Was ist eine CSR?
Eine Zertifikatsignierungsanforderung (CSR, Certificate Signing Request) ist die Datei, die Sie an eine Zertifizierungsstelle (CA) senden, um ein SSL/TLS-Zertifikat zu erhalten. Sie enthält Ihren öffentlichen Schlüssel, die Domainnamen, die das Zertifikat abdecken soll, und optional Angaben zu Ihrem Unternehmen. Signiert ist sie mit dem passenden privaten Schlüssel, um zu beweisen, dass Sie ihn besitzen.
Beim Erstellen einer CSR entstehen immer zwei Dateien: die CSR, die Sie in das Bestellformular der CA einfügen, und der private Schlüssel, der auf Ihrem Server bleibt. Die CA signiert Ihren öffentlichen Schlüssel und schickt Ihnen ein Zertifikat zurück, das nur zusammen mit diesem Schlüssel funktioniert.
CSR erstellen: So generieren Sie eine CSR
Geben Sie die Hauptdomain als Common Name ein, etwa example.com, oder *.example.com für ein Wildcard-Zertifikat.
Tragen Sie alle zusätzlichen Domains oder Subdomains ein, die das Zertifikat abdecken soll. Die www-Variante wird automatisch hinzugefügt, sofern Sie das Häkchen nicht entfernen.
RSA 2048 funktioniert überall. ECDSA P-256 ist kleiner und schneller und wird von allen modernen Browsern und Servern unterstützt.
Laden Sie beide Dateien herunter. Fügen Sie die CSR in das Bestellformular Ihrer CA ein und bewahren Sie die .key-Datei sicher auf: Sie brauchen sie, um das Zertifikat zu installieren.
Advertisement
Was gehört in welches CSR-Feld?
Die Hauptdomain, genau so, wie Besucher sie eintippen: example.com oder *.example.com. Ohne https:// und ohne Pfad.
Jeder Name, den das Zertifikat abdecken muss. Browser prüfen nur die SANs, nicht den Common Name, deshalb nimmt der Generator den CN hier immer mit auf.
Ihr offizieller Firmenname, Ort, Bundesland und Land. Domainvalidierte (DV) Zertifikate ignorieren diese Angaben; bei organisationsvalidierten (OV) und Extended-Validation-Zertifikaten (EV) werden sie geprüft.
Der zweistellige ISO-Code, etwa US, GB oder DE. Ausgeschriebene Ländernamen machen die CSR bei den meisten CAs ungültig.
Öffentliche CAs nehmen die OU seit September 2022 nicht mehr in Zertifikate auf, daher lehnen die meisten sie ab oder ignorieren sie.
Wird selten benötigt. Manche CAs lassen sie im Zertifikat ganz weg.
RSA oder ECDSA: Welchen Schlüssel sollten Sie verwenden?
Die sichere Wahl: Jede CA, jeder Server und jeder Client akzeptiert ihn, auch ältere.
Größere Schlüssel verlangsamen jeden TLS-Handshake. Verwenden Sie sie nur, wenn Ihre Richtlinien es verlangen.
Ähnlich stark wie RSA 3072, aber mit einem viel kleineren Schlüssel und schnelleren Handshakes. Von allen modernen Browsern und Servern unterstützt.
Für strengere Richtlinien. Etwas langsamer als P-256, aber immer noch deutlich schlanker als RSA 4096.
Advertisement
So schützen Sie Ihren privaten Schlüssel
Senden Sie den privaten Schlüssel niemals weiter, auch nicht an Ihre Zertifizierungsstelle. Eine CA braucht immer nur die CSR.
Speichern Sie ihn, bevor Sie die Seite verlassen. Er existiert nur in Ihrem Browser, und wir können ihn nicht wiederherstellen. Ohne ihn ist das Zertifikat nutzlos.
Legen Sie ihn mit strengen Zugriffsrechten auf dem Server ab, zum Beispiel mit
chmod 600 example.com.key, sodass nur der Webserver ihn lesen kann.Verwenden Sie für jede Anforderung einen neuen Schlüssel. Falls ein Schlüssel in falsche Hände geraten sein könnte, erstellen Sie eine neue CSR und lassen das Zertifikat neu ausstellen.
Zertifikate werden immer kürzer gültig. Öffentliche TLS-Zertifikate sind seit März 2026 auf 200 Tage begrenzt, und die Grenze sinkt weiter. Wer die Verlängerung mit ACME automatisiert (zum Beispiel mit Certbot), spart Zeit.
Nützliche OpenSSL-Befehle für CSRs
Prüfen Sie Ihre Dateien auf der Kommandozeile, bevor und nachdem das Zertifikat eintrifft:
openssl req -in example.com.csr -noout -text -verifyopenssl req -in example.com.csr -noout -pubkey | openssl sha256
openssl pkey -in example.com.key -pubout | openssl sha256openssl pkcs12 -export -out example.com.pfx -inkey example.com.key -in example.com.crt -certfile ca-bundle.crtAdvertisement
Weitere SSL- und Zertifikat-Tools
Sobald Ihr Zertifikat ausgestellt ist, prüfen Sie es mit diesen kostenlosen Tools: