Schweiz·Deutsch CH · DE

Das Land bestimmt die rechtlichen Vorgaben der Prüfung, die Sprache nur die Texte.

Website checken

Erlaubte Zertifikatsstellen (CAA)

Legt die Domain fest, welche Stellen Sicherheitszertifikate für sie ausstellen dürfen?

Aktualisiert am 18.10.2026

Was wir prüfen

Wir fragen die öffentlichen DNS-Einträge der Domain nach einem CAA-Eintrag ab. Er nennt die Zertifikatsstellen, etwa Let's Encrypt, Sectigo oder DigiCert, die Zertifikate für die Domain ausstellen dürfen. Fehlt er, geben wir einen Hinweis. Ist er vorhanden, zeigen wir im Bericht die erlaubten Stellen.

Warum das wichtig ist

Ein Zertifikat beweist dem Browser, dass eine Website wirklich zu dieser Domain gehört. Ausgestellt wird es von einer Zertifikatsstelle, nachdem sie geprüft hat, dass der Antragsteller die Domain kontrolliert.

Ohne CAA-Eintrag darf jede der weltweit über hundert Zertifikatsstellen ein Zertifikat für die Domain ausstellen. Gelingt es einem Angreifer, eine davon zu täuschen, etwa durch einen gefälschten Nachweis, erhält er ein gültiges Zertifikat. Damit kann er eine täuschend echte Kopie der Website mit Schloss-Symbol betreiben.

Der CAA-Eintrag schränkt das auf die Stellen ein, die tatsächlich genutzt werden. Alle anderen sind verpflichtet, den Eintrag zu prüfen und die Ausstellung zu verweigern. Er ist eine zusätzliche Sicherung, kein Muss.

So behebst Du es

  1. Zertifikatsstelle herausfinden. Klick im Browser auf das Symbol links neben der Adresse und öffne die Angaben zum Zertifikat. Unter «Ausgestellt von» steht die Stelle, z.B. «Let's Encrypt» oder «Sectigo».
  2. CAA-Eintrag anlegen. Leg beim DNS-Anbieter einen Eintrag vom Typ CAA auf der Domain an:
beispiel.ch.  CAA  0 issue "letsencrypt.org"

Nutzt Du mehrere Stellen, leg für jede einen eigenen Eintrag an. Optional kannst Du eine Adresse für Meldungen angeben:

beispiel.ch.  CAA  0 iodef "mailto:it@beispiel.ch"
  1. Bei Anbieterwechsel anpassen. Ziehst Du mit der Website zu einem anderen Hoster oder Baukasten um, prüfe, welche Zertifikatsstelle er verwendet, und ergänze sie vor dem Umzug.

Website-Baukästen

Bei Wix, Squarespace und ähnlichen Diensten stellt der Anbieter das Zertifikat aus. Frag den Support, welche Zertifikatsstelle er verwendet, bevor Du einen CAA-Eintrag setzt.

So prüfst Du es selbst

Online-Werkzeuge wie «DNS Lookup» von mxtoolbox.com oder dnschecker.org zeigen die CAA-Einträge einer Domain, wenn Du den Typ «CAA» wählst.

Häufige Fragen

Kann ein CAA-Eintrag eine Website lahmlegen?

Nicht sofort. Er wirkt erst, wenn ein neues Zertifikat ausgestellt wird. Fehlt dort die Stelle des Hosters, schlägt die nächste Erneuerung fehl. Darum nach jedem Anbieterwechsel den Eintrag prüfen.

Wie stark zählt CAA in der Note?

Wenig, höchstens 5 von 100 Punkten im Bereich Sicherheit. Es ist eine zusätzliche Absicherung, die viele kleinere Websites nicht haben.

Jetzt eine Website prüfen

Wir prüfen «Erlaubte Zertifikatsstellen (CAA)» und alle anderen Punkte in wenigen Minuten, kostenlos und ohne Anmeldung.

Verwandte Themen