Metadata
Title
Zertifikate an der Universität Freiburg
Category
international
UUID
ec4028363f1540799387311b92ab42f0
Source URL
https://wiki.uni-freiburg.de/rz/doku.php?id=zertifikate
Parent URL
https://wiki.uni-freiburg.de/rz/doku.php?id=wlan-eduroam
Crawl Time
2026-03-19T05:51:22+00:00
Rendered Raw Markdown

Zertifikate an der Universität Freiburg

Source: https://wiki.uni-freiburg.de/rz/doku.php?id=zertifikate Parent: https://wiki.uni-freiburg.de/rz/doku.php?id=wlan-eduroam

Inhaltsverzeichnis

Zertifikate an der Universität Freiburg

Die Zertifizierungsstelle der Universität Freiburg ist mehr oder weniger ein Proxy zu einer gemeinsam vom GEANT bestimmten Auftragnehmer. Grundsätzlich werden zwei Zertifikatstypen unterschieden: Nutzerzertifikate (für Personen / Mail) und Serverzertifikate (für Dienste).

1. Nutzerzertifikate

Nutzerzertifikate dienen vorrangig der Absicherung von E-Mail-Kommunikation (Signatur und Verschlüsselung). Folgende Varianten werden angeboten:

Empfohlen: IV/OV-Nutzerzertifikate (mit Organisations- und Personendaten)

IV/OV-Nutzerzertifikate werden empfohlen, weil sie ein deutlich höheres Vertrauensniveau bieten als einfache E-Mail-Only-Zertifikate. Durch die einmalige Ausweiskontrolle sind sowohl die Identität der Person als auch die Zugehörigkeit zur Universität verifiziert. Dadurch enthalten die Zertifikate nicht nur eine geprüfte E-Mail-Adresse, sondern auch den echten Namen und die Organisationsdaten. Dies erhöht die Glaubwürdigkeit von digital signierten E-Mails und ist besonders wichtig in der offiziellen Kommunikation, bei Kontakt mit externen Partnern oder in Bereichen, in denen Verbindlichkeit und Nachweisbarkeit eine Rolle spielen. Zudem erleichtern IV/OV-Zertifikate die Zuordnung von Nachrichten und bieten langfristig eine höhere Sicherheit gegen Identitätsmissbrauch.

Die Beantragung erfolgt über das Universitäts-Cert-Portal, die Beantragung über das Portal ist dabei in jedem Schritt selbsterklärend: https://cert.escience.uni-freiburg.de

E-Mail-Only-Zertifikate (ohne Ausweiskontrolle)

E-Mail-Only-Zertifikate verifizieren ausschließlich die Kontrolle über ein bestimmtes E-Mail-Postfach und stellen keine bestätigte Identität der dahinterstehenden Person dar. Entscheidend ist allein, dass die antragstellende Person Zugriff auf die entsprechende Mailadresse hat – weitere persönliche Daten oder eine Ausweisprüfung sind nicht Bestandteil des Prozesses.

Damit eignen sich E-Mail-Only-Zertifikate vor allem für einfache und schnelle Einsatzszenarien, bei denen die technische Absicherung der E-Mail-Kommunikation im Vordergrund steht, jedoch keine überprüfte persönliche Identität nachgewiesen werden muss. Da im Zertifikat nur die E-Mail-Adresse bestätigt wird, bieten sie ein geringeres Vertrauensniveau und sind insbesondere für interne oder weniger formale Kommunikationssituationen geeignet.

Diese Zertifikate könne direkt über das HARICA-Portal bezogen werden: https://cm.harica.gr

Eine Anleitung für die Beantragung im HARCIA-Portal kann hier abgerufen werden: https://wiki.uni-freiburg.de/rz/doku.php?id=harica-nutzerzertifikate

Gruppenzertifikate

Gruppenzertifikate sind speziell für Funktions- und Gruppenadressen gedacht – also E-Mail-Konten, die von mehreren Personen gemeinsam genutzt werden, etwa sekretariat@… oder support@…. Da diese Postfächer keiner einzelnen natürlichen Person gehören, können sie ausschließlich als E-Mail-Only-Zertifikate ausgestellt werden. Eine persönliche Identitätsprüfung wäre hier weder sinnvoll noch möglich, da das Zertifikat nicht eine bestimmte Person bestätigt, sondern ausschließlich die Kontrolle über die gemeinsame Mailbox.

Gruppenzertifikate ermöglichen es mehreren berechtigten Nutzer*innen, E-Mails im Namen der Funktionsadresse sicher zu signieren und zu verschlüsseln. Dadurch wird eine konsistente und vertrauenswürdige Kommunikation gewährleistet – besonders in Bereichen, in denen Teams oder Arbeitsgruppen gemeinsam unter einer zentralen Adresse auftreten. Das kann gleichzeitig sein oder auch bei Übergabe der Funktion an eine neue Person.

Registrierung einer Funktionsadresse

Damit ein Gruppenzertifikat für eine Funktions- oder Gruppenadresse erstellt werden kann, müssen die beteiligten Nutzer*innen, die Zugriff auf dieses Postfach haben sollen, einmalig registriert werden.

Vorgehen:

Inhalt der Registrierungs-E-Mail:

Nach der erfolgreichen Registrierung kann das Gruppenzertifikat im Portal erstellt und abgeholt werden:

Vergleich: Vorteile / Nachteile

Zertifikatstyp Vorteile Nachteile
IV/OV (empfohlen) Verifizierte Person- und Organisationsdaten (zb: Vor- und Nachname) Höheres Vertrauen für offizielle Kommunikation Bis zu drei Mail-Aliase enthalten Einmalige Ausweiskontrolle notwednig
E-Mail-Only Schnelle Ausstellung Keine persönliche Ausweiskontrolle Nur Mailadresse validiert Geringeres Vertrauensniveau Nur maximal ein Mail-Alias bzw. Mail-Adresse enthalten
Gruppenzertifikat Für Funktionsadressen geeignet Mehrere Personen können das Zertifikat nutzen Nur Mailadresse validiert Kein Personenname im Zertifikat

Wege der Identitätsprüfung (IV/OV)

Für die Ausstellung von IV/OV-Nutzerzertifikaten ist eine einmalige Identitätsprüfung erforderlich, da diese Zertifikate neben der E-Mail-Adresse auch personenbezogene und Organisationsdaten enthalten.

Es stehen folgende Prüfwege zur Verfügung:

Nutzer*innen bringen einen gültigen Lichtbildausweis oder Reisepass mit. Der Nutzerservice überprüft die Identität sowie die Zugehörigkeit zur Universität Freiburg. Nach erfolgreicher Kontrolle wird die Freigabe für das IV/OV-Zertifikat erteilt.

Nutzer*innen verknüpfen ihre persönliche BundID mit ihrem HISinOne-Account. Nach Abschluss der Verknüpfung ist eine kurze Mitteilung an den Nutzerservice erforderlich, damit die digitale Verbindung überprüft und freigegeben wird. Auch auf diesem Weg wird die Identität und Zugehörigkeit zur Universität verifiziert.

Kontakt für Fragen oder Freigaben: 📧 pki@rz.uni-freiburg.de

2. Serverzertifikate

Serverzertifikate sichern Web- und andere Dienste, z. B. HTTPS, Mailserver oder interne Dienste. Aufgrund der laufenden Reduktion der maximal erlaubten Gültigkeitsdauer für TLS/SSL-Zertifikate durch das CA/Browser-Forum ist es dringend empfohlen, ACME-gestützte automatisierte Zertifikatsverwaltung zu nutzen. Ohne Automatisierung müssten Zertifikate regelmäßig manuell neu erstellt und auf den Servern eingespielt werden, um die jeweils gültigen Maximallaufzeiten einzuhalten.

Beantragung von Serverzertifikaten kann erfolgen:

Laufzeiten (CA/Browser-Forum Schedule)

Die CA/Browser-Forum-Regelung reduziert die maximal erlaubte Gültigkeitsdauer für öffentliche TLS/SSL-Zertifikate schrittweise. Die verbindliche Zeitplanung lautet (Zertifikate ausgestellt ab dem Datum):

Datum (wirksam ab) Maximale Laufzeit (Subscriber / Server)
Bis 15.03.2026 398 Tage
Ab 15.03.2026 200 Tage
Ab 15.03.2027 100 Tage
Ab 15.03.2029 47 Tage

*Hinweis:* Auch die maximale Dauer, über die Validierungsdaten (z. B. Domain-Validation) wiederverwendet werden dürfen, wird entsprechend reduziert (z. B. 398 → 200 → 100 → 10 Tage für DV-Datenreuse). Ohne automatisierte Erneuerung müssten Administrator*innen diese Fristen manuell überwachen und die Zertifikate rechtzeitig neu erstellen und auf allen Servern einspielen.

ACME (automatisierte Zertifikatsverwaltung)

Wir bieten zwei Möglichkeiten, Serverzertifikate automatisiert über ACME zu beziehen:

Vergleich: ACME-Optionen (Vorteile / Nachteile)

ACME-Methode Vorteile Nachteile
Universitäts-ACME-Proxy Vollständig automatisierte Ausstellung und Erneuerung Keine manuelle Überwachung der Gültigkeit notwendig OV-Daten der Universität Freiburg enthalten Keine Speicherung sensibler EAB-Credentials auf dem Server Nutzung nur aus dem Uni-Netz möglich Kein eigener Account für externe Automatisierung
HARICA-ACME (eigener Account) Eigene ACME-Integration möglich DV-Zertifikate ohne Organisationseintrag „Universität Freiburg“ Nutzung auch außerhalb des Uni-Netzes EAB-Credentials müssen auf dem Server gespeichert werden Nur DV-Zertifikate, keine personenbezogenen Daten verifiziert Maximal drei ACME-Accounts pro Nutzer*in

Eine Anleitung für die Nutzung des ACME-Proxies finden Sie hier: https://wiki.uni-freiburg.de/rz/doku.php?id=acme

Manuelle Zertifikatserstellung

3. Kurze Hinweise / Empfehlungen

4. Kontakt / Portale

Quellen (wichtige Hinweise zur Laufzeit-Änderung)

Zuletzt angesehen: • • • • • • • • • •