Ein Zwischenzertifikat ist das Glied, das ein Serverzertifikat mit einer Wurzel verbindet, der ein Browser von sich aus vertraut. Ausstellende Stellen signieren über eine oder mehrere Zwischenstufen und halten ihre Wurzel aus dem Tagesbetrieb heraus. Der Server muss diese Stufen mitliefern.
- Zwischenzertifikat
Das Glied, das ein Serverzertifikat mit der Wurzel verbindet, der ein Browser vertraut.
Beispiel: „Das Zwischenzertifikat fehlte in der Konfiguration, deshalb warnte nur der Browser auf dem Telefon.“Auch: Intermediate Certificate, Zwischenstelle. Die Abfolge aus Serverzertifikat, Zwischenzertifikaten und Wurzel heißt Zertifikatskette.
Abgrenzung zur Wurzel: Die Wurzel liegt im Browser oder im Betriebssystem und wird nicht mitgeschickt. Das Zwischenzertifikat liegt auf dem Server und wird mitgeschickt.
Warum ein fehlendes Zwischenzertifikat nur manchmal auffällt
Weil manche Programme die Lücke selbst schließen. Verbreitete Browser merken sich Zwischenzertifikate aus früheren Besuchen oder laden sie nach; andere tun das nicht. Dasselbe Zertifikat wirkt deshalb auf dem einen Rechner einwandfrei und auf dem anderen ungültig.
Besonders betroffen sind die Stellen ohne Nachsicht: Telefone, Kommandozeilenwerkzeuge, Zahlungsanbieter und alles, was eine Schnittstelle abruft. Genau dort fällt es dann im Betrieb auf und nicht beim Abnahmetest im Büro.
Wie man ein fehlendes Zwischenzertifikat findet
Mit einem Werkzeug, das die Kette von außen prüft, statt mit dem eigenen Browser. Ein Abruf über die Kommandozeile zeigt die gelieferten Stufen; fehlt eine, steht dort eine unvollständige Kette.
Der Blick in den eigenen Browser taugt dafür nicht. Er ist das Werkzeug, das den Fehler am ehesten verdeckt.
Wie das Zwischenzertifikat an seinen Platz kommt
Es wird zusammen mit dem Serverzertifikat in eine Datei geschrieben, zuerst das eigene, darunter die Zwischenstufen. Viele Anbieter liefern diese Datei fertig als Bundle; wer einzeln herunterlädt, setzt sie selbst zusammen.
Wer über ACME ausstellt, bekommt die Kette ohnehin vollständig, weil die Werkzeuge sie von sich aus mitschreiben. Der Fehler betrifft fast nur Zertifikate, die von Hand eingerichtet wurden.