkzeug. Zu wissen, dass eine Domain ein Zertifikat dieses Ausstellers vorweist, ist eine Randnotiz. Erst wenn Sie wissen, wie viele Websites in einem Land, unter einer Endung, in einem Branchensegment oder auf der veröffentlichten Kundenliste eines Wettbewerbers diese Eigenschaft teilen, haben Sie eine Marktübersicht, und die lässt sich nur mit dem vollständigen Export erstellen. Mit Veränderungen über die Zeit verhält es sich genauso. Zwei Dateien im Quartalsvergleich zeigen Wanderungen auf die Plattform und von ihr weg auf Ebene des gesamten Bestands, was genau die Art von Beleg ist, die auch vor einem skeptischen Publikum besteht. Ein Abfragefeld kann eine Vermutung bestätigen, aber nur eine Datei mit dem gesamten Bestand kann eine Zahl stützen, die man verteidigen muss.