Kürzlich hatten wir einen Kandidaten für unseren gratis Security-Check. Alles lief sauber durch – bis zu einem Punkt: Die TLS/SSL-Prüfung streikte bei diesem speziellen Setup. Kein sauberes Ergebnis, kein Abschluss. 3 Wochen später stand unser eigenes Tool: Gossling, ein TLS/SSL-Scanner, der genau dieses Problem behebt und damit auch diesen Check abgeschlossen hat. Dokumentiert, einsatzbereit – und kostenlos für jeden nutzbar.
Aber vorweg klären wir eine Frage, die uns immer wieder unterkommt: Was bedeutet eigentlich „SSL obsolete version“ – und vor allem – was macht man dagegen?
Was bedeutet die Warnung „SSL obsolete version“?
Die Meldung „SSL obsolete version“ (oder „obsolete connection settings“) bedeutet, dass ein Server eine veraltete, als unsicher geltende Verschlüsselung akzeptiert – meist SSLv3, TLS 1.0 oder TLS 1.1 oder schwache Algorithmen wie RC4, 3DES oder SHA-1-Zertifikate. Browser zeigen den Hinweis, um auf das Sicherheitsrisiko aufmerksam zu machen.
Aktuell und sicher sind nur TLS 1.2 und TLS 1.3. Veraltete Versionen ermöglichen Downgrade-Angriffe (z. B. POODLE bei SSLv3, BEAST bei TLS 1.0) und führen in Audits (ISO 27001, PCI-DSS) zu Findings. Die Lösung: alte Protokolle serverseitig deaktivieren und nur TLS 1.2/1.3 mit starken Cipher-Suites erlauben.
Ob dein Server veraltete SSL-/TLS-Versionen akzeptiert, prüfst du kostenlos mit Gossling. Das komplette Bild – Mail-Security, Security-Header, offene Ports und eine fertige ToDo-Liste zum Abarbeiten – liefert der gratis Security-Check von CheckFix.
Welche SSL- und TLS-Versionen gelten als veraltet?
Browser wie Chrome zeigen den Hinweis „obsolete connection settings“ meist dann, wenn der Server noch eine alte Protokollversion oder einen schwachen Algorithmus akzeptiert. Als veraltet gelten heute:
| Protokoll | Status | Begründung |
|---|---|---|
| SSL 2.0 | verboten | Schwerwiegende Designfehler (RFC 6176) |
| SSL 3.0 | abgekündigt | Anfällig für POODLE (RFC 7568) |
| TLS 1.0 | veraltet | Schwache Krypto, BEAST (RFC 8996, 2021) |
| TLS 1.1 | veraltet | Keine modernen Cipher-Suites (RFC 8996, 2021) |
| TLS 1.2 | aktuell | Sicher, wenn sauber konfiguriert |
| TLS 1.3 | empfohlen | Modernster Standard, schnell und sicher |
Auch der PCI-DSS-Standard schreibt seit Mitte 2018 vor, TLS 1.0 zu deaktivieren. Wer also eine „obsolete version“-Warnung sieht, hat es fast immer mit aktiviertem SSLv3, TLS 1.0 oder TLS 1.1 zu tun – oder mit veralteten Algorithmen wie RC4, 3DES oder SHA-1-Zertifikaten.
Warum sind veraltete TLS/SSL-Versionen ein Sicherheitsrisiko?
Verschlüsselung ist nur so stark wie ihr schwächstes akzeptiertes Verfahren. Solange dein Server eine alte Protokollversion noch zulässt, kann ein Angreifer im schlimmsten Fall versuchen, die Verbindung genau dorthin herunterzuhandeln (Downgrade-Angriff) – und die Schwächen der alten Version ausnutzen.
Konkret bedeutet das:
- POODLE (SSLv3) und BEAST (TLS 1.0) erlauben unter bestimmten Bedingungen das Entschlüsseln von Datenverkehr.
- Schwache Cipher-Suites öffnen die Tür für Man-in-the-Middle-Angriffe, bei denen Daten im Transit mitgelesen werden.
- Compliance-Risiko: Veraltete Versionen führen in Audits (ISO 27001, PCI-DSS, NIS2-relevante Prüfungen) zu Findings.
Das Tückische: Eine veraltete TLS-Konfiguration sieht man der Website von außen nicht an. Sie funktioniert ja. Bis jemand genau hinschaut – im besten Fall du selbst, im schlechtesten ein Angreifer.
Wie finde ich veraltete SSL/TLS-Versionen?
Manuell ist das mühsam: Du müsstest für jeden Host jede Protokollversion und jede Cipher-Suite einzeln durchprobieren. Deshalb greifen die meisten zu Tools. Und genau da fingen für uns die Probleme an.
- SSL Labs (Qualys) liefert das Grading, das alle verstehen – aber nur für öffentlich erreichbare Seiten. Interne Hosts, Staging-Umgebungen oder air-gapped Systeme kannst du damit nicht prüfen. Und du bist auf eine fremde, geteilte Warteschlange angewiesen.
- testssl.sh ist tief, respektiert und battle-tested – aber als Bash-Skript hängt es von der OpenSSL-Version und der Shell-Umgebung ab. Bei bestimmten Zielen bricht es ab, hängt oder liefert unvollständige Ergebnisse. Genau das ist uns beim eingangs erwähnten Kandidaten passiert.
Wir wollten die Tiefe von testssl.sh, die Klarheit der SSL-Labs-Noten und die Zuverlässigkeit einer Plattform, die wir selbst kontrollieren. Diese Lücke schließt Gossling.
Was kann Gossling?
Gossling ist kein Skript, sondern eine ausgewachsene TLS/SSL-Plattform – ein nativer Go-Scanner mit API, Web-Oberfläche und skalierbaren Scan-Runnern. Du richtest ihn auf eine Domain, einen internen Hostnamen oder einen STARTTLS-Mailserver (smtp://, imap://), und die Ergebnisse laufen in Echtzeit ein. Nutzen kannst du Gossling direkt und kostenlos über gossling.checkfix.io – kein Setup, einfach Ziel eingeben. Wer auch interne Systeme prüfen will, betreibt Gossling per Docker im eigenen Netz.
Im Detail prüft Gossling unter anderem:
- Protokolle: SSLv2/3, TLS 1.0–1.3, Downgrade- und Konsistenz-Checks
- Cipher-Suites: Aufzählung pro Version, Stärke-Übersicht, Server-Präferenz
- Zertifikate: Kettenvalidierung, CT/SCT, OCSP-Stapling, Must-Staple, CAA, Revocation
- Trust-Stores: Mozilla, Apple, Android, Java, Windows
- Schwachstellen: Heartbleed, POODLE, ROBOT, DROWN, BEAST, CRIME, FREAK, Logjam, Sweet32, Ticketbleed, BREACH u. v. m.
- HTTP-Header: HSTS (inkl. Preload-Eignung), CSP, Cookies, WAF-Fingerprint
Das Ergebnis ist ein A+-bis-F-Grade mit nachvollziehbarer Aufschlüsselung – die Bewertung nutzt die SSL-Labs-Gewichtung (Protokoll 30 %, Schlüsselaustausch 30 %, Cipher-Stärke 40 %) und die Cap-Logik von testssl.sh (z. B. Heartbleed → F, aktiviertes TLS 1.0 → Deckelung auf B). Heißt: Eine einzige veraltete Protokollversion zieht deine Gesamtnote nach unten – genau so, wie es sein soll.
Für Teams mit größerer Infrastruktur gibt es obendrein REST-API, WebSocket-Streaming, Scan-Historie, Caching und eine verteilte Runner-Flotte mit eigener VPN-Egress pro Worker. Kurz: ein Dienst, den du einmal aufsetzt und überall integrierst – kein Browser-Tab, keine geteilte Warteschlange.
Gossling vs. SSL Labs vs. testssl.sh
Ehrlich bleiben gehört bei uns dazu – deshalb ist Gossling kein 1:1-Klon von SSL Labs. Hier der Vergleich:
| Gossling | SSL Labs | testssl.sh | |
|---|---|---|---|
| Form | Plattform + CLI | Qualys Cloud-Dienst | Bash-CLI-Skript |
| Ziel-Bereich | Öffentliche Hosts online, interne Hosts bei eigenem Betrieb | Nur öffentliches Internet | Jeder erreichbare Host |
| Grading | A+–F (SSL-Labs-Gewichte + testssl.sh-Caps) | A+–F (proprietär) | Findings + Severity, keine Standardnote |
| Browser-Simulation | Nein | Ja | Nein |
| Automation | JSON-API, WebSocket, CI-Tools | Rate-limitierte API | Shell-/JSON-Output |
| Abhängigkeiten | Einzelne Go-Binary | Keine (SaaS) | bash, OpenSSL, … |
Was Gossling (noch) nicht kann – fairerweise gesagt:
- Keine Browser-/Client-Handshake-Simulation wie SSL Labs – bei einigen Kompatibilitätsbefunden macht das einen Unterschied.
- Die aktiven Padding-Oracle-Tests (Zombie POODLE, Golden DOODLE) sind bewusst opt-in, weil sie zusätzliche manipulierte Handshakes senden.
- testssl.sh hat Jahre an Community-Edge-Cases im Rücken; Gossling ist jünger, gleicht das aber über laufende Regressionstests gegen badssl.com und die SSL-Labs-API aus.
Für den Alltag heißt das: Wenn testssl.sh bei einem bestimmten Ziel abbricht oder du einen Mailserver prüfen musst, den SSL Labs gar nicht anfasst, ist Gossling genau dafür gebaut.
Mehr dazu: Welche freien TLS-Tools es sonst noch gibt und welches du kommerziell einsetzen darfst, steht im Vergleich Gratis SSL Labs Alternative: 8 Tools im Vergleich. Wie du deine eigene Konfiguration in einer Minute prüfst, zeigt die Anleitung SSL/TLS online testen.
Vom Scan zur Behebung: Was mache ich mit den Ergebnissen?
Ein Scanner sagt dir, was nicht stimmt. Die spannendere Frage ist meist: Was muss ich jetzt konkret tun?
Genau hier kommt CheckFix ins Spiel. Gossling deckt TLS/SSL ab – CheckFix ist deutlich umfangreicher und prüft deine komplette externe Angriffsfläche in einem Durchlauf:
- Mail Security (SPF, DKIM, DMARC)
- Secure Communication (TLS/SSL)
- Known Vulnerabilities (CVE-Abgleich)
- Security Headers
- Internet Interfaces (offene Ports, exponierte Dienste)
Der kostenlose Security-Check gibt dir das A-F-Rating über alle fünf Kategorien – den objektiven Überblick, wo dein Unternehmen (oder das deines Kunden) gerade steht. Der entscheidende Unterschied: Du bekommst mit CheckFix die ToDo-CheckList – priorisierte Aufgaben mit Schritt-für-Schritt-Anleitungen, betroffenen Systemen, IPs und Domains. Du musst die rohen Scanner-Ergebnisse also nicht selbst auswerten, sondern arbeitest einfach die Liste ab.
Die Idee dahinter: Cybersecurity ist keine einmalige Aktion. Egal ob einfacher Check, kostenloser Scanner oder Pentest – sie darf Teil des Daily Business werden. Und die besten Lösungen entstehen, wenn man brennt für die Sache, nicht nur fürs Business.
Wie sicher ist deine IT wirklich?
Eine „SSL obsolete version“-Warnung ist kein Schönheitsfehler, sondern ein konkretes Sicherheitsrisiko. Mit Gossling findest du veraltete Protokolle kostenlos – und mit dem gratis Security-Check von CheckFix bekommst du das ganze Bild plus die ToDo-Liste, um es gezielt zu schließen.