Zusammenfassung: OV- und EV-Code-Signaturzertifikate von SSL erfordern vor der Ausstellung eine unabhängige Überprüfung der Identität, Adresse und Telefonnummer Ihres Unternehmens. Diese Überprüfung setzt voraus, dass Ihr Unternehmen in einer anerkannten, unabhängigen Datenquelle, einer sogenannten qualifizierten unabhängigen Informationsquelle (QIIS), aufgeführt ist. Die Dun & Bradstreet DUNS-Nummer ist die bevorzugte QIIS von SSL, da die umfassenden und ständig aktualisierten Unternehmensprofile es Prüfstellen ermöglichen, Ihre Angaben schnell zu bestätigen und so die Ausstellungszeit häufig zu verkürzen.
Dieser Artikel behandelt die Funktionsweise von DUNS-Nummern, was Sie vor Ihrer Bestellung überprüfen sollten, wie zuverlässig die Autorisierungsanforderung für die Bestellung mit Ihrem Unternehmenseintrag verknüpft ist und welche zusätzlichen Schritte für EV-Code-Signatur-Zertifikate gelten.
Wenn Sie sich für eine bewerben OV-Codesignatur or EV-Code-Signierung Bei SSL-Zertifikaten erfordert der Validierungsprozess mehr als nur einen Kauf und ein paar Klicks. Im Gegensatz zu Domain-validierten (DV) SSL-Zertifikaten/TLS Zertifikate bestätigen lediglich die Kontrolle über einen Domainnamen. Codesignaturzertifikate hingegen benötigen SSL, um die Identität und Legitimität der Organisation oder Person hinter dem Signaturschlüssel zu verifizieren. Genau das verleiht signierter Software ihren Wert: Endnutzer und Betriebssysteme können darauf vertrauen, dass der Code von einer realen und vertrauenswürdigen Instanz stammt.
Ein zentraler Bestandteil dieses Verifizierungsprozesses hängt von einem einzigen Kriterium ab: Kann Ihr Unternehmen über eine anerkannte, öffentlich zugängliche Datenquelle gefunden und bestätigt werden? Dieser Leitfaden erläutert, wie die DUNS-Nummer und andere qualifizierte Unternehmenseinträge in diesen Prozess einfließen und was Sie vor der Einreichung Ihres Zertifikatsantrags beachten sollten.
Warum eine Unternehmensverifizierung für die Codesignierung erforderlich ist
Code-Signatur-Zertifikate dienen nicht nur der Verschlüsselung einer Verbindung. Sie verknüpfen eine kryptografische Signatur mit der Identität Ihres Unternehmens, die Endbenutzern bei der Installation oder Ausführung Ihrer Software angezeigt wird. Kann eine vertrauenswürdige dritte Partei diese Identität nicht unabhängig bestätigen, kann das Zertifikat nicht ausgestellt werden.
SSL ist als öffentlich vertrauenswürdige Zertifizierungsstelle (CA) gemäß Branchenstandards verpflichtet, die Identität, die physische Adresse und eine zuverlässige Kommunikationsmethode jeder Organisation zu überprüfen, die ein OV- oder EV-Zertifikat erhält. Insbesondere bei der Codesignierung ist dieser Überprüfungsschritt vor der Ausstellung eines Zertifikats ausnahmslos obligatorisch. Während der Validierung der OV- oder EV-Codesignierung wird kein Platzhalterzertifikat ausgestellt. Daher ist es ratsam, Ihre Unternehmensinformationen vor Beginn des Prozesses vollständig bereitzuhalten.
Was ist ein QIIS?
Die Qualifizierte unabhängige Informationsquelle (QIIS) QIIS ist eine öffentlich zugängliche Datenbank, die regelmäßig aktualisiert wird und für die Identitätsprüfung als zuverlässig gilt. Zertifizierungsstellen nutzen QIIS-Datensätze, um unabhängig zu bestätigen, dass die von einem Zertifikatsantragsteller angegebenen Daten, wie z. B. Name, Adresse und Telefonnummer der Organisation, mit den bei einem seriösen Drittanbieter gespeicherten Daten übereinstimmen.
Das Schlüsselwort ist hier „unabhängig“. SSL kann sich nicht einfach auf Ihre Angaben verlassen und auch nicht ausschließlich auf von Ihnen bereitgestellte Dokumente. Ein QIIS muss eine Quelle sein, über die SSL keine Kontrolle hat, die ihre Datensätze regelmäßig aktualisiert und die von der Zertifizierungsstelle/dem Browserforum zu Validierungszwecken als vertrauenswürdig anerkannt wird.
Die DUNS-Nummer: Der bevorzugte Verifizierungspfad von SSL
Unter allen von SSL akzeptierten qualifizierten Datenquellen ist die Dun & Bradstreet DUNS-Nummer ist die bevorzugte Option sowohl für die OV- als auch für die EV-Validierung. DUNS steht für Data Universal Numbering System und ist eine neunstellige Kennung, die von Dun & Bradstreet (D&B) einzelnen Unternehmensstandorten zugewiesen wird. Weltweit sind über 500 Millionen Unternehmen in der D&B-Datenbank verzeichnet, und bedeutende Institutionen, Regierungsbehörden und Wirtschaftsprüfer erkennen die D&B-Einträge durchweg als maßgebend an.
Für das Validierungsteam von SSL erfüllt eine DUNS-Nummer zwei Funktionen. Erstens bietet sie einen direkten Zugriff auf ein umfassendes, verknüpftes Unternehmensprofil mit Ihrem Firmennamen, Ihrer Geschäftsadresse, Telefonnummer/E-Mail-Adresse und Ihrem Betriebsstatus. Zweitens reduziert die ständige Aktualisierung der D&B-Datenbank und ihr hohes Ansehen in der Geschäftswelt den Aufwand, der sonst bei der Beschaffung zusätzlicher Dokumente durch die Validierungsagenten entsteht.
Die Angabe einer gültigen DUNS-Nummer bei der Zertifikatsbestellung kann den Ausstellungsprozess deutlich beschleunigen. Sie können Ihre DUNS-Nummer direkt im Bereich „Firmendetails“ Ihres SSL-Kontoportals während des Bestellvorgangs eingeben.
Beantragung Ihrer DUNS-Nummer
Falls Ihre Organisation noch keine DUNS-Nummer besitzt, können Sie diese kostenlos über die Website von Dun & Bradstreet anfordern unter dnb.comDie Standardbearbeitung dauert in der Regel einige Werktage. Expressoptionen sind gegen Gebühr verfügbar, falls Sie die Nummer schneller benötigen.
Wenn Ihr Unternehmen bereits über eine DUNS-Nummer verfügt, diese aber noch nie beansprucht hat, sind die gespeicherten Informationen möglicherweise unvollständig oder veraltet. Dies gilt insbesondere, wenn der Datensatz automatisch von einem Drittanbieter generiert und nicht direkt von Ihrem Unternehmen übermittelt wurde. Bevor Sie Ihre DUNS-Nummer zur Zertifikatsvalidierung verwenden, melden Sie sich im Self-Service-Portal von D&B an und überprüfen Sie die Richtigkeit der folgenden Felder:
- Juristischer Firmenname (genau so, wie es in den amtlichen Melderegistern erscheint)
- Physikalische Adresse (Kein Postfach; eine nachweisbare Straßenadresse ist erforderlich)
- Geschäftliche Telefonnummer (Dies ist die Nummer, die SSL zur Callback-Verifizierung verwendet.)
- Geschäftsstatus (aktiv und in gutem Ansehen)
Eine Diskrepanz zwischen Ihrem DUNS-Datensatz und den Angaben in Ihrer Zertifikatsbestellung ist eine der häufigsten Ursachen für Verzögerungen bei der Validierung. Wenn Sie sich vor der Bestellung 15 Minuten Zeit nehmen, um Ihr D&B-Profil zu prüfen, können Sie sich mehrere Tage Nachbearbeitung ersparen.
Die Auftragsermächtigung und warum Ihre Telefonnummer/öffentliche E-Mail-Adresse wichtig ist
Sowohl für OV- als auch für EV-Codesignaturzertifikate ist SSL erforderlich, um eine Verifizierung mit Ihrer Organisation durchzuführen. Diese Kommunikation muss an eine Telefonnummer oder E-Mail-Adresse gesendet werden, die in einer unabhängigen, verifizierbaren Quelle aufgeführt ist. Das bedeutet, dass die Telefonnummer oder E-Mail-Adresse in Ihrem DUNS-Eintrag (oder einer anderen qualifizierten Informationsquelle) verwendet werden muss, damit SSL Sie erfolgreich erreichen kann.
Wenn Ihre angegebene Telefonnummer zu einer nicht mehr vergebenen Leitung, einer allgemeinen Voicemail oder einem Anrufbeantworter führt, der Ihre Identität nicht bestätigen kann, oder wenn die E-Mail-Adresse inaktiv oder unbeaufsichtigt ist, kann die Verifizierungsanforderung nicht erfüllt werden und der Validierungsprozess wird unterbrochen.
Bitte stellen Sie sicher, dass die in Ihren Geschäftsunterlagen angegebene Telefonnummer und/oder E-Mail-Adresse von einer Person erreicht werden kann, die berechtigt ist, Zertifikatsanfragen im Namen Ihrer Organisation zu bestätigen.
OV-Codierung: Zusätzlicher Hinweis für neuere Organisationen
Bei OV-Codesignaturzertifikaten ist für Organisationen, die weniger als drei Jahre bestehen, zusätzlich ein Scan des amtlichen Lichtbildausweises des Zertifikatsantragstellers erforderlich. Dies dient als zusätzliche Verifizierungsebene für jüngere Unternehmen mit kürzerer Geschäftshistorie und gilt unabhängig vom verwendeten QIIS für die primäre Validierung.
EV-Codierung: Ein höherer Standard
Extended Validation (EV) Code Signing-Zertifikate unterliegen den strengsten Identitätsanforderungen aller Code-Signatur-Produkte. Neben der Überprüfung des Firmennamens, der Adresse und der Telefonnummer Ihres Unternehmens bestätigt der SSL-Prüfprozess für EV-Zertifikate die operative Existenz, gegebenenfalls Handelsnamen oder Firmennamen sowie die Befugnis der Person, die die EV-Antragsformulare unterzeichnet.
Speziell für EV müssen Antragsteller zusätzlich eine unterzeichnete Kopie der EV-Teilnehmervereinbarung einreichen. Die DUNS-Nummer oder ein alternativer QIIS-Eintrag dient als eines von zwei erforderlichen Dokumenten. Alternativ kann für das dritte Dokument ein Unternehmensprofil aus einer anderen qualifizierten Quelle, wie z. B. ZoomInfo oder OpenCorporates, oder eine Bestätigung eines zugelassenen Rechtsanwalts, Steuerberaters oder Notars eingereicht werden.
Weitere akzeptierte Firmeneinträge
Falls Ihre Organisation keine DUNS-Nummer besitzt oder Dun & Bradstreet für Ihre Region keinen Eintrag führt, akzeptiert SSL zahlreiche andere QIIS-Quellen zur OV- und EV-Validierung. Dazu gehören nationale und regionale Unternehmensregister, juristische und handelsbezogene Datenbanken sowie andere kommerziell geführte Verzeichnisse. Eine unvollständige Liste umfasst unter anderem staatliche Unternehmensportale wie Companies House (UK), das kalifornische Secretary of State, die Florida Division of Corporations, die Delaware Division of Corporations, OpenCorporates und ZoomInfo.
Für Organisationen außerhalb der USA sind länderspezifische Registrierungsstellen oft die beste Lösung. Das Validierungsteam von SSL kennt sich mit Registrierungsstellen in Dutzenden von Ländern aus und hilft Ihnen gerne, die optimale Quelle für Ihre Region zu finden.
Wenn Ihr Eintrag in einem seriösen Branchenverzeichnis erscheint, das nicht auf der Liste der von SSL vorab genehmigten Einträge steht, können Sie einen Link zu Ihrem Eintrag zur Überprüfung einreichen. Das Validierungsteam von SSL prüft diesen Fall individuell und entscheidet über eine mögliche Genehmigung.
Tipps für einen reibungsloseren Validierungsprozess
Es gibt einige einfache Schritte, die Sie unternehmen können, um unnötige Verzögerungen bei der Beantragung eines Codesignaturzertifikats zu vermeiden:
Überprüfen Sie Ihren Firmeneintrag, bevor Sie bestellen. Unabhängig davon, ob Sie D&B, ein Regierungsregister oder eine andere Quelle nutzen, vergewissern Sie sich, dass Ihr rechtlicher Name, Ihre Adresse und Ihre Telefonnummer in allen Quellen aktuell und einheitlich sind.
Verwenden Sie den exakten juristischen Namen. Der Firmenname auf Ihrer Zertifikatsbestellung muss mit dem in Ihrem QIIS-Datensatz übereinstimmen. Handelsnamen, informelle Abkürzungen oder andere Geschäftsbezeichnungen können zu Abweichungen führen, die zusätzliche Unterlagen zur Behebung erfordern.
Stellen Sie sicher, dass Ihre Telefonnummer/E-Mail-Adresse erreichbar ist. Die Autorisierung der Bestellung über einen öffentlich zugänglichen Kommunikationsweg ist ein obligatorischer Schritt. Die in Ihrem Unternehmenseintrag angegebene Telefonnummer oder E-Mail-Adresse muss eine Person erreichen, die den Zertifikatsantrag bestätigen kann.
Planen Sie Bearbeitungszeiten ein, wenn Sie D&B-Datensätze aktualisieren. Änderungen an einem D&B-Eintrag können mehrere Werktage dauern, bis sie wirksam werden. Falls Sie Ihren Eintrag aktualisieren müssen, tun Sie dies bitte vor der Zertifikatsbestellung, nicht danach.
Nächste Schritte
Wenn Sie bereit sind, ein OV- oder EV-Code-Signatur-Zertifikat zu beantragen, können Sie den Bestellvorgang direkt über Ihr SSL-Konto starten. Bei Fragen zum für Sie passenden Validierungsweg oder wenn Sie Hilfe beim Auffinden Ihres Unternehmenseintrags benötigen, steht Ihnen das Support-Team von SSL per E-Mail zur Verfügung. Support@SSL.com oder indem Sie live mit uns chatten, und zwar in der unteren rechten Ecke dieser Seite.
Eine vollständige Liste der akzeptierten Unternehmenseinträge und QIIS-Quellen finden Sie unter SSLs Akzeptable Brancheneinträge zur Validierung.
