Über 5.500 Erfahrungsberichte von über 400 Hosting-Anbietern

TLS vs SSL: Was ist der Unterschied?

Autor: HOSTTEST-Redaktion   |11.04.2022

ssl vs tls unterschiedeSicherheit ist das relevante Thema im Internet - bei keiner anderen Aktivität im Alltag und bei keiner Form der Kommunikation ist unsere persönliche Sicherheit derart bedroht, wie beim Surfen im Internet und der Kommunikation auf elektronischem Weg. Bemühungen, die Sicherheit zu erhöhen und möglichst vollständig zu gewährleisten, gibt es daher schon lange: das geschieht, indem man für den Datentransfer vom und zum Internet eine leistungsfähige Verschlüsselung einsetzt. Aber was bedeuten dabei die Abkürzungen SSL und TLS? Was bedeuten die einzelnen Versionsnummern? Und welche von beiden Verschlüsselungstechniken ist nun sicherer? Unser Beitrag beantwortet ausführlich alle wichtigen Fragen zum Thema.

SSL und TLS - was bedeutet das?

Beide Abkürzungen, sowohl SSL als auch TSL, stehen für ein Verschlüsselungsprotokoll - allerdings jeweils mit unterschiedlichem Standard. Sie verschlüsseln die Datenströme im Verkehr zwischen Client und Server - also einfach gesprochen zwischen dem Anwendungsrechner und dem Internet. SSL steht dabei für "Secure Socket Layer" und TLS für "Transport Layer Security".

Wie Verschlüsselungen und SSL Verbindungen im Bereich von Webseiten grundlegend funktionieren, wird im Artikel SSL Verbindung & Verschlüsselung genauer behandelt.

 

Begriffsverwirrung

Zunächst muss man wissen, dass beide Protokolle, SSL und TLS, unterschiedliche Protokolle sind - auch wenn man manchmal Angaben wie SSL/TLS findet. Gemeint ist damit immer TLS. Die Alternativbezeichnung kommt nur daher, weil die meisten Menschen heute wissen, dass SSL "irgendetwas mit Verschlüsselung" zu tun hat, mit TLS dagegen aber gar nichts anfangen können. Also verwenden manche Anbieter die Bezeichnung SSL/TLS, auch wenn das keinen Sinn ergibt. Damit wird technisch weniger bewanderten Kunden signalisiert, dass es sich um eine Verschlüsselung handelt.

Zu jedem Protokoll gehört (zwingend) auch eine Versionsnummer. Bei SSL gibt es SSL 2.0 und SSL 3.0. Die Bezeichnungen SSLv2 (Version 2) und SSLv3 (Version 3) bedeuten exakt das Gleiche, es handelt sich nur um eine alternative Schreibweise. Bei TLS gibt es hingegen TLS 1.0 und TLS 1.1, die beide bereits veraltet und daher auf aktuell konfigurierten Servern auch schon deaktiviert sind. Darüber hinaus gibt es noch die Versionen TLS 1.2 und TLS 1.3 in Verwendung.

 

Anbieter für SSL Zertifikate finden

Jetzt das perfekte SSL Zertifikat sichern

Zum SSL Zertifikat Vergleich

 

Einsatzgebiete für Verschlüsselungen

Den meisten weniger technik-affinen Nutzern fallen Verschlüsselungen nur im HTTP-Bereich auf, da dort gut sichtbar http zu https wird und die Verschlüsselung als Nutzer somit leicht zu erkennen ist.

Verschlüsselung kann aber in zahlreichen weiteren Fällen eingesetzt werden, beispielsweise:

  • POP3 zu POP3S (E-Mail-Verkehr
  • SMTP zu SMPTS (E-Mail-Verkehr)
  • IMAP zu IMAPS (E-Mail-Verkehr)
  • IRC zu IRCS (textbasierte Chats)
  • FTP zu FTPS (Dateiübertragung über das Internet)

Auch bei Verbindungen über OpenVPN (Software für die Herstellung eines Virtuellen Privaten Netzwerks = VPN) kommt beispielsweise eine Verschlüsselung zum Einsatz.

Weiterführende Informationen sind auch in den Artikel zu Shared SSL und StartTLS zu finden.

SSL als Verschlüsselungsprotokoll

Über SSL muss man im Grunde nicht viel wissen: es war das frühere der beiden Verschlüsselungsprotokolle, das 1995 entwickelt wurde, und heute als völlig veraltet gilt und nicht mehr verwendet wird.

Die Version 1.0 enthielt gravierende Sicherheitslücken und wurde daher relativ schnell durch die Version 2.0 ersetzt. Da weiterhin Sicherheitslücken bestanden, wurde kurz darauf die Version 3.0 herausgebracht. Als sich auch dort Sicherheitslücken zeigten, wurde der gesamte SSL-Standard verworfen. Als Nachfolgeprotokoll kam im Jahr 1999 TLS auf den Markt.

Üblicherweise werden SSL Zertifikate auf eine Domain ausgestellt. Unter bestimmten Bedingungen können aber auch SSL Zertifikate auf eine IP Adresse ausgestellt werden.

TLS als Verschlüsselungsprotokoll

TLS unterschied sich in seiner ersten Version (1.0) zunächst nur wenig vom früheren SSL-Protokoll, wurde von der ursprünglichen Version aber rasch zur Version 1.1 weiterentwickelt. Auch diese Versionen sind heute veraltet und sollten nicht mehr verwendet werden. Webserver und Webbrowser unterstützen die älteren Versionen zwar fallweise noch, geben dabei aber eine Sicherheitswarnung aus.

Der aktuelle Standard ist TLS 1.3, unter bestimmten Umständen kann das Vorgängerprotokoll 1.2 noch verwendet werden. Etwas mehr als 98 % aller Browser unterstützen Version 1.2 noch, sodass hier wenig Probleme auftreten.

Komponenten des TLS-Protokolls

Die beiden Hauptkomponenten des Protokolls sind:

  • Handshake und
  • Record

Beim "Handshake" findet ein Schlüsselaustausch statt, außerdem eine Authentifizierung. Mit dem von beiden Seiten ausgehandelten Schlüssel wird dann der Datentransfer im "Record" verschlüsselt und gegen Veränderungen gesichert.

In diesem Zusammenhang muss zwischen den beiden Begriffen "Authentisierung" und "Authentifizierung" unterschieden werden: was der Benutzer beim Server macht, nennt sich "Authentisierung", umgekehrt ist das, was der Server beim Benutzer macht, eine "Authentifizierung". In diesem Fall muss man also immer darauf achten, dass man den Begriff "Authentifizierung" nicht (technisch) falsch verwendet.

Neu ist bei der Version 1.3 unter anderem, dass nicht wie früher Langzeitschlüssel zum Einsatz kommen, sondern für jede Verbindung separat ein neuer Schlüssel ausgehandelt wird. Verwendet wird dabei ausschließlich dass DHE oder ECDHE-Protokoll für den Schlüsselaustausch. Beide Maßnahmen führen zu einem deutlichen Sicherheitsgewinn.

Mögliche Sicherheitsprobleme

Ein besonderes Augenmerk, wenn es um die Sicherheit von TLS-Verschlüsselung geht, muss auf das jeweilige Zertifikat gerichtet werden. Ein Zertifikat stellt die Grundlage für die Authentifizierung dar und wird von einer Zertifizierungsstelle ausgestellt.

Das Vorliegen von einem Zertifikat allein garantiert dabei keine hundertprozentige Sicherheit. Nicht alle Zertifizierungsstellen sind zu 100 % vertrauenswürdig - und damit auch nicht ein von ihnen ausgestelltes Zertifikat. Ein solches "faules" Zertifikat führt dann dazu, dass sogenannte Man-in-the-Middle Angriffe auf den Datentransfer und die Kommunikation möglich werden. Das Netzwerkprotokoll OCSP bietet eine Möglichkeit, den Status eines Zertifikats zu validieren.

Im Fall eines solchen (erfolgreichen) Angriffs bietet der schon vor der Authentifizierung aktive Man-in-the-Middle beiden Seiten bei der einen Schlüssel an, den er selbst besitzt und der ihm ermöglicht, die übertragene Kommunikation ganz einfach im Klartext mitzulesen und gegebenenfalls auch den Datentransfer zu manipulieren.

Nutzer haben grundsätzlich die Möglichkeit, bei ihrer Kommunikation und beim Datentransfer verdächtige oder unsicher erscheinende Zertifizierungsstellen im eigenen Browser zu deaktivieren, dennoch bleibt das Problem möglicher Man-in-the-Middle Angriffe natürlich grundsätzlich bestehen, insbesondere da das nicht bei jedem Nutzer vorausgesetzt werden kann, dass ein fragwürdiges Zertifikat nicht verwendet wird.

Bei Verbindungen im TOR-Netzwerk besteht die Möglichkeit eines Man-in-the-Middle Angriffs dann grundsätzlich nur noch beim sogenannten Exit Node, der bei der Kommunikation die Verbindung mit dem Internet herstellt. Hier besteht allerdings ebenfalls ein sehr hohes Risiko für solche Angriffe. Für die Sicherheit beim Datentransfer zwischen den einzelnen Routing-Stellen eines TOR-Netzwerks muss man überdies dem Routing vertrauen, um Angriffe auf die Kommunikation oder das Mitlesen beim Datentransfer durch Dritte ausschließen zu können.

Fazit: TLS vs SSL

Um die maximal mögliche Sicherheit zu gewährleisten, sollten ausschließlich moderne Verschlüsselungsprotokolle eingesetzt werden - aktuell sind das TLS 1.3 und (in Ausnahmefällen) Version 1.2. Die Verwendung von veralteten Protokoll-Versionen wie TLS 1.1, 1.0 oder gar SSL-Verschlüsselung verbietet sich aus Sicherheitsaspekten unter allen Umständen.

Informiere dich weiter über den praktischen Einsatz von SSL Zertifikaten:
Braucht man für jede Domain ein eigenes SSL-Zertifikat?
SSL Zertifikat auf IP Adressen ausstellen - ist das möglich?

 

Anbieter für SSL Zertifikate finden

Jetzt das perfekte SSL Zertifikat sichern

Zum SSL Zertifikat Vergleich

 

Bildnachwei: Gerd Altmann auf Pixabay



    Tags zu diesem Artikel

  • SSL

Weitere Webhoster


Weitere interessante Artikel

Webhoster im Fokus Anzeige
Aktuelle Ausschreibungen
Mail-Server
Vor kurzem Beendet
vServer für Mattermost gesucht
Vor kurzem Beendet
Online Plattform
Vor kurzem Beendet
Neuer Anbieter wird gesucht
Vor kurzem Beendet
Neueste Bewertungen
Gregor hat Rainbow-Web.com bewertet
Erhard S. hat SIM-Networks bewertet
privat hat dogado GmbH bewertet
Julia W. hat ServMedia.de bewertet
Kynast hat 1&1 IONOS SE bewertet
Willichnicht S. hat Servado bewertet
Melissa hat Host-On.de bewertet
Cornelius G. hat SIM-Networks bewertet
barbara J. hat Pixel X e.K. bewertet
Conner U. hat KernelHost bewertet
Luis hat xaweho bewertet
Mark F. hat goneo bewertet
Michael J. hat LA Webhosting bewertet
Jens H. hat Host-On.de bewertet
Steven H. hat Pixel X e.K. bewertet
Dominik hat dogado GmbH bewertet
mel P. hat manitu bewertet
Sven G. hat xaweho bewertet
Dennis K. hat xaweho bewertet
Michael hat Host-On.de bewertet

Wir konnten bereits Hunderttausenden Webmastern helfen den passenden Hosting-Anbieter zu finden.
Über Hosttest.de

Im Jahr 2006 riefen wir hosttest ins Leben, um den Webhosting Markt im DACH-Raum transparenter zu machen. Mit derzeit über 400 Webhostern und über 10.000 Angeboten bieten wir dir die beste Grundlage, den für dich passenden Anbieter für Hosting-Leistungen zu finden.

Seit 2015 küren wir zudem alljährlich unsere Webhoster des Jahres und würden uns in Zukunft auch über deine Stimme freuen.
Mehr über uns...