Was ist SSL/TLS-Verschlüsselung?

SSL und TLS: Definition und Unterschied

SSL (Secure Sockets Layer) wurde in den 1990er-Jahren entwickelt, um Verbindungen im Internet abzusichern. Alle SSL-Versionen gelten heute als unsicher. Ihr Nachfolger TLS (Transport Layer Security) übernimmt dieselbe Aufgabe; aktuell sind TLS 1.2 und TLS 1.3 im Einsatz.

Im Alltag werden die Begriffe trotzdem gemischt verwendet: Wer ein „SSL-Zertifikat“ bestellt, erhält technisch ein Zertifikat für TLS. HTTPS ist schlicht das bekannte Webprotokoll HTTP, abgesichert über TLS. Ein Zertifikat gilt jeweils für bestimmte Domains; sogenannte Wildcard-Zertifikate decken zusätzlich alle Subdomains einer Ebene ab.

So funktioniert die SSL/TLS-Verschlüsselung

Beim Verbindungsaufbau, dem sogenannten Handshake, weist sich der Server mit einem Zertifikat aus. Dieses stammt von einer vertrauenswürdigen Zertifizierungsstelle und bestätigt, dass die Domain tatsächlich zum Server gehört. Anschließend handeln Browser und Server einen gemeinsamen Schlüssel aus, mit dem alle weiteren Daten verschlüsselt werden.

Für die Schlüsselvereinbarung kommen asymmetrische Verfahren zum Einsatz, für die eigentliche Datenübertragung schnelle symmetrische Verschlüsselung. Mit TLS 1.3 wurde der Handshake verkürzt und unsichere Verfahren wurden entfernt – Verbindungen sind dadurch schneller und sicherer.

• Vertraulichkeit: Dritte können übertragene Daten nicht mitlesen
• Integrität: Manipulationen auf dem Übertragungsweg werden erkannt
• Authentizität: Das Zertifikat belegt, dass Besucher mit der echten Domain verbunden sind

Zertifikatstypen, Vorteile und Grenzen

Domain-validierte Zertifikate (DV) bestätigen nur die Kontrolle über die Domain und sind etwa über Let's Encrypt kostenlos erhältlich. Organisation-validierte (OV) und Extended-Validation-Zertifikate (EV) prüfen zusätzlich das Unternehmen dahinter. Die Stärke der Verschlüsselung ist bei allen Typen gleich.

HTTPS ist heute Pflichtprogramm: Browser kennzeichnen unverschlüsselte Seiten als „nicht sicher“, und für Formulare mit personenbezogenen Daten gilt eine verschlüsselte Übertragung als Stand der Technik. Die Grenze: TLS schützt nur den Transportweg. Eine Website mit Sicherheitslücken oder ein kompromittierter Server wird durch das Schloss-Symbol nicht sicherer.

Praxis: Worauf Unternehmen achten sollten

Zertifikate laufen nach einer festen Frist ab, und die maximal zulässige Laufzeit wird schrittweise verkürzt. Eine automatische Erneuerung ist daher unverzichtbar – ein abgelaufenes Zertifikat führt zu Warnmeldungen, die Besucher abschrecken. Eine Überwachung meldet Probleme rechtzeitig.

Ein Beispiel: Ein Handwerksbetrieb stellt seine Website auf HTTPS um. Alle HTTP-Adressen werden per 301 auf HTTPS weitergeleitet, eingebundene Bilder und Skripte umgestellt und HSTS aktiviert – ein Header, der Browser anweist, nur noch verschlüsselt zu verbinden. Alte Protokollversionen werden abgeschaltet. Nano Concepts richtet Zertifikate, automatische Erneuerung und eine sichere Serverkonfiguration im Rahmen von Hosting und Wartung ein. Dieser Beitrag ersetzt keine Rechtsberatung.