Die ACME CAA-Erweiterung wird obligatorisch

26.06.2026 | Petra Alm

Das CA/Browser Forum, ein Zusammenschluss führender Zertifizierungsstellen und Browserhersteller, hat beschlossen, dass ab März 2027 alle Zertifizierungsstellen die ACME-CAA-Erweiterung unterstützen müssen. Dies ist ein wichtiger Schritt hin zu einer sichereren, kryptografisch abgesicherten Domain-Verifizierung und der Ausstellung von TLS/SSL-Zertifikaten. Welche Auswirkungen hat diese Neuerung auf die Zertifikatsausstellung und wie sieht der erweiterte CAA-Eintrag in der Praxis aus?

Wie wurde die Erweiterung des CAA-Eintrags zur Pflicht?

Chrome ist ein langjähriger Befürworter der Automatisierung, und seine Unterstützung ist ein zentrales Thema des sogenannten Root-Programms, in dem Google ab Februar 2026 die Unterstützung von ACME CAA durch die Behörden fordert – mit dem Ziel der Unterstützung der ACME-Automatisierung. Dann hat im Mai 2026 das CA/Browser-Forum in Abstimmung SC-098v2 beschlossen, die Unterstützung des neuen CAA-Eintrags unter den Zertifizierungsstellen zu erweitern, und ab März 2027 verpflichtet alle Behörden zur Unterstützung von ACME CAA vollständig.

Warum war die Änderung notwendig?

Das aktuelle Web-PKI-System ist für gängige Anwendungsfälle ausreichend, zur Absicherung von Websites ohne erhöhtes Bedrohungsrisiko. Bedeutende Websites müssen jedoch im Rahmen des Zertifikatsausstellungsprozesses besser abgesichert werden. Obwohl das Web-PKI-Ökosystem über Jahrzehnte hinweg weiterentwickelt wurde und auf ausgefeilten Regeln und Kontrollen basiert, stößt es in seinem Kern auf zwei Probleme, die den gesamten Prozess zwar vereinfachen, jedoch mit geringeren Sicherheitsanforderungen einhergehen:

• Fehlende Authentifizierung des Antragstellers: Jeder auf der Welt kann ein Zertifikat für eine beliebige Domain beantragen. Wenn der Domain-Verifizierungsprozess erfolgreich durchlaufen wird, stellt die Zertifizierungsstelle das Zertifikat auch ohne Autorisierung durch den Domaininhaber aus.
• Anfälliger Verifizierungsprozess: Zertifizierungsstellen überprüfen bei der Beantragung eines Zertifikats in der Regel die Domain-Inhaberschaft über ungesichertes DNS oder gewöhnlichen HTTP-Verkehr. Jeder, der diesen Verifizierungsprozess beeinflussen kann, kann die Domain-Verifizierung gefährden oder manipulieren.

Wie sieht ein ACME CAA-Eintrag aus?

Die oben genannten Schwächen des Web-PKI-Systems lassen sich durch den Einsatz des Standards Certification Authority Authorization (CAA) beheben, der darauf ausgelegt ist, Domaininhabern die Möglichkeit zu geben, ihre Richtlinien zur Ausstellung von Zertifikaten zu veröffentlichen.

Die grundlegende Version des CAA-Standards ist seit September 2017 verpflichtend. Dieser klassische CAA-Eintrag im DNS erlaubt jedoch lediglich festzulegen, welche Zertifizierungsstelle (z. B. DigiCert) ein Zertifikat für die jeweilige Domain ausstellen darf. Die neue verpflichtende ACME-Erweiterung geht deutlich weiter und ermöglicht es, sehr detaillierte Bedingungen im Eintrag zu definieren. In der Praxis könnte ein solcher erweiterter Eintrag beispielsweise wie folgt aussehen:

example.com. CAA 0 issue "digicert.org;
accounturi=https://acme-v02.api.
digicert.org/acme/acct/1726001367;
validationmethods=dns-01"

Links steht der Domainname, für den wir die Ausstellung von Zertifikaten kontrollieren möchten. Rechts befinden sich drei Variablen:

• Die erste ist der Name der CA, die für die betreffende Domain zur Ausstellung von Zertifikaten berechtigt ist.
• Die zweite Variable ist die Anweisung "accounturi", die die Zertifikatsausstellung ausschließlich auf das angegebene ACME-Konto beschränkt. Da ACME stets Verschlüsselung und eine starke kryptografische Authentifizierung verwendet, stellt der Parameter „accounturi“ sicher, dass nur autorisierte Benutzer Zertifikate für diesen Domainnamen anfordern können. Bei DigiCert können Sie die genaue ID oder URL Ihres ACME-Kontos definieren. Niemand sonst – selbst wenn er einen Teil Ihres Netzwerks kontrolliert – könnte ein Zertifikat in Ihrem Namen generieren, da die Zertifizierungsstelle Anfragen nur von einem kryptografisch verifizierten und abgesicherten Konto des Inhabers akzeptiert.
• Die dritte Anweisung „validationmethods“ beschränkt die Ausstellung von Zertifikaten auf die Verwendung einer einzigen DNS-basierten Validierungsmethode. Aktiviertes DNSSEC (seit März 2026 verpflichtend) stellt sicher, dass die gesamte Verifizierung ausschließlich kryptografisch abgesichert erfolgt.

Der obige Eintrag besagt also: DigiCert darf ein Zertifikat ausschließlich für das ACME-Konto Nr. 1726001367 und ausschließlich über DNS-Verifizierung ausstellen.

Was bedeutet diese Neuigkeit für Sie?

Die neue Erweiterung muss ab dem kommenden Jahr von allen Zertifizierungsstellen auf dem Markt unterstützt werden. Danach liegt es allein bei Ihnen, ob und wann Sie diese fortschrittliche Sicherheitsmaßnahme im DNS konfigurieren.

Quelle: