---
title: "X.509-Zertifikat: Definition | KYA-Glossar"
url: https://knowyouragent.ch/wissen/glossar/x509-zertifikat
lang: de-CH
updated: 2026-10-12
license: © Innopulse Consulting GmbH
---

# X.509-Zertifikat

Ein X.509-Zertifikat ist eine signierte Datenstruktur nach RFC 5280, die einen öffentlichen Schlüssel mit einer Identität verbindet und von einer Zertifikatsstelle ausgestellt wird.

Ein Zertifikat enthält Angaben zum Inhaber, den öffentlichen Schlüssel, die Gültigkeit, den Aussteller und Erweiterungen, etwa zum Verwendungszweck. Die Zertifikatsstelle signiert es; ihr eigenes Zertifikat ist wiederum von einer übergeordneten Stelle signiert, bis zu einem Wurzelzertifikat. Wer der Wurzel vertraut, kann die ganze Kette prüfen.

X.509 ist die Grundlage von TLS, elektronischen Signaturen und Zeitstempeln nach RFC 3161. Für Agenten-Nachweise ist es vor allem bei Zeitstempeln und bei qualifizierten Vertrauensdiensten wichtig.

## Beispiel

Ein [Zeitstempel](https://knowyouragent.ch/wissen/glossar/zeitstempel-rfc-3161) enthält das Zertifikat der Zeitstempelstelle und dessen Kette bis zu einer Zwischenstelle. Die [Prüfstelle](https://knowyouragent.ch/wissen/glossar/pruefstelle) hinterlegt das Wurzelzertifikat als Anker; KYA prüft, ob die Kette dort endet und das Zertifikat für Zeitstempel bestimmt ist.

## Abgrenzung

Ein JWKS listet Schlüssel ohne Identität, ein X.509-Zertifikat verbindet einen Schlüssel mit einer geprüften Identität und einem Aussteller. Ein [Vertrauensanker](https://knowyouragent.ch/wissen/glossar/vertrauensanker) ist das Zertifikat oder der Schlüssel, dem die Prüfstelle ausdrücklich vertraut.

## In der Praxis

- Hinterlegen Sie als Anker nur Wurzel- oder Zwischenzertifikate aus vertrauenswürdiger Quelle.
- Achten Sie auf Gültigkeit und Verwendungszweck der Zertifikate, nicht nur auf die Signatur.
- Bewahren Sie Anker und Zertifikate auf, solange Nachweise geprüft werden müssen.

## Bezug zu KYA

KYA prüft Zertifikatsketten von Zeitstempeln bis zum Anker, den die Prüfstelle als PEM hinterlegt. Ohne Anker meldet der Prüfkern tsa_anchor_not_provided, bei einer Kette ohne passenden Anker tsa_not_trusted.

Zugehöriger Prüfschritt: [Zeitstempel](https://knowyouragent.ch/methode/pruefschritte) (`timestamp_assurance`). Ist der RFC-3161-Zeitstempel gültig, an den Inhalt gebunden und auf einen Anker der prüfenden Stelle rückführbar?

[Jetzt prüfen: passendes Beispiel öffnen](https://knowyouragent.ch/pruefen?beispiel=paket)

## Häufige Fragen

### Was ist ein X.509-Zertifikat?

Eine signierte Datenstruktur, die einen öffentlichen Schlüssel mit einer Identität verbindet. Sie wird von einer Zertifikatsstelle ausgestellt und ist in RFC 5280 beschrieben.

### Was ist eine Zertifikatskette?

Die Folge von Zertifikaten vom Inhaber über Zwischenstellen bis zu einer Wurzel. Jedes Zertifikat ist vom nächsthöheren signiert.

### Wofür braucht KYA X.509?

Vor allem für Zeitstempel nach RFC 3161. Deren Signatur und Zertifikatskette prüft KYA bis zum Anker der Prüfstelle.

### Was bedeutet PEM?

Ein Textformat für Zertifikate und Schlüssel mit Kopf- und Fusszeilen wie BEGIN CERTIFICATE. KYA nimmt Zeitstempel-Anker in diesem Format entgegen.

### Was passiert, wenn ein Zertifikat abgelaufen ist?

Massgebend ist grundsätzlich, ob es zum Zeitpunkt der Signatur gültig war. Ein Zeitstempel kann diesen Zeitpunkt unabhängig belegen, sodass sich das auch später zeigen lässt.

## Quellen

- [RFC 5280: Internet X.509 Public Key Infrastructure](https://www.rfc-editor.org/rfc/rfc5280)
- [RFC 3161: Time-Stamp Protocol](https://www.rfc-editor.org/rfc/rfc3161)

## Verwandte Begriffe

- [Vertrauensanker](https://knowyouragent.ch/wissen/glossar/vertrauensanker)
- [JWKS (JSON Web Key Set)](https://knowyouragent.ch/wissen/glossar/jwks)
- [Qualifizierter Zeitstempel](https://knowyouragent.ch/wissen/glossar/qualifizierter-zeitstempel)
- [Mutual TLS (RFC 8705)](https://knowyouragent.ch/wissen/glossar/mutual-tls)

---
Quelle: https://knowyouragent.ch/wissen/glossar/x509-zertifikat · KYA – Know Your Agent