QWACs: EU-Plan "würde Websicherheit dramatisch schwächen"

Ein Plan der EU-Kommission sieht vor, Browsern eine Bevorzugung "qualifizierter" Webzertifikate vorzuschreiben - mit niedrigeren Sicherheitsstandards.

Artikel von Hanno Böck veröffentlicht am 3. März 2022, 15:21 Uhr

QWACs heißt ein Konzept der EU für spezielle Webseiten-Zertifikate - namhafte Wissenschaftlerinnen und Wissenschaftler warnen jetzt davor. (Bild: Sergey Korovkin 84/Wikimedia Commons/CC-BY-SA 4.0)

In einem offenen Brief warnen Wissenschaftlerinnen und Wissenschaftler die EU, dass eine geplante Regulierung von Webseitenzertifikaten "die Websicherheit dramatisch schwächen würde". Unterzeichnet wurde der von Mozilla organisierte offene Brief von einigen der führenden Forscher in Sachen Kryptographie und TLS-Sicherheit.

Im Rahmen des Digital Identity Framework plant die EU weitreichende regulative Eingriffe in den Umgang der Webbrowser mit TLS-Zertifikaten. Kern des Vorschlags sind spezielle Zertifikate, die als Qualified Web Authentication Certificates oder QWACs bezeichnet werden.

QWACs basiert dabei im Kern auf einer alten Idee, die eigentlich bereits als obsolet galt: sogenannte Extended-Validation- oder EV-Zertifikate. Diese Zertifikate enthalten neben dem Domainnamen einer Webseite auch den Firmennamen und weitere Informationen wie die Adresse des Betreibers. Früher zeigten Webbrowser bei solch einem EV-Zertifikat den Firmennamen neben der Adresszeile in grün an.

EV galt als gescheitertes Konzept

EV-Zertifikate sind deutlich teurer und wurden in der Vergangenheit damit beworben, dass sie etwa einen Schutz gegen Phishing bieten. Die Idee dabei: Ein Nutzer bemerkt den grünen Firmennamen und würde beim Fehlen seine Zugangsdaten nicht eingeben.

Letztendlich basiert das ganze Konzept von EV darauf, dass Nutzer eben genau dies bemerken würden. Nur hat sich das in der Praxis als nicht haltbar herausgestellt. In Studien bemerkten die meisten Nutzer keinen Unterschied und große Webseiten - beispielsweise Facebook - hatten zeitweise EV eingeführt und dann wieder abgeschafft, ohne dass das groß bemerkt worden wäre.

Ein weiteres Problem: Firmennamen sind nicht eindeutig. Der IT-Sicherheitsexperte Ian Carroll hatte sich, um das zu demonstrieren, zeitweise EV-Zertifikate für die Firma Stripe ausstellen lassen. Dabei handelte es sich aber nicht um den bekannten Zahlungsdienstleister, Carroll hatte schlicht selbst eine Firma unter demselben Namen registrieren lassen. Dazu kommt: EV-Zertifikate lassen sich nicht automatisiert ausstellen und müssen manuell erneuert werden - was immer wieder dazu führt, dass das Neuausstellen vergessen wird.

All das hatte dazu geführt, dass die Browserhersteller sich entschieden, die Sonderbehandlung für EV-Zertifikate abzuschaffen. Sie können zwar weiterhin ausgestellt und gekauft werden, sie führen aber nicht mehr zu einer gesonderten grünen Anzeige im Browser.

Mit QWACs soll nun, so der Vorwurf den beispielsweise Mozilla erhebt, dieses eigentlich längst gescheiterte Konzept wiederbelebt werden. Browser wären verpflichtet, diese speziellen, teureren Zertifikate gesondert darzustellen.

Doch das ist nicht das einzige Problem mit dem Vorschlag. Die QWACs-Zertifikate sollen zudem von Zertifizierungsstellen ausgegeben werden, die sich nicht an die von den Browsern festgelegten Sicherheitsstandards halten müssen.