Eine Certificate Revocation List (CRL, deutsch: Zertifikatssperrliste) ist eine signierte Liste mit den Seriennummern aller Zertifikate, die eine Zertifizierungsstelle vor ihrem regulären Ablaufdatum widerrufen hat. Wer einem Zertifikat vertraut, muss auch wissen, ob es noch gültig ist — die CRL ist dafür die klassische, offline prüfbare Quelle.
Warum braucht man Widerruf?
Ein Zertifikat kann lange vor seinem Ablaufdatum ungültig werden: Der private Schlüssel wurde gestohlen oder veröffentlicht, die Domain wechselte den Besitzer, oder das Zertifikat wurde versehentlich falsch ausgestellt. In all diesen Fällen muss die PKI den Vertrauensstatus sofort entziehen können — genau dafür existiert der Widerruf (Revocation).
Wie funktioniert eine CRL?
Die Zertifizierungsstelle veröffentlicht die CRL in regelmäßigen Abständen über einen so genannten CRL Distribution Point, dessen Adresse im X.509-Zertifikat als Erweiterung eingetragen ist. Clients laden die Liste herunter, suchen die Seriennummer des zu prüfenden Zertifikats darin und akzeptieren es nur, wenn sie nicht enthalten ist. Da die Liste von der CA signiert ist, kann sie niemand unbemerkt manipulieren.
- Vorteil: Die Prüfung braucht keine Online-Anfrage pro Verbindung — die Liste wird einmal heruntergeladen und gilt für viele Prüfungen.
- Nachteil: Zwischen zwei Veröffentlichungen ist die Liste veraltet; frisch widerrufene Zertifikate fallen erst mit der nächsten CRL auf.
- Größe: Große CAs führen Millionen Seriennummern; Delta-CRLs (RFC 5280) listen nur die Änderungen seit der letzten vollständigen Liste.
- Aufräumen: Abgelaufene Zertifikate werden aus der CRL entfernt, weil sie ohnehin nicht mehr akzeptiert werden.
CRL im Jahr 2025
Die Zertifizierungsstelle Let's Encrypt kündigte im Dezember 2024 an, den OCSP-Dienst vollständig einzustellen und nur noch auf CRLs zu setzen. Seit August 2025 enthalten Let's-Encrypt-Zertifikate keine OCSP-Responder-URL mehr; der Widerrufsstatus ist ausschließlich über CRLs verfügbar. Damit ist die CRL für etwa die Hälfte aller aktiven TLS-Zertifikate im Web wieder das primäre Widerrufsverfahren.
Verwandte Grundlagen: OCSP, Zertifikatskette, PKI, TLS-Handshake.