TLS Erklärung -Transport Layer Security TLS vs SSL | GUIDE

Du kennst TLS noch nicht?

Dieser Guide gibt die eine Erklärung und praktische Umsetzungstipps!

Starten wir.

Was ist TLS?

TLS Cyher Suite - TLS Erklärung SSL Steffen Lippke
TLS Cyher Suite – TLS Erklärung SSL Steffen Lippke

TLS bedeutet Transport Layer Security und ist ein standardisiertes Verfahren, um Computer-Kommunikation zu verschlüsseln (Protokoll). Die meisten von uns nutzen Transport Layer Security (TLS) täglich in Form von HTTPS, welches Webseiten, Formular-Inhalte, Videos und Audio sicher überträgt.

TLS beschränkt sich nicht nur auf das Web, sondern eignet sich für andere Verbindungen, z. B. Remote Terminal-Verbindung über Secure Shell nutzen (SSH). TLS nutzt für die Verschlüsselung eine hybride Variante aus asymmetrischer und symmetrische Verschlüsselung. Die genauen Algorithmen legt TLS mit den Cypher Suites (Erklärung unten) fest, die Client und Server zugleich unterstützen müssen.

TLS vs SSL – Was ist sicherer?

Was ist SSL? Secure Socket Layer ist ein veraltetes Protokoll zur Verschlüsselung von Kommunikation. Die Entwickler Netscape haben im Jahr 1995 die erste SSL-Version für ihren eigen (damals erfolgreichen) Browser entwickelt.

Netscape wollte der Standardisierung zu vorkommen und hat versucht das Internet sicherzumachen. Heute gelten alle Version SSL 1.0 bis SSL 3.0 als unsicher und überholt. In 2022 werben immer noch viele Unternehmen mit

Viele wissen nach 15+ Jahren TLS immer noch nicht, dass eine Ablösung stattgefunden hat bzw. der Nutzer erwartet eine SSL-Verschlüsselung, weil das Marketing den Begriff zwischen 1995 bis ca. 2000 populär gemacht hat.

Steffen Lippke

Das erste Treffen – Der TLS Handshake

Der TLS-Handshake führen Client und Server zu Beginn der Sitzung aus.

Bei dem Handshake, ein protokolliertes Verfahren, einigen sich Client und Server auf eine Cypher Suite. Der wichtigste Schritt bei diesem Verfahren ist der rechenintensiven Austausch der Schlüssel.

Client und Server verwenden den Schlüssel, um im Folgenden schnell und effizient die Webseiten, Audio und Video zu übertragen. Die Nutzung von rein asymmetrischer Kryptografie dauert zu lange und ist sehr rechenintensiv.

Was sind die Cypher Suites?

Eine Cypher Suite ist eine Sammlung von kryptografischen Verfahren, die wohldefiniert und benannt ist. Der Server und der Client sollten mehrere Verfahren beherrschen.

Weil im Internet diverse Hard- und Software miteinander kommuniziert, muss die Software sich auf eine Auswahl von Kryptografie einigen.

Ein korrekte programmierter Server soll unsicher Verfahren im Idealfall ablehnen und die Kommunikation abbrechen. Sicherheit soll vor Kompatibilität gehen!

Steffen Lippke

Alte Geräte und Software (Zombie-Server) bieten dem angefragten Server z. B. ein altes Verfahren wie Rons Cypher 4 an, aber der Server verlangt die Advanced Encryption Standard (AES) Verschlüsselung.

Ein Cypher Suite besteht aus vier Elementen:

  1. Ein Schlüsselaustausch Protokoll, mit der Client und Server eine symmetrische Verschlüsselung aufbauen können.
    Kurzlebige Deffi-Hellmann Schlüssel (DHE) oder elliptische Kurven (ECC)
  2. Ein Hash-Algorithmus zum Signieren von Nachrichten und Verifizierung der Übertragung.
    Secure Hash Algorithmus 3 mit 256 Bits (SHA-3-256)
  3. Ein symmetrischer Verschlüsselungsalgorithmus, welcher die Hauptinhalte (Bilder, Audio, Video und Texte) verschlüsselt
    Advanced Encryption Standard (AES) mit 256 Bit langem Schlüssel
  4. Der Algorithmus für die Authentifizierung am Client / Server
    RSA / DSA

Der Name einer Cypher Suite besteht aus einer Kolonne von Abkürzungen, die mit _ Unterstrichen separiert sind (super originell):

  • TLS_AES_256_GCM_SHA384
  • TLS_CHACHA20_POLY1305_SHA256
  • TLS_AES_128_GCM_SHA256

TLS Guide für Jedermann

Wie kann ich TLS nutzen?

Als Endnutzer musst Du darauf hoffen, dass der Webseiten Betreiber eine moderne Form von TLS (1.2 oder 1.3) nutzt. Oftmals funktioniert die Umleitung von HTTP auf HTTPS nicht, sodass Du es versuchen solltest eine s nach http einzufügen. Firefox bietet die Erweiterung HTTPS-Everywhere, sodass der Browser automatisch nach der HTTPS Version sucht.

In der URL Leiste - TLS Erklärung SSL Steffen Lippke
In der URL Leiste – TLS Erklärung SSL Steffen Lippke

Wie kann ich TLS 1.2 auf TLS 1.3 upgraden?

Ein Upgrade auf die neueren Versionen ist nur möglich, wenn beide Seiten TLS 1.2 / 1.3 beherrschen. Die bekannten modernen Browser wie Google, Firefox, Safari und Opera unterstützen dieses Verfahren. Alte nicht-upgedatete Browser können nichts mit 1.2 oder 1.3 anfangen.

Der Server muss auf der anderen Seite auch dieses Protokoll beherrschen. Falls der Server oder die Anwendung ausschließlich das unverschlüsselte HTTP beherrscht, fügt ein Reverse-Proxy die Verschlüsselung hinzu.

Alternativen zu TLS

Wenn ein alter Server oder eine Anwendung kein TLS unterstützt, gelten Internet Protocol Security (IPSec) oder das Virtual Private Network (VPN) als perfekte Alternativen.

Steffen LIppke

IPSec kapselt jegliche Kommunikation und IP-Pakte in großen Paketen. Diese Pakete verschlüsselt IPSec und sendet diese zum Empfänger Server. IPSec ist besonders gut für Unternehmen geeignet, die alte Infrastruktur haben und ihre veralteten Systeme (Legacy-System) mit einer Verschlüsselung aufrüsten wollen.

VPN ist für Unternehmen und private Nutzer geeint, lese den vollständigen Guide.

TLS Guide für Webseiten Betreiber

Zertifikat kaufen oder kostenlos erhalten

Ein Zertifikat ist der öffentliche Teil des asymmetrische Schlüssels mit Metadaten über die Webseite, den Besitzer und Aussteller. Diese sind signiert durch eine Zertifikats-Autorität, welche diese ausgestellt hat. Die Zertifikats-Autorität validiert die Echtheit der Unternehmen / Webseiten und Dein Browser kann bei der Zertifikats-Autorität die Zertifikate überprüfen.

Zertikat für TLS - TLS Erklärung SSL Steffen Lippke
Zertikat für TLS – TLS Erklärung SSL Steffen Lippke

Als Webseitenbetreiber hast Du zwei Optionen. Erstelle eine Let‘s Encrypt Verschlüsselung mit einem kostenlosen Let‘s Encrypt Zertifikat oder kaufe Dir ein Zertifikat bei einer anderen Zertifikats-Autorität.

Sind kostenlos Zertifikat unsicher?

Lets Encrypt it - TLS Erklärung SSL Steffen Lippke
Lets Encrypt it – TLS Erklärung SSL Steffen Lippke

Ein kostenloses Zertifikat gilt nicht als „schlecht“, „billig“ oder „unsicher“. Eine Webseite mit einem kostenlosen Zertifikat nutzt die gleichen Krypto-Methoden wie ein 250 € Zertifikat. Achte darauf, dass die HTTPS-Weiterleitung (.htaccess Datei) korrekt gesetzt ist.

Implizierter Vorteil von TLS

Seit 2014 sieht Google die Nutzung von HTTPS als einen relevanten Ranking-Faktor. Das bedeutet, dass Webseiten, die ihre Sicherheit ernst nehmen, bei Google weiter oben erscheinen. Die Verschlüsselung ist sinnvoll, weil sonst Kontakt-Anfragen oder Kommentare unverschlüsselt und ungeschützt vor einer Veränderung zum Webseitenbetreiber leiten würde.

HTTP3 - TLS Erklärung SSL Steffen Lippke
HTTP3 – TLS Erklärung SSL Steffen Lippke

Wenn Du beim Upgraden ist nutze HTTP Version 3, QUIC, um die Geschwindigkeit der Übertragung zu erhöhen. QUIC überträgt nicht die Inhalte textell (UTF -8 mit 8 Bytes), sondern in Binärformat (nur 0 und 1)

Gefahren bei SSL / TLS

Kriminelle versuchen den Server davon zu überreden, über SSL und TLS 1.1 / 1.0 zu kommunizieren (Downgrade Attack). Dieses Vorgehen hilft den Kriminellen auf dem verschlüsselten Inhalt mitzulesen.

Andere verwenden die folgende hinterlistige Strategie: Sie gaukeln dem Nutzer vor, dass eine sichere Verbindung besteht (bei HTTP).

Grüne Schlösser, grüne Schrift und diverse Siegel von Antivirus-Herstellern sehen nett aus, aber bringen keine Sicherheit.

Steffen Lippke

Versichere Dich, dass in der URL-Leiste immer https:// steht und nicht http://. Moderne Browser markieren HTTP Webseiten inzwischen rot und zeigen ein durchgestrichenes Schloss an


Danke fürs Lesen! Erhalte weitere Tutorials in meinem kostenlosen Newsletter.
Jeden Monat teile ich mit Dir 4 neue praxisnahe Tutorials.
Trage Deine Mail zum kostenlosen Empfang des Newsletters* ein.




Quellenangabe Bilder: Icons und SVG-Grafiken im Titelbild von Microsoft PowerPoint 2019, frei verfügbar nach EULA
*) Mit dem Abonnement des Newsletters erklären Sie sich mit der Analyse des Newsletters durch individuelle Messung, Speicherung und Analyse von Öffnungsraten und der Klickraten in Profilen zu Zwecken der Gestaltung künftig besserer Newsletter einverstanden. Sie können die Einwilligung in den Empfang des Newsletters und die Messung mit Wirkung für die Zukunft widerrufen. Mehr in der Datenschutzerklärung.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.

Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahre mehr darüber, wie deine Kommentardaten verarbeitet werden.


Jeden Monat teile ich mit den Mitgliedern
4 neue praxisnahe ausführliche Tutorials (je 1000+ Wörter).


Trage Deine Mail, damit Du
Deine Coding + Hacking Skills erweitern kannst!

Die Website nutzt nur technisch notwendige Cookies.