Websites herunterladen, die DigiCert nutzen

Über DigiCert

Zertifizierungsstellen gehören zu den seltenen Teilen im Tech-Stack einer Website, die sich weder fälschen noch stillschweigend verbergen lassen. Der Browser jedes Besuchers lädt die Zertifikatskette, bevor überhaupt etwas dargestellt wird, und darin ist der Aussteller genannt. Wenn wir DigiCert für eine Domain erfassen, lesen wir also eine signierte Tatsache ab, statt aus einem Skript-Tag oder einem Header zu raten.

DigiCert stellt seit 2003 Zertifikate aus und übernahm später das Zertifikatsgeschäft, das Symantec aufgebaut hatte, weshalb das Spektrum von Single-Domain-Zertifikaten auf kleinen kommerziellen Websites bis zu Extended Validation und Codesignatur für Banken und Behörden reicht. Das Produkt steht unter der Lizenz Proprietary und ist, was wichtiger ist, kostenpflichtig.

Kostenpflichtige Zertifikate heben eine Domain von der kostenlosen, automatisierten Ausstellung ab, die heute den Großteil des öffentlichen Webs abdeckt. Wer kauft, hat einen Grund. Das kann ein organisationsvalidiertes Zertifikat sein, das die juristische Person hinter der Website nennt, eine vertraglich festgeschriebene Compliance-Anforderung, ein Beschaffungsprozess aus der Zeit vor der Automatisierung oder ein Unternehmensvertrag für einen großen Bestand an Hostnamen. Was auch immer zutrifft: Die Domain gehört zu einer Organisation mit einem Budgetposten für Sicherheit und einer Person, die für ihre Absicherung zuständig ist.

Stand Oktober 2026 erkennen wir DigiCert als Zertifikatsaussteller auf 202.239 Websites. 57.479 davon verorten wir in den USA, und die Endung .com ist stark vertreten. Die Konzentration auf die USA erklärt sich durch einen Anbieter, der dort seinen Hauptsitz hat und an die IT großer Unternehmen verkauft. Für die Forschung zählt jedoch der Rest der Verteilung mehr, denn gerade in den Märkten außerhalb dieses Blocks konkurrieren Zertifikatsanbieter noch über den Preis, und dort wird so häufig gewechselt, dass sich ein genauer Blick lohnt.

Eine Einschränkung sollte klar benannt werden. Wir erfassen den Aussteller, den wir zum Zeitpunkt des Crawls sehen, und Zertifikate sind bewusst kurzlebig. Eine Domain kann Wochen nach unserer Erfassung zu einer anderen Zertifizierungsstelle wechseln, und eine Website hinter einem CDN präsentiert häufig das eigene Zertifikat des CDN statt des Zertifikats, das ihr Betreiber gekauft hat, was den Kauf vollständig verdeckt. Diese Liste beschreibt die Zertifikate, die nach außen sichtbar sind, nicht die Verträge dahinter.

Trotzdem liegen die Anwendungen auf der Hand. Konkurrierende Zertifizierungsstellen und Reseller wollen den Bestand an Verlängerungen kennen, für den sie Angebote machen können. Compliance- und Risikoteams wollen wissen, wie viel ihrer Lieferkette von einem einzigen Aussteller abhängt, eine Frage, die jedes Mal dringend wird, wenn eine große Zertifizierungsstelle massenhaft widerrufen muss. Analysten wollen die Entwicklung in einem Markt verfolgen, in dem die kostenlose Ausstellung die kostenpflichtigen Anbieter immer weiter ins Premiumsegment drängt. Keine dieser Fragen lässt sich mit einer Einzelabfrage klären, denn eine Abfrage liefert eine Zeile, und jede dieser Fragen betrifft den gesamten Bestand.