TLS verschlüsselt die Kommunikation im Netz und ist die Grundlage von HTTPS. Es schützt Daten vor Mitlesen und Manipulation – wenn es richtig konfiguriert ist.
Transport Layer Security (TLS) ist das Protokoll, das Kommunikation über Netzwerke verschlüsselt und absichert. Der Vorgänger hieß SSL, der Begriff wird umgangssprachlich noch verwendet. TLS ist die Grundlage von HTTPS und sichert darüber hinaus E-Mail, VPN-Verbindungen und unzählige Schnittstellen. Es sorgt für drei Dinge: Vertraulichkeit (niemand liest mit), Integrität (niemand verändert unbemerkt) und Authentizität (der Server ist, wer er vorgibt zu sein).
Diese Authentizität beruht auf Zertifikaten, die eine vertrauenswürdige Stelle ausstellt. Fällt dieses Vertrauen – etwa durch ein abgelaufenes oder gefälschtes Zertifikat –, verliert TLS seinen Schutz. Für die meisten Nutzer ist all das unsichtbar; sie sehen nur das Schloss-Symbol im Browser und vertrauen darauf, dass die Verbindung tatsächlich abgesichert ist.
Funktionsweise
Zu Beginn jeder Verbindung handeln Client und Server im sogenannten Handshake aus, welche Verfahren genutzt werden, und erzeugen gemeinsame Sitzungsschlüssel. Dabei kommen Verschlüsselung und Hash-Verfahren zusammen. Sicherheitsrelevant sind:
- die genutzte TLS-Version (veraltete Versionen gelten als unsicher),
- die erlaubten Cipher Suites,
- die Gültigkeit und korrekte Prüfung der Zertifikate,
- die sichere Aufbewahrung der privaten Schlüssel,
- die lückenlose Verschlüsselung auch interner Verbindungen,
- eine regelmäßige, automatisierte Prüfung der Konfiguration.
Bedeutung für Unternehmen
TLS ist allgegenwärtig, wird aber oft stiefmütterlich gepflegt. Veraltete Versionen, schwache Verfahren oder abgelaufene Zertifikate sind häufige Befunde. Fehlt die korrekte Zertifikatsprüfung, öffnet das die Tür für Man-in-the-Middle-Angriffe, bei denen sich ein Angreifer unbemerkt zwischen die Kommunikation schaltet. Für Entscheider ist TLS damit kein einmaliges Setup, sondern eine Konfiguration, die laufend überwacht werden muss – gerade bei intern genutzten Diensten.
Härtung und Prüfung aus Red-Team-Sicht
Wir prüfen TLS-Konfigurationen auf veraltete Versionen und schwache Verfahren und testen, ob Anwendungen Zertifikate korrekt validieren. Empfohlene Maßnahmen:
- nur aktuelle TLS-Versionen und starke Cipher Suites zulassen,
- veraltete Protokolle (SSL, frühe TLS-Versionen) vollständig abschalten,
- Zertifikate automatisiert verwalten und rechtzeitig erneuern,
- strikte Zertifikatsprüfung in allen Anwendungen erzwingen,
- private Schlüssel geschützt aufbewahren.
TLS-Konfigurationen gehören zum Standardumfang unserer Penetrationstests.