TSL/SSL: Sichere deine Seite!

Let’s Encrypt existiert, ist kostenlos und wird von fast jedem Hoster unterstützt. Wenn dein Hoster immer noch kein kostenloses SSL-Zertifikat anbietet, ist es Zeit zu wechseln.

SSL/TLS: So bleibt deine Verbindung im Internet privat und vertrauenswürdig

Du surfst täglich im Netz, loggst dich irgendwo ein, kaufst etwas oder gibst persönliche Daten ein. Dabei läuft im Hintergrund ein cleveres Sicherheitsprotokoll, das dafür sorgt, dass niemand mitliest oder die Daten manipuliert. Es heißt heute offiziell TLS (Transport Layer Security). Viele sprechen immer noch von SSL, weil der Name historisch hängen geblieben ist – SSL selbst ist aber längst veraltet und unsicher. Was du heute nutzt, ist TLS, aktuell in der Version 1.3.

Was TLS eigentlich macht

TLS schafft eine verschlüsselte und authentifizierte Verbindung zwischen deinem Gerät (Client, z. B. Browser) und dem Server. Es sorgt für drei Dinge:

• Vertraulichkeit: Die Daten sind für Außenstehende unlesbar.
• Integrität: Niemand kann sie unbemerkt verändern.
• Authentizität: Du weißt, dass du wirklich mit dem richtigen Server sprichst und nicht mit einem Betrüger dazwischen.

Das Herzstück sind digitale Zertifikate. Ein Zertifikat enthält den öffentlichen Schlüssel des Servers und Angaben zur Identität (Domainname usw.). Es wird von einer vertrauenswürdigen Zertifizierungsstelle (Certificate Authority, CA) ausgestellt und digital signiert. Dein Browser prüft die Signaturkette bis zu einer Root-CA, der er von Haus aus vertraut. Der private Schlüssel bleibt geheim auf dem Server.

So funktioniert der TLS-Handshake (vereinfacht, aber aktuell)

Bevor echte Daten fließen, führen Client und Server einen Handshake durch. Bei modernem TLS 1.3 läuft das deutlich schneller und sicherer ab als bei älteren Versionen:

1. Dein Browser meldet sich und sagt: „Ich spreche TLS 1.3 und unterstütze diese sicheren Verfahren.“ Er schickt gleich seinen Teil für den Schlüsselaustausch mit (Key Share).
2. Der Server antwortet, wählt die Verfahren aus, schickt seinen Key Share und sein Zertifikat.
3. Beide Seiten berechnen daraus unabhängig denselben Sitzungsschlüssel – ohne dass dieser jemals über das Netz geschickt wird. Das geschieht über ephemeren Diffie-Hellman (meist ECDHE). Das gibt Perfect Forward Secrecy: Selbst wenn jemand später den privaten Schlüssel des Servers stiehlt, kann er alte Verbindungen nicht nachträglich entschlüsseln.
4. Der Server beweist mit einer Signatur, dass er den privaten Schlüssel zum Zertifikat besitzt. Danach ist die Verbindung verschlüsselt.

Ältere Beschreibungen (RSA-Schlüsselübertragung, bei der der Client einen Sitzungsschlüssel mit dem öffentlichen Schlüssel des Servers verschlüsselt) sind überholt. TLS 1.3 hat das bewusst entfernt, weil es keine Forward Secrecy bietet und anfälliger war. Der Handshake braucht bei TLS 1.3 meist nur einen Roundtrip – das spart spürbar Zeit, besonders bei mobilen Verbindungen.

Für die eigentliche Datenübertragung nutzen beide Seiten dann schnelle symmetrische Verschlüsselung (z. B. AES-GCM oder ChaCha20-Poly1305). Die asymmetrischen Verfahren (öffentlicher/privater Schlüssel) dienen vor allem der Authentifizierung und dem sicheren Aufbau der Sitzungsschlüssel.

HTTPS – so erkennst du sichere Verbindungen

Wenn eine Website HTTPS nutzt, läuft HTTP über TLS. Du siehst:

• das Schloss-Symbol in der Adresszeile,
• die Adresse beginnt mit https://.

Ohne HTTPS werden Daten im Klartext übertragen und sind anfällig für Abhören oder Manipulation (Man-in-the-Middle). Mit HTTPS weißt du, dass die Verbindung verschlüsselt ist und der Server authentifiziert wurde. Wichtig: HTTPS schützt die Übertragung, nicht die Website selbst vor Schwachstellen oder Betrug. Schau trotzdem, ob die Domain stimmt und das Schloss keine Warnung zeigt.

Wie du ein Zertifikat für deine Website bekommst

1. Erzeuge auf dem Server einen privaten Schlüssel und eine Certificate Signing Request (CSR) – darin stecken dein öffentlicher Schlüssel und die Domain-Daten.
2. Reiche die CSR bei einer CA ein (z. B. Let’s Encrypt für kostenlose Domain-Validierung, oder kommerzielle Anbieter für Organisation- oder Extended Validation).
3. Die CA prüft, ob du die Domain kontrollierst (bei EV zusätzlich die Organisation).
4. Du erhältst das Zertifikat und installierst es zusammen mit dem privaten Schlüssel und den Zwischenzertifikaten auf dem Webserver.

Achte darauf, dass das Zertifikat gültig bleibt, die Kette vollständig ist und der Server TLS 1.3 (mindestens TLS 1.2) anbietet. Alte Protokolle wie SSL 3.0, TLS 1.0 und 1.1 solltest du deaktivieren.

Was du als Nutzer und als Betreiber beachten solltest

• Als Nutzer: Achte auf das Schloss und https://. Bei Warnungen besser abbrechen.
• Als Website-Betreiber: Nutze TLS 1.3, starke Cipher und Forward Secrecy. Halte Zertifikate aktuell und richte automatische Erneuerung ein (z. B. mit Let’s Encrypt). Prüfe deine Konfiguration regelmäßig mit Tools wie SSL Labs.
• TLS schützt die Verbindung, ersetzt aber keine guten Passwörter, sichere Server oder Schutz vor Phishing.

Kurz zusammengefasst

TLS (das, was die meisten immer noch SSL nennen) macht aus unsicheren Verbindungen private und authentifizierte Kanäle. Zertifikate beweisen die Identität des Servers, der Handshake baut sicher Sitzungsschlüssel auf (heute mit Perfect Forward Secrecy), und symmetrische Verschlüsselung schützt die eigentlichen Daten. Mit HTTPS erkennst du das am Schloss und dem „s“ in der Adresse. Wenn du eine eigene Seite betreibst, hole dir ein gültiges Zertifikat und setze auf aktuelle TLS-Versionen – so schützt du deine Nutzer und baust Vertrauen auf.

Die Technik läuft für dich meist unsichtbar im Hintergrund. Du merkst sie vor allem dann, wenn sie fehlt – und dann ist es meist schon zu spät. Deshalb lohnt es sich, die Grundlagen zu kennen.

---

---

(*) Hinweis: Hinter einigen Links stehen Affiliate-Programme. Für Sie bleibt der Preis exakt derselbe, wir erhalten jedoch eine kleine Provision, die wir direkt in unsere kommenden Recherchen investieren. Vielen Dank, dass Sie unsere Arbeit auf diese Weise unterstützen!

Views: 0