OCSP (Online Certificate Status Protocol)

OCSP (Online Certificate Status Protocol, RFC 6960) ist ein Protokoll zur Echtzeit-Überprüfung des Widerrufsstatus eines elektronischen Zertifikats durch Abfrage eines OCSP-Responders, der von der Zertifizierungsstelle betrieben wird. Warum Widerruf wichtig ist: Ein Zertifikat kann zeitlich gültig sein, aber vorzeitig widerrufen werden (Schlüsselkompromittierung, Mitarbeiteraustritt); eine Signatur oder TLS-Verbindung muss daher den Status überprüfen, nicht nur das Ablaufdatum. OCSP versus CRL: OCSP ist eine leichtere und reaktivere Alternative zu einer CRL — anstatt die gesamte Widerrufsliste herunterzuladen, fragt der Client ein einzelnes Zertifikat ab und erhält eine prägnante signierte Antwort (gültig / widerrufen / unbekannt). OCSP Stapling: Um eine Datenschutzlecks und einen zusätzlichen Roundtrip zu vermeiden, ruft der Server seine eigene OCSP-Antwort ab und "heftet" sie in den TLS-Handshake ein, sodass der Browser die ZS niemals direkt kontaktiert. In signierten Dokumenten: OCSP-Antworten werden zum Zeitpunkt der Signatur in das PDF integriert für Langzeitvalidierung (LTV), damit die Signatur jahrelang überprüfbar bleibt, auch wenn der Responder offline ist.