SSL-/TLS-Verschlüsselung
SSL steht für Secure Sockets Layer und bezeichnet ein Verschlüsselungsprotokoll für die sichere Datenübertragung im Internet. Streng genommen wird SSL heute gar nicht mehr verwendet: Sein Nachfolger TLS (Transport Layer Security) hat es abgelöst, aktuell in den Versionen TLS 1.2 und TLS 1.3. Der Begriff „SSL“ ist aber so verbreitet, dass er weiterhin für beides benutzt wird, etwa bei „SSL-Zertifikaten“. TLS arbeitet hybrid, also mit einer Kombination aus asymmetrischer und symmetrischer Verschlüsselung: Zu Beginn einer Verbindung handeln Browser und Server mithilfe asymmetrischer Verfahren einen gemeinsamen, geheimen Sitzungsschlüssel aus. Mit diesem Schlüssel werden anschließend alle Daten schnell symmetrisch verschlüsselt.
Dieses hybride Verfahren löst das sogenannte Schlüsselverteilungsproblem. Symmetrische Verfahren sind sehr schnell, setzen aber voraus, dass beide Seiten denselben geheimen Schlüssel kennen – den man nicht einfach unverschlüsselt übertragen kann. Asymmetrische Verfahren lösen dieses Problem, sind aber für große Datenmengen zu langsam. TLS kombiniert die Vorteile beider: Der Schlüsselaustausch erfolgt sicher, die eigentliche Übertragung schnell.
Mit einem SSL-/TLS-Zertifikat wird verhindert, dass Dritte übertragene Daten mitlesen oder verändern. Das Zertifikat bestätigt zudem, dass die Verbindung tatsächlich zur angegebenen Domain besteht. Beides erhöht die IT-Sicherheit erheblich.
Einordnung im Netzwerk
TLS liegt zwischen der Transportschicht (TCP) und den Anwendungen wie dem Browser. Die Internetprotokolle selbst sahen ursprünglich keine Verschlüsselung vor; TLS ergänzt sie um diese Sicherheitsfunktion. Das Protokoll besteht im Kern aus zwei Teilen:
Record Protocol (Verschlüsselung und Übertragung der Daten)
Handshake Protocol (Aufbau der Verbindung und Schlüsselaustausch)
Für Anwendungen ist TLS weitgehend unsichtbar: Browser und Webserver übernehmen die Verschlüsselung automatisch, ohne dass Websites selbst angepasst werden müssen.
SSL/TLS in der Praxis
Am häufigsten begegnet man TLS bei HTTPS, der verschlüsselten Variante von HTTP – erkennbar am Schloss-Symbol in der Adresszeile. Baut ein Browser eine Verbindung auf, weist sich der Server mit seinem Zertifikat aus, das von einer Zertifizierungsstelle ausgestellt wurde. Der Browser prüft das Zertifikat, anschließend wird der Sitzungsschlüssel vereinbart und die Daten verschlüsselt übertragen. Zertifikate gibt es in verschiedenen Prüfstufen; für die meisten Websites und Shops reicht ein Domain-validiertes Zertifikat, das viele Hoster – etwa über Let's Encrypt – kostenlos und automatisch bereitstellen. Für die Suchmaschinenoptimierung ist HTTPS heute Pflicht: Google wertet es seit 2014 als Rankingsignal, und Browser kennzeichnen unverschlüsselte Seiten als „nicht sicher“. In Onlineshops, in denen Kunden Adress- und Zahlungsdaten eingeben, ist eine verschlüsselte Verbindung ohnehin unverzichtbar.
Wichtig ist allerdings: TLS schützt die Übertragung zwischen zwei Stationen, etwa zwischen Browser und Webserver. Werden Daten danach weitergeleitet – an andere Server oder Dienste –, muss auch diese Strecke eigens abgesichert sein. Sicherheitslücken entstehen in der Praxis meist nicht durch das Protokoll selbst, sondern durch veraltete Versionen, falsche Konfiguration oder unsichere Systeme auf Server-Seite. Alte Protokolle wie SSL 3.0, TLS 1.0 und TLS 1.1 gelten als unsicher und sollten deaktiviert sein.
Was SSL/TLS nicht schützt
TLS sichert die Übertragung zwischen Besucher und Server ab. Eine Kreditkartennummer kann während der Übertragung also nicht ausgelesen werden. Was danach mit den Daten auf dem Server geschieht, beeinflusst die Verschlüsselung aber nicht. TLS schützt weder vor Sicherheitslücken im Shop noch vor einem unsachgemäßen Umgang mit Kundendaten. Auch eine betrügerische Website kann ein gültiges Zertifikat haben – das Schloss-Symbol bestätigt nur die verschlüsselte Verbindung, nicht die Seriosität des Anbieters.