EndEntityZertifikate

EndEntityZertifikate sind X.509-Zertifikate, die einer konkreten Endpartei zugeordnet sind, etwa einem TLS-Server oder einem Endbenutzer. Sie dienen der Authentisierung, Verschlüsselung und Integrität in Kommunikationsprozessen und unterscheiden sich von Zertifikaten der Zertifizierungsstelle (CA) oder Zwischenzertifikaten, die die Vertrauenskette bilden.

In der PKI bilden EndEntityZertifikate die unterste Ebene der Signaturkette. Sie tragen typischerweise die Erweiterungen Basic Constraints mit CA:FALSE, KeyUsage und ggf. ExtendedKeyUsage, sowie Subject Alternative Name (SAN). Enthalten sind außerdem Subject, Issuer, Public Key, Seriennummer und Gültigkeitszeitraum.

Verwendung erfolgt vor allem in TLS/HTTPS-Umgebungen zum Absichern von Verbindungen, in Client-Zertifikaten für mTLS, in S/MIME-E-Mail-Zertifikaten oder in Code-Signing. Die Ausstellung erfolgt durch eine vertrauenswürdige CA; Client- oder Server-Systeme speichern in ihrer Vertrauenskette das EndEntityZertifikat zusammen mit möglichen Zwischenzertifikaten und dem Root-Zertifikat.

Validierung umfasst Prüfung der Signatur, der Gültigkeitsdauer, des Sperrstatus (CRL, OCSP) und des Zertifikatspfads zum trust anchor. Zertifikate haben eine begrenzte Lebensdauer und müssen regelmäßig erneuert werden. Sperrung erfolgt bei Verlust des privaten Schlüssels oder Verdacht auf Kompromittierung.

Sicherheitshinweise: Der Schutz des privaten Schlüssels des Endbenutzers bzw. Servers ist kritisch. Praktiken wie kurze Gültigkeitszeiträume, regelmäßige Schlüssellaufzeitwechsel, HSM-Einsatz und strikte Zertifikatsprüfung in Anwendungen erhöhen die Sicherheit.

---