SSL/TLSCHECKEN.

Er baut höchstens acht kurze TLS-Verbindungen zu Port 443 Ihrer Domain auf, wie ein Browser, und trennt nach dem Handshake sofort wieder. Geprüft werden das Zertifikat (Vertrauen, Name, Kette, Restlaufzeit, Schlüssel, Signatur), welche TLS-Versionen der Server annimmt und welche Verschlüsselung er aushandelt. Eine Seite wird dabei nicht abgerufen.

Die IETF hat beide Versionen 2021 mit RFC 8996 abgekündigt: Sie dürfen nicht mehr ausgehandelt werden, weil ihnen aktuelle kryptographische Verfahren fehlen. Auch die Technische Richtlinie BSI TR-02102-2 empfiehlt sie nicht mehr. Empfohlen sind TLS 1.3, bevorzugt, und TLS 1.2.

Maßstab sind die Technische Richtlinie BSI TR-02102-2 (Version 2026-01) und die Konfiguration „intermediate“ der Mozilla-Leitlinien für Server Side TLS (Version 6.0). Jede Prüfung hat ein Gewicht: Bestanden zählt voll, ein Hinweis halb. Ein nicht vertrauenswürdiges, abgelaufenes oder falsch benanntes Zertifikat begrenzt die Note auf höchstens C. OCSP-Stapling und HTTP/2 zeigen wir an, sie zählen aber nicht.

Ein gültiges Zertifikat ist nur ein Teil. Nimmt der Server zusätzlich alte Protokolle oder Verfahren ohne Forward Secrecy an, sind Verbindungen mit Clients, die diese anbieten, schlechter geschützt. In TLS 1.3 hat RFC 8446 Schlüsseltausch ohne Forward Secrecy ganz gestrichen. Auch eine kurze Restlaufzeit zeigen wir als Hinweis: Läuft die automatische Erneuerung nicht, sehen Besucher sonst bald eine Warnung.

Nein, nicht dauerhaft. Das Ergebnis liegt für fünf Minuten im Arbeitsspeicher, damit wiederholte Abrufe derselben Domain den Server nicht erneut belasten. Danach ist es weg.