Richtlinien zur Einschränkung der Ausstellung von SSL-Zertifikaten (Regionen usw.)

Die Einschränkungen bei der Ausstellung von SSL-Zertifikaten werden hauptsächlich durch internationale Sanktionsrichtlinien, nationale Vorschriften sowie die Compliance-Anforderungen der Zertifizierungsstellen (CA) gemeinsam bestimmt. Im Folgenden werden die konkret eingeschränkten Regionen und die Ursachenanalyse dargestellt: Beschränkungen durch internationale Sanktionslisten, Beschränkungen durch nationale Vorschriften und Lösungen.

1. Beschränkungen durch internationale Sanktionslisten

Die meisten international führenden CAs (z. B. DigiCert, Sectigo, Let's Encrypt) müssen die Sanktionslisten der USA / EU / Vereinten Nationen einhalten. Für die folgenden Regionen können in der Regel keine Zertifikate ausgestellt werden:

Region/Land	Grund der Einschränkung
Iran	Unter US-Sanktionen (OFAC-Liste)
Nordkorea	Sanktionen der UN und mehrerer Länder, Finanz- und Technologiedienstleistungen verboten
Syrien	US-Sanktionen (Liste zur Unterstützung von Terrorismus)
Krimregion	Nach der Annexion durch Russland wird deren Rechtmäßigkeit international nicht anerkannt
Kuba	Langjähriges US-Handelsembargo (einige CAs lockern möglicherweise begrenzt)

Auswirkungen

• Zertifikatsantrag nicht möglich: Domains oder Organisationen in sanktionierten Regionen können über internationale CAs keine Zertifikate erhalten.
• Zugriffsbeschränkung: Wenn Nutzer HTTPS-Websites in diesen Regionen besuchen, kann es aufgrund fehlender Zertifikate zu Browserwarnungen kommen.

2. Beschränkungen durch nationale Vorschriften

Einige Länder erzwingen gesetzlich die Verwendung lokaler CAs oder bestimmter Verschlüsselungsstandards und schränken dadurch indirekt die Verwendung internationaler Zertifikate ein:

Land	Gesetzliche Anforderungen
China	Websites im Inland müssen inländische Zertifikate (z. B. CFCA, Shanghai CA) verwenden und eine ICP-Registrierung abschließen
Russland	Kritische Branchen (Regierung, Finanzen) müssen Zertifikate mit GOST-Verschlüsselungsstandard verwenden (z. B. CryptoPro)
Indien	Einige Regierungsprojekte schreiben lokale CAs zwingend vor (z. B. eMudhra)
Südkorea	Im Finanzbereich müssen national zertifizierte Zertifikate verwendet werden (z. B. Crosscert)

Auswirkungen

• Compliance-Risiko: Die Verwendung internationaler Zertifikate kann gegen lokale Gesetze verstoßen und zur Sperrung von Diensten oder zu Geldstrafen führen. Technische Einschränkung: Einige lokale Zertifikate unterstützen internationale Standards (z. B. GOST) möglicherweise nicht; zusätzliche Konfiguration ist erforderlich.

3. Einschränkungen für besondere Branchen

Domains in bestimmten sensiblen Branchen (z. B. Militär, Glücksspiel, Inhalte für Erwachsene) können aufgrund der CA-Richtlinien bei der Ausstellung eingeschränkt werden:

Branche	Grund der Einschränkung
Glücksspiel/Lotterie	Verstoß gegen die Baseline-Anforderungen des CA/Browser-Forums (bei einigen CAs zusätzliche Prüfung erforderlich)
Inhalte für Erwachsene	Einige CAs verweigern die Ausstellung oder verlangen eine strenge Identitätsprüfung
Darknet/illegale Aktivitäten	Alle legitimen CAs verweigern die Ausstellung (Domains sind in der Regel .onion oder andere illegale Endungen)

4. Lösungen zur Umgehung der Einschränkungen

Szenario	Lösung
Sanktionierte Regionen	Lokale CA oder selbstsignierte Zertifikate verwenden (manuelles Vertrauen der Nutzer erforderlich, geeignet für interne Systeme)
Einhaltung nationaler Vorschriften erforderlich	Wählen Sie eine lokale CA, die den Vorschriften des Landes entspricht (z. B. CFCA in China, CryptoPro in Russland)
Spezielle Branchen	Suchen Sie eine CA, die diese Branche akzeptiert (z. B. stellt Sectigo Zertifikate für die Glücksspielbranche unter bestimmten Bedingungen aus)

V. Wie überprüft man, ob Einschränkungen bestehen?

• Öffentliche Richtlinien der CA: Sehen Sie sich die Liste der sanktionierten Länder auf der Website der CA an (z. B. die Sanktionsrichtlinie von DigiCert).
• WHOIS-Abfrage: Überprüfen Sie den Ländercode in den Domain-Registrierungsinformationen (z. B. iranische Domains .ir können von der CA blockiert werden).
• Rechtsberatung: Konsultieren Sie die Compliance-Anforderungen des Ziellandes bzw. der Zielbranche.

VI. Häufig gestellte Fragen

Im Folgenden finden Sie einige der derzeit häufig nachgefragten Listen eingeschränkter Regionen und spezifischer CA-Sanktionen. Bei besonderen Firmennamen oder Domains können Sie sich an Ihren Kundenbetreuer wenden.

1. Zu den Ausstellungsregeln für Russland:

   1. Domains mit der Endung .ru: Nur GlobalSign unterstützt die Ausstellung von DV-Zertifikaten für .ru-Domains, alle anderen unterstützen dies nicht.

   2. OV-Zertifikate für russische Unternehmen: (Domain ohne .ru-Kennzeichnung, aber Firmenname mit Russland-Bezug)

      • A. GlobalSign: DV unterstützt, OV nicht möglich
      • B. CFCA: nicht unterstützt
      • C. DigiCert: Kriterium ist, ob der Firmensitz in Russland liegt
      • D. Certum: nicht unterstützt
      • E. Sectigo: Kriterium ist, ob der Firmensitz in Russland liegt, Unternehmen müssen separat geprüft werden

2. Offizielle Beschreibung der Liste eingeschränkter Ausstellungsländer von Sectigo: Hauptsächlich Kuba, Russland, Iran, Nordkorea und andere Länder. Bei Änderungen gilt die offizielle Website oder wenden Sie sich an Ihren Kundenbetreuer.