Was ist TLS (Transport Layer Security)?

Wenn dein Unternehmen Zahlungen abwickelt, Kundendaten erfasst oder mehr als nur eine statische Prospekt-Website betreibt, schützt dich TLS bereits. Transport Layer Security ist die unsichtbare Technologie, die „http“ in „https“ umwandelt und Kundendaten auf ihrem Weg durch das Internet schützt. In diesem Leitfaden erfährst du, was TLS ist, warum es für dein Unternehmen wichtig ist, wie es sich im Laufe der Jahre verändert hat und welche Rolle dein Hosting-Anbieter dabei spielt, es auf dem neuesten Stand zu halten.

Was ist TLS und warum ist es für dein Unternehmen wichtig?

TLS (Transport Layer Security) ist ein Sicherheitsprotokoll, das die Verbindung zwischen dem Browser eines Besuchers und deiner Website verschlüsselt. Alle über diese Verbindung gesendeten Daten – darunter Anmeldedaten, Kreditkartennummern, über Kontaktformulare übermittelte Informationen und Kontodaten – werden während der Übertragung verschlüsselt, sodass niemand, der sich dazwischen schaltet, sie lesen kann.

Für einen Unternehmer hat TLS drei praktische Vorteile:

• Es schützt Kundendaten, sodass du nicht in die Schlagzeilen wegen Datenschutzverletzungen gerätst.
• Es signalisiert Vertrauen durch das „https“-Präfix.
• Es erfüllt die gesetzlichen und Compliance-Anforderungen, die für fast jede moderne Website gelten.

Dieser letzte Punkt ist wichtiger, als vielen Betreibern bewusst ist. DSGVO, PCI DSS und HIPAA verlangen alle „geeignete technische Maßnahmen“ zum Schutz personenbezogener Daten, und TLS-Verschlüsselung gehört zu den grundlegenden Maßnahmen, die die Aufsichtsbehörden erwarten. Eine Website ohne gültiges TLS wird als Risiko betrachtet, nicht als neutraler Standard.

Da ist auch noch die einfache Frage der Kundenwahrnehmung. Moderne Browser kennzeichnen jede Website ohne TLS als „Nicht sicher“, was ausreicht, um die meisten Käufer woanders hinzuleiten, bevor sie dein Angebot überhaupt zu Gesicht bekommen.

Wie hat sich TLS aus SSL entwickelt?

Die Geschichte der Webverschlüsselung ist der Grund dafür, dass die meisten Leute immer noch „SSL“ sagen, wenn sie eigentlich „TLS“ meinen. Den Unterschied zu kennen, ist hilfreich, wenn du die Dokumentation eines Anbieters liest oder mit deinem Entwickler sprichst.

Eine kurze Geschichte von SSL und TLS

Secure Sockets Layer (SSL) wurde 1994 von Netscape entwickelt, um den frühen E-Commerce zu ermöglichen. SSL 1.0 wurde nie öffentlich veröffentlicht, SSL 2.0 wies gravierende Mängel auf, und SSL 3.0, das 1996 veröffentlicht wurde, bildete die Grundlage, auf der alles Weitere aufbaute.

Die Internet Engineering Task Force übernahm das Protokoll 1999 und veröffentlichte TLS 1.0 als direkten Nachfolger von SSL 3.0. Obwohl TLS technisch gesehen ein anderes Protokoll ist, teilt es die Kernkonzepte mit SSL, weshalb die beiden Bezeichnungen im Marketing nach wie vor synonym verwendet werden.

Diese Verwirrung bei der Bezeichnung hat sich festgesetzt. Viele Anbieter verkaufen nach wie vor „SSL-Zertifikate“, obwohl diese Zertifikate Verbindungen mittels TLS sichern. Die Bezeichnung hat mit der technologischen Entwicklung nicht Schritt gehalten.

Die wichtigsten Unterschiede zwischen SSL und TLS

TLS ist in mehrfacher Hinsicht sicherer als SSL. Es nutzt moderne kryptografische Algorithmen, stärkere Hash-Funktionen zur Überprüfung der Datenintegrität und bietet besseren Schutz vor Angriffen, die versuchen, die Verbindung auf eine schwächere Version zurückzustufen. Insbesondere SSL 3.0 ist anfällig für bekannte Angriffe wie POODLE.

Das Fazit: Jeder Browser und jeder Server, der heute im Einsatz ist, nutzt TLS – auch wenn in der Werbung von „SSL“ die Rede ist. Wenn du ein Zertifikat kaufst, kaufst du TLS, ganz gleich, wie es auf der Produktseite genannt wird.

Wie funktioniert TLS, ganz einfach erklärt?

Man muss kein Kryptograf sein, um TLS zu verstehen, aber ein grundlegendes Verständnis ist hilfreich, wenn man Sicherheitsberichte liest oder mit seinem Hosting-Anbieter spricht.

Stell dir TLS wie einen versiegelten Umschlag mit einer fälschungssicheren Signatur vor. Bevor der Umschlag versiegelt wird, führen Browser und Server eine kurze Überprüfung durch, um sicherzustellen, dass sie auch wirklich die sind, für die sie sich ausgeben. Dieser Vorgang wird als Handshake bezeichnet.

Der TLS-Handshake, Schritt für Schritt

Der Handshake findet automatisch statt, sobald ein Browser eine sichere Seite lädt. Und so läuft das hinter den Kulissen ab:

1. Der Browser sendet eine „Client Hello“-Nachricht, in der die von ihm unterstützten TLS-Versionen und Verschlüsselungsmethoden aufgeführt sind.
2. Der Server antwortet mit „Server Hello“, wählt die stärkste Option aus, die beide Seiten unterstützen, und sendet sein TLS-Zertifikat, um seine Identität zu bestätigen.
3. Der Browser gleicht das Zertifikat mit einer Liste vertrauenswürdiger Zertifizierungsstellen ab, die fest im Betriebssystem integriert ist.
4. Beide Seiten einigen sich auf einen gemeinsamen Sitzungsschlüssel und verwenden diesen Schlüssel für den Rest der Kommunikation.

Der gesamte Vorgang dauert nur den Bruchteil einer Sekunde. Sobald er abgeschlossen ist, beginnt die eigentliche Datenübertragung, und alle in beide Richtungen gesendeten Daten werden verschlüsselt.

Warum TLS zwei Arten der Verschlüsselung verwendet

TLS kombiniert zwei Formen der Kryptografie, da jede ein anderes Problem löst.

Beim Handshake wird asymmetrische Verschlüsselung verwendet. Der Server verfügt über einen öffentlichen Schlüssel (der für jedermann zugänglich ist) und einen privaten Schlüssel (der geheim gehalten wird). Jeder kann Daten mit dem öffentlichen Schlüssel verschlüsseln, aber nur der Server kann sie entschlüsseln. Auf diese Weise vereinbaren beide Seiten sicher ein gemeinsames Geheimnis, ohne dieses Geheimnis jemals unverschlüsselt zu übertragen.

Sobald der Handshake abgeschlossen ist, übernimmt die symmetrische Verschlüsselung. Algorithmen wie AES sind weitaus schneller als asymmetrische Verfahren und eignen sich daher besser für die eigentliche Datenübertragung, sobald die Verbindung hergestellt ist.

Genau diese Kombination macht TLS so sicher und schnell, dass es bei jedem Seitenaufruf eingesetzt werden kann. Starke Verschlüsselungssuiten mit Perfect Forward Secrecy bieten zusätzlichen Schutz, da sie sicherstellen, dass vergangene Sitzungen auch dann vertraulich bleiben, wenn der private Schlüssel des Servers später gestohlen wird.

Welche verschiedenen TLS-Versionen gibt es, und welche solltest du verwenden?

TLS hat mehrere Überarbeitungen durchlaufen, und die von deinem Server verwendete Version hat konkrete Auswirkungen auf die Sicherheit.

• TLS 1.0 (1999) und TLS 1.1 (2006): Beide sind veraltet. Die gängigen Browser haben die Unterstützung dafür im Jahr 2020 eingestellt. Wenn dein Server sie noch zulässt, werden Sicherheitsscanner deine Website als problematisch kennzeichnen.
• TLS 1.2 (2008): Gilt bei Verwendung moderner Verschlüsselungssuiten nach wie vor als sicher. Es ist heute die Mindestversion, die von den meisten Compliance-Rahmenwerken akzeptiert wird.
• TLS 1.3 (2018): Der aktuelle Standard, definiert in RFC 8446. Er ist schneller, einfacher und verzichtet auf die älteren Verschlüsselungssuiten, die für die meisten Sicherheitslücken in der Vergangenheit verantwortlich waren.

Für die meisten Unternehmen ist die richtige Konfiguration, TLS 1.2 und TLS 1.3 zu aktivieren und ältere Versionen auf Serverebene zu deaktivieren. Tools wie Mozillas SSL Configuration Generator erstellen gebrauchsfertige Einstellungen für gängige Webserver, und Qualys SSL Labs bewertet deine aktuelle Konfiguration in etwa einer Minute.

Wenn dieser Satz für dich wie eine fremde Sprache geklungen hat, bist du genau der Typ Unternehmer, der von Managed Hosting profitiert. Mehr dazu weiter unten.

Wo begegnet dein Unternehmen täglich TLS?

TLS beschränkt sich nicht nur auf Websites. Fast jeder sichere Online-Dienst nutzt es im Hintergrund.

• Websites und Online-Shops nutzen TLS über HTTPS, um Anmeldungen, den Bezahlvorgang und das Absenden von Formularen zu schützen.
• E-Mails nutzen TLS über SMTPS, IMAPS und POP3S, um die Vertraulichkeit der Nachrichten während der Übertragung zu gewährleisten. Moderne Anbieter lehnen Mailserver ab, die sich weigern, TLS zu verwenden.
• VPN-Verbindungen wie OpenVPN basieren auf TLS und werden für Mitarbeiter im Homeoffice und in Zweigstellen genutzt.
• APIs und Integrationen zwischen Plattformen (Zahlungsdienstleister, CRMs, Marketing-Tools) erfordern fast immer TLS, damit die Verbindung hergestellt werden kann.
• Sprach- und Messaging-Dienste sichern Anrufe und Chats mit TLS-Varianten wie SIPS.

Wenn du in irgendeiner Form ein Online-Geschäft betreibst, nutzen deine Kunden, Lieferanten und Mitarbeiter ständig TLS-geschützte Verbindungen, oft ohne es zu merken.

Was sind TLS-Zertifikate und wie bekommst du eins?

Ein TLS-Zertifikat ist das Dokument, das belegt, dass deine Domain tatsächlich die ist, für die sie sich ausgibt. Es enthält deinen Domainnamen, deinen öffentlichen Schlüssel, die Signatur der ausstellenden Zertifizierungsstelle und ein Ablaufdatum. Browser vertrauen dem Zertifikat, weil sie der Zertifizierungsstelle vertrauen, die es signiert hat.

Es gibt drei gängige Arten:

• Domain-validiert (DV): Bestätigt lediglich die Kontrolle über die Domain. Schnell, kostenlos oder kostengünstig und die richtige Wahl für die meisten Websites kleiner Unternehmen. Anbieter wie Let’s Encrypt stellen DV-Zertifikate kostenlos aus.
• „Organization Validated“ (OV): Erfordert die Überprüfung des Unternehmens, das hinter der Domain steht. Ein sinnvoller nächster Schritt für Unternehmen, die ihren Besuchern ihre Identität nachweisen möchten.
• Extended Validation (EV): Hierbei handelt es sich um die gründlichste Überprüfung. Früher wurde dies durch eine grüne Adressleiste angezeigt, doch moderne Browser zeigen diesen Hinweis nicht mehr besonders deutlich an.

Zertifikate laufen ab, in der Regel alle 90 Tage bei kostenlosen Zertifikaten und einmal im Jahr bei kostenpflichtigen Optionen. Ein abgelaufenes Zertifikat macht deine Website für die meisten Besucher unzugänglich, weshalb die automatische Verlängerung so wichtig ist. Tools, die auf dem ACME-Protokoll basieren, erledigen dies ohne manuelles Eingreifen, und die meisten hochwertigen Hosting-Plattformen automatisieren dies für dich.

Verlangsamt TLS deine Website?

Früher ging TLS mit einem echten Leistungseinbußen einher. Das ist schon seit Jahren nicht mehr der Fall.

Der Handshake verursacht bei der ersten Verbindung eine geringe Verzögerung, doch dank verschiedener Verbesserungen bleiben die Auswirkungen minimal:

• Durch die Wiederaufnahme der Sitzung können wiederkehrende Besucher den größten Teil des Handshake-Prozesses überspringen.
• Der 0-RTT-Modus von TLS 1.3 ermöglicht es, dass bei wiederkehrenden Besuchern der Datenfluss bereits beim allerersten Roundtrip beginnt.
• Durch OCSP-Stapling entfallen die zusätzlichen Roundtrips, die Browser bisher bei der Überprüfung der Zertifikatsgültigkeit durchführen mussten.
• Die Hardwarebeschleunigung moderner Prozessoren bewältigt die AES-Verschlüsselung fast ohne messbare CPU-Belastung.

Bei den meisten Websites, die auf einem leistungsfähigen Server laufen, ist der Leistungsunterschied zwischen HTTP und HTTPS für die Nutzer nicht spürbar. Wo die TLS-Leistung jedoch eine Rolle spielt, ist bei großem Datenvolumen – auf stark frequentierten E-Commerce-Seiten oder bei APIs, die Tausende von Anfragen pro Sekunde verarbeiten. Bei solchen Arbeitslasten sorgen eine dedizierte Infrastruktur und die Auslagerung von TLS auf spezialisierte Hardware oder dediziertes Server-Hosting dafür, dass die Antwortzeiten auch unter hoher Last konstant bleiben.

Welche Compliance-Anforderungen schreiben TLS vor?

Wenn dein Unternehmen einer Regulierung unterliegt, ist TLS keine Option.

• PCI DSS schreibt TLS 1.2 oder höher für jedes System vor, das Karteninhaberdaten überträgt.
• HIPAA erwähnt TLS zwar nicht ausdrücklich, behandelt es aber als grundlegende Anforderung für den Schutz von Gesundheitsdaten während der Übertragung.
• Die DSGVO schreibt „geeignete technische Maßnahmen“ für personenbezogene Daten vor, und Prüfer legen dies durchweg so aus, dass dies auch aktuelle TLS-Protokolle umfasst.
• Bei SOC-2- und ISO-27001-Audits wird eine dokumentierte TLS-Konfiguration und Zertifikatsverwaltung verlangt.

Der Haken daran ist, dass die Einhaltung der Vorschriften keine einmalige Angelegenheit ist. Es werden regelmäßig neue Schwachstellen bei Verschlüsselungsalgorithmen entdeckt, die NIST-Richtlinien für TLS werden aktualisiert, und was vor zwei Jahren noch ein Audit bestanden hat, könnte heute durchfallen. TLS auf dem neuesten Stand der Standards zu halten, ist eine fortlaufende Aufgabe.

Wer hält deine TLS-Konfiguration auf dem neuesten Stand?

Das ist der Punkt, den Unternehmer oft übersehen, bis sie bei einem Sicherheitscheck durchfallen. TLS ist keine Technologie, die man einmal einrichtet und dann vergessen kann.

Verschlüsselungssuiten werden veraltet. Neue Protokollversionen werden veröffentlicht. Zertifikate laufen ab. Compliance-Rahmenwerke erhöhen ihre Mindestanforderungen. Wer auch immer deinen Server betreibt, ist dafür verantwortlich, all das im Auge zu behalten und Änderungen vorzunehmen, bevor etwas kaputtgeht oder ein Audit nicht bestanden wird.

Auf einem selbst verwalteten Server liegt diese Verantwortung bei dir oder deinem Entwickler. Du musst die Ankündigungen der Browser-Anbieter im Auge behalten, OpenSSL-Bibliotheken aktualisieren, Zertifikate neu generieren, Verschlüsselungskonfigurationen testen und sicherstellen, dass nachgelagerte Systeme nicht beeinträchtigt werden. Viele kleine Teams machen diese Erfahrung erst auf die harte Tour, nachdem ein Scan fehlgeschlagen ist oder eine Verlängerung versäumt wurde.

Managed Hosting verändert die Situation. Beim Managed-VPS-Hosting oder Managed-Dedicated-Server-Hosting von InMotion Hosting kümmert sich das Betriebsteam um die technischen Details:

• AutoSSL stellt automatisch kostenlose TLS-Zertifikate für jede Domain in cPanel aus und verlängert diese.
• Die Serversoftware, OpenSSL-Bibliotheken und Verschlüsselungskonfigurationen werden auf den unterstützten Versionen beibehalten.
• Sicherheitspatches, die TLS betreffen, werden im Rahmen des regulären Wartungszyklus installiert.
• Konfigurationsanpassungen zur Erfüllung von PCI- oder anderen Compliance-Anforderungen können vom Support-Team vorgenommen werden, sodass kein interner Systemingenieur erforderlich ist.

Für Unternehmen, die zusätzliche Unterstützung benötigen, bietet das „Premier Care“-Paket proaktive Überwachung, Malware-Schutz sowie direkten Zugang zu Beratungsstunden bei InMotion Solutions für Sicherheits- und Leistungsoptimierungsmaßnahmen.

Einfach ausgedrückt besteht der Vorteil darin, dass deine TLS-Sicherheit immer auf dem neuesten Stand bleibt, ohne dass du die Entwicklungen in der Branche selbst verfolgen musst. Du sicherst dir die technische Konformität, und dein Team kann sich ganz auf das Geschäft konzentrieren.

TLS ist die Grundlage, das Hosting ist der Ort, an dem es zum Leben erwacht

TLS ist der Standard, der sichere Geschäfte im Internet ermöglicht. Das Protokoll hat sich zu einer stillen, zuverlässigen Größe entwickelt, und für die meisten Unternehmer stellt sich nicht mehr die Frage, ob sie es nutzen sollen, sondern wer dafür verantwortlich ist, dass es langfristig korrekt konfiguriert bleibt.

Wenn du bei deiner aktuellen Konfiguration Zertifikatsverlängerungen, Verschlüsselungsupdates und Compliance-Änderungen selbst im Auge behalten musst, sprich mit unserem Team. Die Managed-VPS- und Dedicated-Server-Pakete InMotion Hostingumfassen persönlichen Support, Sicherheitswartung und Zertifikatsautomatisierung, damit deine TLS-Konfiguration stets den aktuellen Standards entspricht. Unser Support-Team kann dir auch dabei helfen, dich auf PCI- oder andere Compliance-Audits vorzubereiten, ohne dass du dich in den Untiefen der Serveradministration verlieren musst.