{"id":2683,"date":"2015-11-04T11:47:57","date_gmt":"2015-11-04T10:47:57","guid":{"rendered":"https:\/\/www.psw-group.de\/blog\/?p=2683"},"modified":"2025-12-09T14:50:39","modified_gmt":"2025-12-09T13:50:39","slug":"cesg-veroeffentlicht-leitlinien-fuer-die-sichere-tls-konfiguration-auf-servern","status":"publish","type":"post","link":"https:\/\/www.psw-group.de\/blog\/cesg-veroeffentlicht-leitlinien-fuer-die-sichere-tls-konfiguration-auf-servern\/","title":{"rendered":"CESG ver\u00f6ffentlicht Leitlinien f\u00fcr die sichere TLS-Konfiguration auf Servern"},"content":{"rendered":"

Die britische Regierungsunterbeh\u00f6rde CESG<\/a> hat Leitlinien f\u00fcr die sichere Konfiguration von TLS auf Servern, die Verbindungen von unbekannten Parteien zulassen, ver\u00f6ffentlicht. Im Wesentlichen wird in den Leitlinien die Verwendung von HTTPS mittels Extended Validation-Zertifikat (EV) forciert. Weiter geht es um das Sicherstellen, dass kompromittierte Zertifikate zur\u00fcckgerufen werden k\u00f6nnen. Die weiteren Empfehlungen beinhalten das automatische Umleiten von Webanwendern auf eine HTTPS-Seite, wenn sie die HTTP-Version einer Website aufgerufen haben, um die Nutzung der neuesten Versionen von TLS-Bibliotheken sowie um das Aktivieren von HTTP Strict Transport Security (HSTS).<\/p>\n

<\/p>\n

Alpha-Version der TLS-Guidance<\/h3>\n

Noch befinden sich die Richtlinien der britischen CESG<\/a> im Alpha-Stadium; weitere \u00c4nderungen sind also noch sehr wahrscheinlich. Nichtsdestotrotz ist klar, wohin die Reise geht: Website-Admins wird empfohlen, auf HTTPS zu setzen und Extended Validation-Zertifikate<\/strong> zu verwenden. Ansprechen m\u00f6chte die Beh\u00f6rde vorrangig den \u00f6ffentlichen Sektor, in dem die IT in der Lage sein muss, eingehende Verbindungen von unbekannten Clients oder Services zu unterst\u00fctzen. In den Richtlinien wird darauf hingewiesen, dass TLS in der Version 1.2 aktuell ist und verwendet werden sollte, da in puncto Sicherheit Verbesserungen vorgenommen wurden. Nicht mehr vertrauen sollten Sie dem Vorg\u00e4nger SSL, da dieser in s\u00e4mtlichen Versionen als unsicher gilt; wir berichteten j\u00fcngst \u00fcber SSLv3<\/a>.<\/p>\n

TLS f\u00fcr Webserver: die Schwierigkeiten in der Konfiguration<\/h3>\n

Anwender, die Webserivces zur Kommunikation mit Beh\u00f6rden, Unternehmen oder Institutionen verwenden, m\u00fcssen darauf vertrauen d\u00fcrfen, dass ihre Kommunikation privat und frei von St\u00f6rungen bleibt. Diese Sicherheit bietet das TLS-Protokoll. Wird TLS zusammen mit Webservern verwendet, wird aus HTTP HTTPS. Es existieren enorm viele Konfigurationsoptionen, die die Sicherheit von Services und der Kommunikation beeinflussen. Leider ist es so, dass Sie, wenn Sie die sicherste Konfiguration w\u00e4hlen, diverse User von Ihrem Online-Angebot ausschlie\u00dfen \u2013 nicht jede verwendete Software nutzt TLS in der aktuellsten Version. Mozilla bietet beispielsweise die Optionen, die TLS-Konfiguration „modern“, „intermediate“ oder „old“ zu w\u00e4hlen. Wird „old“ ausgew\u00e4hlt, werden auch unsichere SSL-Verbindungen zugelassen. Es gilt also, die Balance zwischen gr\u00f6\u00dftm\u00f6glicher Sicherheit und gr\u00f6\u00dftm\u00f6glicher Anwenderfreundlichkeit zu finden.<\/p>\n

Webserver sollten so konfiguriert werden, dass neuere Protokollversionen grunds\u00e4tzlich bevorzugt werden. Der Fallback auf \u00e4ltere Standards soll erst unter gewissen Umst\u00e4nden geschehen. Mozilla hat zu diesem Thema einen Leitfaden ver\u00f6ffentlicht<\/a>, der Empfehlungen zu der Priorisierungslogik gibt. Web-Services, auf die \u00fcber bekannte Endger\u00e4te zugegriffen wird, sollten ein Verschl\u00fcsselungsprofil bereitstellen, das recht engmaschig gefasst ist.<\/p>\n

Konfigurationsempfehlungen f\u00fcr TLS auf Webservern<\/h3>\n

Drei weitere Leitf\u00e4den empfiehlt das CESG f\u00fcr die Konfiguration von TLS auf Webservern:<\/p>\n