DER ↔ PEM Converter

Zwischen der und pem Zertifikatformaten konvertieren

PEM Input

DER Output

Enter data to convert between PEM and DER formats

Der DER/PEM-Konverter transformiert Zertifikate, Schlüssel und CSRs zwischen DER- (binär) und PEM- (Base64-ASCII) Kodierungsformaten -- sodass Sie sich die openssl x509 -inform/-outform-Befehlssyntax nicht merken müssen, wenn Sie zwischen Windows-, Linux- und Java-Umgebungen wechseln. Laden Sie eine DER-Datei hoch oder fügen Sie PEM-Text ein und erhalten Sie die konvertierte Ausgabe sofort.

DER- und PEM-Formate verstehen

Wenn Sie mit Zertifikaten auf verschiedenen Plattformen gearbeitet haben, sind Sie unweigerlich auf das Format-Problem gestoßen. Windows exportiert Zertifikate im DER-Binärformat. Apache und nginx erwarten PEM-Textdateien. Javas keytool spricht DER, aber die meisten Konfigurationsanleitungen zeigen PEM. Ihr Kollege hat Ihnen eine .cer-Datei geschickt und Sie haben keine Ahnung, ob es DER oder PEM ist, weil die Dateiendung mehrdeutig ist. All dies sind Varianten derselben zugrundeliegenden Zertifikatsdaten, nur unterschiedlich kodiert.

DER (Distinguished Encoding Rules) ist die rohe binäre Darstellung der ASN.1-Datenstruktur des Zertifikats. Es ist kompakt, eindeutig und die kanonische Kodierung -- aber es ist in einem Texteditor vollkommen unlesbar und kann nicht sicher in E-Mails, Chat-Nachrichten oder Konfigurationsdateien kopiert werden. PEM (Privacy-Enhanced Mail) löst dies, indem es die DER-Bytes in Base64-Kodierung umhüllt und Header-/Footer-Zeilen wie -----BEGIN CERTIFICATE----- hinzufügt. Das Ergebnis ist etwa 33 % größer, funktioniert aber überall: Sie können es in ein Terminal einfügen, per E-Mail versenden, in eine YAML-Datei einbinden oder mehrere Zertifikate zu einer einzigen Kettendatei zusammenfügen.

Dieser Konverter behandelt beide Richtungen. Geben Sie ihm eine DER-Binärdatei und er erzeugt PEM-Text, den Sie kopieren können. Geben Sie ihm PEM-Text und er erzeugt eine DER-Datei, die Sie herunterladen können. Er erkennt den Inhaltstyp automatisch (Zertifikat, privater Schlüssel, CSR oder öffentlicher Schlüssel) und wendet den korrekten PEM-Header/Footer an. Sie müssen sich nicht merken, ob es openssl x509, openssl rsa oder openssl req mit den richtigen -inform- und -outform-Flags ist.

So konvertieren Sie zwischen DER und PEM

Für DER zu PEM: Laden Sie Ihre binäre .der-, .cer- oder .crt-Datei hoch oder ziehen Sie sie per Drag-and-Drop
Für PEM zu DER: Fügen Sie den PEM-Text einschließlich der -----BEGIN/END------Zeilen ein
Der Konverter erkennt automatisch das Eingabeformat und den Inhaltstyp (Zertifikat, Schlüssel oder CSR)
Kopieren Sie die PEM-Ausgabe oder laden Sie die DER-Binärdatei herunter

Vergleich der Formate DER vs. PEM

Eigenschaft	DER	PEM
Kodierung	Binär	Base64-ASCII
Dateigröße	Kleiner (rohe Bytes)	~33 % größer (Base64-Overhead)
Menschenlesbar	Nein	Ja (im Texteditor anzeigbar)
Sicher zum Kopieren/Einfügen	Nein	Ja
Sicher für E-Mail	Nein	Ja
Mehrere Objekte pro Datei	Nein (nur ein Objekt)	Ja (Verkettung)
Gängige Dateiendungen	`.der`, `.cer`	`.pem`, `.crt`, `.cer`

Konvertierungsbeispiel

PEM zu DER

Eingabe (PEM):

-----BEGIN CERTIFICATE-----
MIIFjTCCBHWgAwIBAgISA0M4rfJGaXD0dC/jC+/SUoZfMA0GCSqGSIb3
DQEBCwUAMDIxCzAJBgNVBAYTAlVTMRYwFAYDVQQKEw1MZXQncyBFbmNy
...base64 data...
-----END CERTIFICATE-----

Ausgabe: Binäre .der-Datei zum Download (typischerweise 1--2 KB für ein Leaf-Zertifikat)

DER zu PEM

Eingabe: Binäre .der-Datei hochladen

Ausgabe (PEM):

-----BEGIN CERTIFICATE-----
MIIFjTCCBHWgAwIBAgISA0M4rfJGaXD0dC/jC+/SUoZfMA0GCSqGSIb3
...base64 encoded content...
-----END CERTIFICATE-----

Wann dieses Tool verwenden

Migration von Windows zu Linux -- Windows Certificate Store exportiert im DER-Format; Apache und nginx benötigen PEM
Java-Keystore-Operationen -- Javas keytool importiert und exportiert DER; viele Konfigurationsschritte erfordern PEM
Zertifikatsinspektion -- DER zu PEM konvertieren, um es in Zertifikats-Viewer, Fingerprint-Generatoren oder andere Analyse-Tools einfügen zu können
E-Mail-sicheres Teilen -- binäre DER-Dateien in PEM-Text konvertieren, der sicher in E-Mails oder Chat-Nachrichten eingefügt werden kann
Skript-Automatisierungsvorbereitung -- PEM-Format funktioniert mit openssl, curl --cacert und den meisten Kommandozeilen-Tools, die textbasierte Zertifikate erwarten
Plattformübergreifendes Zertifikats-Deployment -- Zertifikate im richtigen Format für jedes Zielsystem in Ihrer Infrastruktur vorbereiten

Wie DER- und PEM-Kodierung funktionieren

DER (Distinguished Encoding Rules)

DER ist die binäre Kodierung von ASN.1-Datenstrukturen, definiert durch X.690. Es erzeugt eine eindeutige, deterministische Bytefolge für jede gegebene ASN.1-Struktur. Ein DER-kodiertes Zertifikat besteht aus den rohen Bytes -- nicht in einem Texteditor lesbar, aber kompakt und eindeutig.

PEM (Privacy-Enhanced Mail)

PEM umhüllt DER in ein textsicheres Format durch drei Schritte:

Mit den DER-Binärdaten beginnen
Diese mittels Base64 kodieren (Binär in ASCII-Zeichen konvertieren)
Header- und Footer-Zeilen hinzufügen, die den Inhaltstyp identifizieren

Die Header-/Footer-Zeilen geben an, was der PEM-Block enthält:

Inhaltstyp	Header
Zertifikat	`-----BEGIN CERTIFICATE-----`
Privater Schlüssel (PKCS#8)	`-----BEGIN PRIVATE KEY-----`
RSA-privater Schlüssel	`-----BEGIN RSA PRIVATE KEY-----`
CSR	`-----BEGIN CERTIFICATE REQUEST-----`
Öffentlicher Schlüssel	`-----BEGIN PUBLIC KEY-----`

Plattform-Formatpräferenzen

Plattform	Bevorzugtes Format	Hinweise
Apache/nginx	PEM	Konfiguration referenziert `.pem`- oder `.crt`-Dateien
Windows/IIS	DER oder PKCS#12	Zertifikatmanager verwendet `.cer` (DER) oder `.pfx`
Java (keytool)	DER oder PKCS#12	Importiert DER in JKS/PKCS12-Keystores
OpenSSL CLI	PEM (Standard)	Unterstützt beide mit `-inform DER/PEM`-Flags
macOS Keychain	DER	Doppelklick auf `.cer`-Dateien zum Importieren
Android	DER	System-CA-Store verwendet DER-kodierte Zertifikate

Formatkonvertierung in der Praxis

Das häufigste Konvertierungsszenario ist das Verschieben von Zertifikaten von Windows nach Linux. Wenn Sie ein Zertifikat aus dem Windows-Zertifikatmanager exportieren, wird standardmäßig das DER-Format mit der Endung .cer verwendet. Wenn Sie versuchen, diese Datei mit nginx oder Apache zu verwenden, erhalten Sie einen kryptischen Fehler über ein ungültiges Zertifikatsformat. Die Lösung ist einfach: In PEM konvertieren. Aber wenn Sie OpenSSL nicht auf Ihrem Windows-Rechner installiert haben (und viele Windows-Administratoren haben das nicht), erspart Ihnen dieser webbasierte Konverter die Installation zusätzlicher Tools.

Die umgekehrte Konvertierung -- PEM zu DER -- ist am häufigsten bei der Arbeit mit Java-Anwendungen. Javas keytool-Dienstprogramm importiert Zertifikate standardmäßig im DER-Format, und obwohl es in neueren Versionen PEM unterstützt, erwarten viele ältere Deployment-Skripte DER. Ebenso ist das Importieren eines Zertifikats in den Windows Certificate Store oder macOS Keychain oft einfacher mit einer DER-Datei, auf die Sie doppelklicken können, um den Import-Assistenten zu starten.

Eine Sache, auf die Sie achten sollten, ist die mehrdeutige .cer-Dateiendung. Im Gegensatz zu .pem (immer PEM) oder .der (immer DER) kann eine .cer-Datei in beiden Formaten vorliegen. Wenn Ihnen jemand eine .cer-Datei schickt und Sie nicht sicher sind, welches Format es ist, öffnen Sie sie in einem Texteditor. Wenn Sie -----BEGIN CERTIFICATE----- und lesbare Base64-Zeichen sehen, ist es PEM. Wenn Sie binäre Zeichen sehen, ist es DER. Unter Linux gibt auch der file-Befehl Auskunft: file cert.cer meldet entweder "PEM certificate" oder "data" für DER.

Häufig gestellte Fragen

Wie erkenne ich, ob eine .cer-Datei DER oder PEM ist? Öffnen Sie die Datei in einem Texteditor. Wenn Sie -----BEGIN CERTIFICATE----- und lesbaren Base64-Text sehen, ist es PEM. Wenn Sie binäre, nicht lesbare Zeichen sehen, ist es DER. Die .cer-Endung ist mehrdeutig und kann in beiden Formaten vorliegen. Auf der Kommandozeile meldet file cert.cer entweder "PEM certificate" oder "data" (für DER).

Kann ich PKCS#12-Dateien (.pfx/.p12) mit diesem Tool konvertieren? Dieses Tool behandelt DER- und PEM-Konvertierungen. PKCS#12 ist ein anderes Containerformat, das Zertifikate mit privaten Schlüsseln bündelt und passwortgeschützt ist. Um mit PKCS#12-Dateien zu arbeiten, verwenden Sie OpenSSL: openssl pkcs12 -in file.pfx -out combined.pem -nodes extrahiert alle Inhalte als PEM.

Warum ist meine DER-Datei größer als erwartet? Das DER-Format sollte kleiner als PEM sein (kein Base64-Overhead). Wenn Ihre DER-Datei groß erscheint, kann sie mehrere Zertifikate oder einen privaten Schlüssel enthalten. Einzelne Leaf-Zertifikate im DER-Format sind typischerweise 1--2 KB groß. Zertifikatsketten sollten im PEM-Format gespeichert werden, da DER keine Verkettung unterstützt.

Ändert die Konvertierung zwischen DER und PEM den Fingerprint des Zertifikats? Nein. Der Fingerprint wird immer über die DER-kodierten Daten berechnet, unabhängig davon, ob das Zertifikat als DER oder PEM gespeichert ist. Die Konvertierung zwischen den Formaten erhält die zugrundeliegenden DER-Bytes, sodass der Fingerprint identisch bleibt.

Kann ich mehrere DER-Zertifikate zu einer Kette zusammenfügen? Nein. Das DER-Format unterstützt nur ein einzelnes Zertifikat pro Datei. Um eine Kette (Bundle) zu erstellen, müssen Sie zuerst jedes DER-Zertifikat in PEM-Format konvertieren und dann die PEM-Blöcke in einer einzelnen Datei zusammenfügen. Verwenden Sie den PEM Bundle Merger, um sie in der richtigen Reihenfolge zusammenzusetzen.