Websites herunterladen, die Let's Encrypt nutzen

Über Let's Encrypt

Fast jede Website im öffentlichen Web wird heute über HTTPS ausgeliefert, und ein großer Teil dieser Zertifikate stammt von Let's Encrypt. Unsere Zahl sagt das nicht aus. Stand Oktober 2026 erfassen wir die Zertifizierungsstelle auf 16.373 Websites, und diese Zahl beschreibt die Erkennung und nicht die Ausstellung, ein Unterschied, den man verstehen sollte, bevor man sie für irgendetwas verwendet.

Die Organisation Internet Security Research Group hat die Zertifizierungsstelle 2016 gestartet und vergibt Zertifikate kostenlos im Lizenzmodell Open Source. Ausstellung und Erneuerung laufen automatisiert über das ACME-Protokoll, sodass Hosting-Oberflächen, Verwaltungspanels und Webserver Zertifikate ohne menschliches Zutun anfordern können. Die kostenlose, automatisierte Ausstellung ist der Grund, warum die Zertifizierungsstelle allgegenwärtig wurde, und gerade diese Allgegenwart macht eine Zählung auf Grundlage von Fingerabdrücken unvollständig. Ein Crawl ordnet ein Zertifikat zu, wenn die Kette, die Ausstellerangabe oder die umgebende Konfiguration erfasst und erkannt wird, und er ordnet nichts zu, wenn ein Proxy, ein CDN oder ein Load Balancer vor dem Ursprungsserver ein eigenes Zertifikat präsentiert.

Ein unvollständiges Signal ist trotzdem ein Signal, sobald man weiß, in welcher Hinsicht es unvollständig ist. Websites, die TLS selbst terminieren, auf ihrem eigenen Server und mit ihrem eigenen Zertifikat, sind genau die Websites, bei denen die Erkennung funktioniert, und sie sind zugleich der interessante Bestand für viele Fragen. Selbst terminiertes TLS deutet auf einen echten Server mit einem Administrator hin, auf einen Erneuerungsprozess, der fehlschlagen kann, und auf eine Konfiguration, die veralten kann, weshalb sich Hosting-Anbieter, Managed-Service-Anbieter, Sicherheitsscanner und Produkte zur Zertifikatsverwaltung dafür interessieren, wer zu dieser Gruppe gehört.

Die Geografie unterstreicht diesen Punkt. 5.156 der erkannten Websites werden in Südkorea gehostet, und die Endung .com zieht sich durch die Liste, eine Verteilung, die zeigt, welche Hosting-Ökosysteme Zertifikate auf direkt sichtbare Weise ausstellen, und nicht, welche Länder Verschlüsselung eingeführt haben. Das Länderfeld als Maß für die Verbreitung von Verschlüsselung zu lesen, wäre ein Fehler. Als Karte dafür, wo ein bestimmtes Hosting-Muster verbreitet ist, lässt es sich dagegen durchaus lesen.

Nichts davon lässt sich Domain für Domain rekonstruieren, und doch wird die Frage meist genau so gestellt, eine Domain nach der anderen. Ein Browser zeigt jedem Besucher, wer das Zertifikat der Website ausgestellt hat, die er gerade aufruft. Kein Browser zeigt Ihnen dagegen, wie sich ein Bestand von Domains auf die Aussteller verteilt, wie sich diese Aufteilung über Länder und Endungen hinweg verschiebt und welcher Teil davon TLS selbst terminiert, statt sich hinter der Edge-Infrastruktur eines Dritten zu verstecken. Die herunterladbare Liste ist die Form, in der sich diese Frage tatsächlich beantworten lässt.