Ein Domain Validated Certificate (DV) ist die einfachste und schnellste Zertifikatsvariante. Die CA prüft ausschließlich, dass der Antragsteller Kontrolle über die zu sichernde Domain hat – nicht mehr, nicht weniger. Es gibt keinerlei Prüfung der dahinterstehenden Organisation.
_acme-challenge.< domain>Sobald eine dieser Challenges erfolgreich beantwortet wird, gilt der Nachweis als erbracht und das Zertifikat wird ausgestellt. Der Prozess dauert bei automatisierten Setups typischerweise Sekunden bis wenige Minuten.
Einsatzfelder für DV:
Anbieter für DV: Let’s Encrypt, ZeroSSL und Buypass bieten DV-Zertifikate kostenlos an. Kommerzielle CAs wie Sectigo, SSL.com oder DigiCert bieten DV-Zertifikate ebenfalls, häufig gebündelt mit erweiterten Support- und Verwaltungs-Optionen.
lemartit.comWie die Prüfung abläuft: Zusätzlich zur DCV verlangt die CA typischerweise folgende Nachweise:
Was im Zertifikat sichtbar wird: Im Subject-Feld des Zertifikats steht neben dem Domain-Namen (CN) auch der Firmenname (O), der Firmensitz (L, ST, C) und die Handelsregister-Nummer. Nutzer können das im Browser-Zertifikats-Dialog einsehen – auch wenn moderne Browser diese Information nicht mehr prominent anzeigen.
Einsatzfelder für OV:
Kosten-Einordnung: OV-Zertifikate sind kostenpflichtig. Die konkreten Preise unterscheiden sich je nach CA, Volumen und Vertragsart – Enterprise-Rahmenverträge senken die Kosten pro Zertifikat spürbar.
Auch ein sauber implementiertes RFC-2136-Setup hat eine Schwachstelle, wenn der TSIG-Key auf die produktive DNS-Zone schreibt. Bei einem kompromittierten Server könnte ein Angreifer im schlimmsten Fall genau denselben Schaden anrichten wie mit einem gestohlenen API-Token. Die architektonische Antwort auf dieses Problem heißt CNAME-Delegation, in der Praxis oft als DCV-Zonen-Konzept bezeichnet.
Ein Extended Validation Certificate (EV) unterliegt der strengsten Prüfung, die das CA/Browser Forum definiert hat. Zusätzlich zu allen OV-Prüfungen kommt eine erweiterte Verifikation der geschäftlichen Existenz, der Vertretungsberechtigung und der operativen Aktivität.
Wie die Prüfung abläuft: Neben den OV-Schritten kommen bei EV typischerweise folgende Nachweise dazu:
Der Prüfprozess dauert typischerweise fünf bis zehn Werktage und ist mit den höchsten Preisen verbunden.
Was EV heute noch leistet: Bis 2019 zeigten Browser bei EV-Zertifikaten die berühmte „grüne Adresszeile“ mit dem Firmennamen an. Diese Anzeige wurde von Chrome und Firefox aus UX-Gründen entfernt – EV verliert damit seinen prominentesten sichtbaren Vertrauensvorteil.
Trotzdem bleibt EV in bestimmten Kontexten relevant:
Kosten-Einordnung: EV-Zertifikate sind die aufwendigste Ausstellungsstrecke und entsprechend kostenintensiver als OV. Der genaue Preis hängt von CA, Volumen und Vertragsart ab.
Was in vielen Unternehmen sinnvoll ist: eine gemischte Strategie. DV für schnelle, automatisierte Standard-Absicherung, OV für kundenorientierte Public-Domains, EV für einzelne hochsensible Anwendungen wie Kundenportale oder Online-Banking.
Das stimmt für die Erst-Ausstellung von OV und EV – dort ist die manuelle Prüfstrecke Teil des Prozesses und braucht Zeit. Für die Verlängerung danach gilt das aber nicht: Wenn ein OV- oder EV-Zertifikat bereits einmal ausgestellt wurde und die geprüften Organisationsdaten bei der CA hinterlegt sind, laufen alle Folge-Verlängerungen im gleichen automatisierten Ablauf wie bei DV. Die einmalige Business-Verifikation muss nicht bei jedem Renewal wiederholt werden.
Wie LEMARIT alle drei Levels bereitstellt: LEMARIT Certificate Automation ist CA-neutral aufgebaut und unterstützt DV-, OV- und EV-Zertifikate über die gleiche Plattform. In der LEMARIT.app wählen Sie pro Domain oder Domain-Pattern das gewünschte Validierungslevel – die Plattform steuert dann die passende Partner-CA an und übernimmt die technische Ausstellung.
DCV-as-a-Service als Effizienz-Hebel: Egal welche Validierungsstufe Sie wählen: Die technische DCV-Antwort (also die HTTP-01-, DNS-01- oder TLS-ALPN-01-Challenge) übernimmt LEMARIT serverseitig. Sie müssen weder TXT-Records manuell setzen noch Token-Dateien auf Webservern hinterlegen. Das reduziert den operativen Aufwand rund um jede Zertifikats-Ausstellung um etwa die Hälfte.
Nein, dazu gibt es keine belastbaren Belege. Google und andere Suchmaschinen behandeln DV-, OV- und EV-Zertifikate identisch – für das Suchmaschinen-Ranking zählt nur, dass eine Seite überhaupt HTTPS ausliefert. Wer SEO als Argument für EV genannt bekommt, sollte das kritisch hinterfragen.
Egal ob Sie DV-Wildcards für dynamische Services, OV-Zertifikate für kundenorientierte B2B-Portale oder EV-Zertifikate für regulierte Anwendungen brauchen: LEMARIT Certificate Automation stellt alle drei Levels über eine einheitliche Plattform bereit.
Sie wählen den Level pro Domain oder Domain-Pattern, wir übernehmen Ausstellung, Renewal und Ausfall-Monitoring – CA-neutral und ohne dass Sie Ihre Endsysteme umbauen müssen.
