Websites herunterladen, die Identrust nutzen

Über Identrust

Eine Zertifizierungsstelle ist nichts, was eine Website installiert. Eine Zertifizierungsstelle ist die Organisation, die das Zertifikat signiert hat, das ein Browser geprüft hat, bevor die Seite angezeigt wurde. Ein Eintrag wie dieser ist daher eine andere Art von Tatsache als ein Plugin oder ein Framework. Nichts davon haben die Entwickler der Website geschrieben. Erfasst wird eine Vertrauensabhängigkeit, die einmal im Rahmen eines Beschaffungsprozesses gewählt und dann bis zur Verlängerung meist vergessen wird.

Dieser Unterschied hat Folgen für die Zahl. Stand Oktober 2026 erkennen wir Identrust auf 7 Websites, und die Zahl sollte man als Untergrenze lesen, nicht als Zählung der ausgestellten Zertifikate. Zertifikate werden heute in kurzen Zyklen erneuert, sodass eine Website zwischen zwei Crawls den Aussteller wechseln kann, ohne dass sich auf der Seite irgendetwas sichtbar ändert. Wichtiger noch: Bei sehr vielen Websites ist ein CDN oder ein Load Balancer vorgeschaltet, der die Verbindung terminiert und sein eigenes Zertifikat vorlegt, was den Aussteller des Ursprungsservers vollständig verbirgt. Ganze Kundengruppen sind für diese Art der Erkennung daher unsichtbar, und keine davon ist es zufällig.

Die Verzerrung geht in eine bestimmte Richtung, und diese Richtung sollte man benennen. Große Organisationen nutzen am ehesten vorgeschaltete Edge-Infrastruktur, daher sind bei der Erkennung des Ausstellers ausgerechnet die Großunternehmen und Kunden aus dem öffentlichen Sektor systematisch unterrepräsentiert, an die eine kommerzielle Zertifizierungsstelle verkauft. Eine kleine Zeilenzahl sollte man hier nicht mit einem kleinen Geschäft verwechseln.

Der Anbieter IdenTrust besteht seit 1999, was den Eintrag deutlich älter macht als das meiste, was ein Technologieverzeichnis enthält. Das Unternehmen stammt aus einer Zeit, in der digitale Identität Banken, Aufsichtsbehörden und staatliche Ausweisverfahren bedeutete und nicht eine automatisierte Anfrage aus einem Deployment-Skript. Das Angebot steht unter der Lizenz Proprietary, und auf dem heutigen Zertifikatsmarkt steckt in diesem einen Feld der größte Teil der Aussage. Kostenlose automatisierte Ausstellung hat das Routinegeschäft schon vor Jahren übernommen. Websites, die weiterhin bei einem kommerziellen Aussteller kaufen, kaufen also etwas, das der kostenlose Weg nicht bietet, sei es eine Vertrauensstufe, eine erfüllte Compliance-Pflicht, eine Garantie oder eine etablierte Beziehung zu einer Einkaufsabteilung.

Eine Abfrage pro Domain klärt die Frage nach dem Aussteller für eine Website, und das erledigt jeder Browser mit zwei Klicks auch ohne unsere Hilfe. Die Liste klärt die Frage, die dahintersteht: welche Gruppen von Websites noch eine kommerzielle Zertifizierungsstelle bezahlen und was diese Gruppen gemeinsam haben. Wer das bezahlte Segment des Marktes in der Kategorie SSL/TLS certificate authorities beziffern oder ermitteln will, welche Branchen regulatorischen Pflichten unterliegen, die eine kostenlose Ausstellung nicht erfüllen kann, braucht den gesamten Datensatz, um das Muster zu erkennen, denn das interessante Ergebnis ist eine Konzentration, und eine Konzentration bleibt unsichtbar, solange man Domain für Domain vorgeht.