Zertifikate, die jemand geprüft hat.

Für eine normale Website ja. In ThurWeb ist ein Zertifikat von Let's Encrypt enthalten, es wird selbstständig erneuert und verschlüsselt genauso stark wie ein gekauftes. Ein geprüftes Zertifikat brauchen Sie erst, wenn Ihr Unternehmen als Antragsteller überprüft werden soll, wenn ein Wildcard-Zertifikat auf einem System ohne Automatisierung laufen muss, oder wenn Sie E-Mails oder Software signieren.

Nicht die Verschlüsselung — die ist bei allen drei gleich. Unterschiedlich ist, was vor der Ausstellung geprüft wird. Bei DV nur die Kontrolle über die Domain, das dauert Minuten. Bei OV zusätzlich die Existenz des Unternehmens über Handelsregister und Rückruf, das dauert ein bis drei Arbeitstage. Bei EV läuft die strengste Prüfung nach den Vorgaben des CA/Browser Forums, das dauert mehrere Tage. Der Firmenname steht bei OV und EV im Zertifikat und ist beim Anklicken des Schlosssymbols sichtbar.

Nein. Die grüne Adressleiste mit Firmennamen haben die Browser 2019 entfernt. Wer heute ein EV-Zertifikat kauft, tut das für die Prüftiefe und weil eine Richtlinie es verlangt — nicht für ein sichtbares Merkmal im Browser. Wir sagen das lieber vorher, als dass Sie es hinterher merken.

Nein. Weder die Platzierung bei Suchmaschinen noch eine besondere Anzeige im Browser hängen heute an der Prüfstufe, und verschlüsselt wird auf allen Stufen gleich stark. Auch die oft genannten Garantiesummen sind kein Kaufargument: Sie decken den Inhaber gegen Fehler der Zertifizierungsstelle ab und kommen in der Praxis so gut wie nie zum Tragen. Wir empfehlen die kleinste Stufe, die Ihren Zweck erfüllt.

Wenn viele Subdomains abgedeckt sein müssen und die automatische Erneuerung nicht überall läuft — typisch bei Appliances, Altsystemen und internen Diensten. Ein Wildcard-Zertifikat deckt alle Subdomains einer Domain mit einer einzigen Datei ab, die Sie überall gleich einspielen.

Ein Einzelzertifikat gilt für eine Domain samt www. Ein Wildcard-Zertifikat deckt alle Subdomains einer Domain ab, zum Beispiel *.ihre-domain.ch. Ein Multi-Domain-Zertifikat fasst mehrere verschiedene Namen in einem Zertifikat zusammen.

Um E-Mails zu signieren und auf Wunsch Ende zu Ende zu verschlüsseln. Die Signatur belegt dem Empfänger, dass die Nachricht von Ihrer Adresse stammt und unterwegs nicht verändert wurde, ein wirksames Mittel gegen gefälschte Rechnungen in Ihrem Namen. Das Zertifikat gehört in Ihr Mailprogramm und funktioniert unabhängig davon, wo Ihr Postfach liegt, auch mit ThurMail Business; zum Verschlüsseln braucht auch die Gegenseite ein Zertifikat.

Wenn Sie Windows-Software ausliefern. Ohne Signatur warnt Windows beim Start vor einem unbekannten Herausgeber, und viele Unternehmen lassen unsignierte Programme gar nicht erst zu. Mit einer Signatur steht Ihr geprüfter Firmenname am Programm. Seit Juni 2023 muss der Schlüssel dabei auf zertifizierter Hardware liegen, also auf einem Hardware-Token oder in einem HSM.

In den meisten Fällen nicht. Der klassische Grund für EV war, dass es die SmartScreen-Warnung sofort umgeht — das gilt seit Microsofts Trusted-Root-Update vom August 2024 nicht mehr. OV und EV stehen bei Microsoft in derselben Zeile. EV bleibt sinnvoll für Kernelmodus-Treiber und dort, wo eine Beschaffungsrichtlinie es verlangt. Wir beraten von OV aus und begründen EV nur, wenn es einen Grund gibt.

Von DigiCert, Thawte, Sectigo (Comodo) und RapidSSL. Innerhalb jeder Stufe stehen mehrere zur Wahl; sie unterscheiden sich in Preis, Ausstellungsdauer und Zusatzleistungen. Die Rechnung stellen wir in Schweizer Franken.

Bei DV wenige Minuten nach der Domainprüfung. Bei OV ein bis drei Arbeitstage, weil das Unternehmen überprüft wird. Bei EV mehrere Tage. Wie schnell es geht, hängt vor allem davon ab, wie rasch Rückfragen der Zertifizierungsstelle beantwortet werden — deshalb klären wir die nötigen Unterlagen vorher mit Ihnen.

Gebucht wird für ein Jahr, auf Wunsch zwei oder drei Jahre im Voraus. Das Zertifikat selbst gilt kürzer: Webserver-Zertifikate seit 15.03.2026 höchstens 200 Tage, ab 15.03.2027 100 Tage und ab 15.03.2029 47 Tage. Innerhalb der gebuchten Laufzeit wird es neu ausgestellt und auf dem Server ersetzt.

Nein. Der private Schlüssel entsteht auf Ihrem System und verlässt es nie; wir sehen nur die Zertifikatsanforderung (CSR) mit Domain- und Firmenangaben. Bei Code Signing entsteht der Schlüssel direkt auf der zertifizierten Hardware.

Ja, auf Wunsch. Sie spielen das Zertifikat selbst ein oder mit uns, auf Webservern, Appliances oder im Mailprogramm, inklusive der Frage, wo überall dieselbe Datei noch hin muss. Auf ThurWeb-Hosting geht es direkt im Kundenbereich.

Ja. Vor dem Ablauf erhalten Sie eine Erinnerung, danach wird das Zertifikat mit derselben Identität neu ausgestellt. Bei OV und EV wiederholt die Zertifizierungsstelle dabei die Prüfung des Unternehmens.

Ja, und zwar ohne Unterbruch. Zertifikate werden nicht übertragen, sondern neu ausgestellt: Sie bestellen bei ThurData, durchlaufen die Prüfung und spielen das neue Zertifikat ein, solange das alte noch gültig ist. Am besten vier bis sechs Wochen vor dem Ablauf beginnen — dann bleibt Zeit für die Rückfragen der Zertifizierungsstelle.