Was ist ein Code-Signing-Zertifikat? Wozu dient es? Wie beantragt man es?

Im Zeitalter der digitalen Wirtschaft ist Software ein unverzichtbarer Bestandteil des täglichen Lebens und geschäftlicher Aktivitäten geworden. Doch wie können Nutzer angesichts der Verbreitung von Cyberangriffen und Schadsoftware der Software vertrauen, die sie herunterladen? Wie können Entwickler nachweisen, dass die von ihnen entwickelte Software aus vertrauenswürdiger Quelle stammt und seit der Veröffentlichung nicht manipuliert wurde? Code-Signing-Zertifikate (Code Signing Certificate) sind dabei das entscheidende Werkzeug. Was ist also ein Code-Signing-Zertifikat? Wozu dient es? Wie beantragt man es? Dieser Artikel bietet eine umfassende Erklärung.

1. Was ist ein Code Signing Certificate?

Ein Code Signing Certificate (Code Signing Certificate) ist ein digitales Zertifikat, das Softwareentwicklern zur Verfügung gestellt wird, um ihre entwickelten ausführbaren Skripte, Softwarecodes und Inhalte digital zu signieren. Code Signing Certificates dienen der Überprüfung der Identität des Entwicklers und dem Schutz der Integrität des Codes. Wenn Benutzer Software herunterladen, können sie durch die digitale Signatur überprüfen, ob die Softwarequelle vertrauenswürdig ist, und bestätigen, dass die Software und der Code nicht illegal manipuliert oder mit Viren infiziert wurden. Dies schützt Benutzer vor Viren, Schadcode und Spyware und wahrt zugleich die Interessen der Softwareentwickler, sodass Software schnell und sicher im Internet veröffentlicht werden kann.

Code Signing Certificates können verschiedene Dateitypen signieren, wie ausführbare Dateien, Anwendungen und Plugins, Java, MS Office Macro und VBA, Mozilla-Objektdateien sowie Microsoft Silverlight-Anwendungen, darunter insbesondere, aber nicht ausschließlich, die Dateiformate .exe, .dll, .cab, .ocx, .msi, .xpi.

Arten von Code-Signing-Zertifikaten

• Normales Code-Signing-Zertifikat (OV-Code-Signing-Zertifikat): Erfordert eine Telefonverifizierung und die Überprüfung der Unternehmensinformationen. Die Verifizierungsdauer beträgt in der Regel 1–3 Werktage, das Zertifikat wird in Form eines UKEY versandt.
• EV-Code-Signing-Zertifikat (erweitertes Code-Signing-Zertifikat): Erfordert nicht nur eine Telefonverifizierung und die Überprüfung der Unternehmensinformationen, sondern auch das Ausfüllen des Zertifikatsantrags sowie eine abschließende Prüfung. Die Verifizierungsdauer beträgt in der Regel 1–5 Werktage, das Zertifikat wird in Form eines UKEY versandt. Im Unterschied zum OV-Code-Signing-Zertifikat bietet das EV-Code-Signing-Zertifikat sofortigen SmartScreen-Vertrauensstatus und unterstützt das Signieren von Windows-11-Kernelmodus-Treiberdateien sowie die WHQL-Logo-Zertifizierung und die Registrierung eines Azure-AD-Kontos.

2. Wozu dient ein Code-Signing-Zertifikat?

1. Identifiziert die tatsächliche Identität des Entwicklers — Das Code-Signing-Zertifikat wird von einer vertrauenswürdigen Zertifizierungsstelle (CA) nach strenger Überprüfung der tatsächlichen Identität des Entwicklers ausgestellt. Nach der digitalen Signatur des Softwareprogramms mit dem Code-Signing-Zertifikat sind die Identitätsinformationen des Entwicklers sichtbar, wodurch sichergestellt wird, dass die Software von einem vertrauenswürdigen Unternehmen stammt.

2. Verhindert Manipulation des Codes — Das Code-Signing-Zertifikat nutzt digitale Signaturen sowie Public-Key- und Private-Key-Technologie, um eine böswillige Manipulation des Codes zu verhindern und sicherzustellen, dass die vom Benutzer heruntergeladene Software original und unverändert ist. Wird die veröffentlichte Software verändert, weist das System bei der Installation auf ein Sicherheitsrisiko hin.

3. Beseitigt Warnungen vor unbekanntem Herausgeber — Die Verwendung eines Code-Signing-Zertifikats beseitigt die unsichere Warnung vor einem „unbekannten Herausgeber“ und zeigt direkt die Unternehmensinformationen des Herausgebers an, wodurch die Herkunft der Software gekennzeichnet wird und Benutzer sie bedenkenlos herunterladen können.

4. Erlangt SmartScreen-Vertrauensstatus — SmartScreen ist eine von Microsoft bereitgestellte Sicherheitsfunktion, die vor Phishing- oder Schadsoftware-Websites und -Anwendungen sowie dem Download potenziell schädlicher Dateien schützt. Nach der digitalen Signatur des Softwareprogramms mit Code-Signing wird der SmartScreen-Vertrauensstatus erlangt.

5. Erhöht die Downloadzahlen — Die Verwendung eines Code-Signing-Zertifikats beseitigt die unsichere Warnung vor einem „unbekannten Herausgeber“, zeigt direkt die Unternehmensinformationen des Herausgebers an und ermöglicht Benutzern ein bedenkenloses Herunterladen und Installieren, wodurch die Downloadzahlen der Software steigen.

6. Anforderungen der Anwendungsplattformen erfüllen — Plattformen wie Apples App Store, Google Play, der Tencent App Store und 360 Software verlangen eine digitale Signatur der Software. Code-Signing-Zertifikate ermöglichen die digitale Signatur von Anwendungen und erleichtern so deren Verteilung über große Plattformen und App-Stores.

3. Wie beantragt man ein Code-Signing-Zertifikat?

1. Zertifikatstyp auswählen. Entwickler können den passenden Code-Signing-Zertifikatstyp entsprechend ihrem Bedarf und Budget wählen.
2. Daten ausfüllen und einreichen. Geben Sie die Unternehmensdaten an – einschließlich Handelsregisternachweis, Identitätsdaten des gesetzlichen Vertreters, Angaben zum autorisierten Kontakt, Büroadresse und Kontaktdaten – prüfen Sie alles und reichen Sie es ein.
3. CA-Prüfung. Die CA verifiziert die Echtheit des Unternehmens per Telefon und über öffentliche Informationssysteme (z. B. D-U-N-S-Nummer, Handelsregister-Publikationssysteme). Dies dauert in der Regel 1–5 Werktage.
4. U-Key erhalten und verwenden. Nach bestandener CA-Prüfung wird das Code-Signing-Zertifikat als U-Key per Kurier versandt. Nach Erhalt können Sie sofort mit der Signierung von Software beginnen.

4. Verwendung und Anzeige von Code-Signing-Zertifikaten

Nach Erhalt des Code-Signing-U-Keys können Sie unter Windows Signaturwerkzeuge (z. B. SignTool) verwenden, um Softwareprogramme zu signieren.

Nach der Signierung klicken Sie einfach mit der rechten Maustaste auf die Anwendung und wählen nacheinander „Eigenschaften" – „Digitale Signaturen", um Informationen zum Signaturgeber, den Hash-Algorithmus und den Zeitstempel anzuzeigen.

Code-Signing-Zertifikate sind zu einem Schlüsselelement für die sichere Verteilung von Software geworden. Sie sind nicht nur ein technisches Werkzeug, sondern eine zentrale Brücke zum Aufbau digitalen Vertrauens. Für Softwareentwickler und Unternehmen bedeutet das Verständnis von Code-Signing-Zertifikaten sowie deren sinnvolle Auswahl und Nutzung: die wahre Identität des Entwicklers nachzuweisen, Windows-Warnungen vor unbekanntem Herausgeber zu beseitigen, Code-Manipulationen zu verhindern, Markenvertrauen aufzubauen und das Nutzererlebnis zu verbessern.

Wenn Sie weitere Fragen oder Anforderungen haben, können Sie uns kontaktieren, um Unterstützung zu erhalten.