Cybersicherheit BLOGGratis SSL Labs Alternative: 8 Tools im Vergleich

Ja. Gossling läuft im Browser unter gossling.checkfix.io, kostet nichts, vergibt eine Gesamtnote von A+ bis F und darf auch kommerziell eingesetzt werden. Kein Download, kein Account, keine fremde Warteschlange.

Zur Einordnung: Gossling ist unser eigenes Tool. Entstanden ist es, weil uns bei einem Security-Check die TLS-Prüfung eines Kundensystems reproduzierbar abgestürzt ist und keines der verfügbaren Werkzeuge ein Ergebnis geliefert hat. Drei Wochen später stand der Scanner. Was er nicht kann, steht weiter unten.

SSL Labs ist der Referenztest. Die Note versteht jeder, und der SSL Server Rating Guide von Qualys ist die Grundlage, an der sich fast alle orientieren, wir eingeschlossen. Im Alltag stößt man trotzdem regelmäßig an drei Punkte.

Die Lizenz. Wer den Test automatisieren will, braucht die API, denn das Auslesen der Ergebnisse von der Website ist laut Nutzungsbedingungen ausdrücklich untersagt. Die API wiederum ist ohne Genehmigung von Qualys nicht für kommerzielle Zwecke freigegeben. Für Hosting-Provider, CAs, CDNs und Webagenturen gibt es gelockerte Bedingungen, aber unter Auflagen: Der Dienst muss allen Kunden kostenlos offenstehen, vollständige Ergebnisse dürfen nur als Link auf ssllabs.com weitergegeben werden.

Der Prüfumfang. SSL Labs testet ausschließlich öffentlich erreichbare Webserver. Mailserver, abweichende Ports und interne Systeme fallen raus.

Die Warteschlange. Du teilst sie mit allen anderen und weißt nicht, wann dein Scan drankommt.

Tool	Form	Gesamtnote A–F	Kosten und Limits	Kommerzieller Einsatz
Gossling	Online + API, optional selbst betrieben	ja (A+ bis F)	gratis	erlaubt
Qualys SSL Labs	Online + API	ja (A+ bis F)	gratis, nur öffentlich erreichbare Webserver	API nur mit Genehmigung, Auslesen der Website untersagt
testssl.sh	CLI-Skript zum Download	ja	gratis (GPLv2)	erlaubt
sslyze	CLI zum Download	nein, Prüfung gegen Mozilla-Konfigurationsprofile	gratis	erlaubt
sslscan	CLI zum Download	nein, reine Auflistung der Findings	gratis	erlaubt
ImmuniWeb SSL Security Test	Online + API	ja	10 Tests pro Monat ohne Account, 20 mit Gratis-Account, danach ab 25 Euro monatlich	White-Labeling der Reports untersagt
Hardenize Public Report	Online	nein, Bewertung je Prüfpunkt	Public Report gratis	Produkt selbst nur noch im Enterprise-Vertrieb von Red Sift
Mozilla Observatory (TLS)	2024 eingestellt	–	–	–

Das tiefste freie Werkzeug für TLS, seit Jahren gepflegt, mit Community-Erfahrung im Rücken, die kein junges Tool aufholt. Der Haken ist die Form: ein Bash-Skript, dessen Ergebnis von deiner OpenSSL-Version und deiner Shell abhängt. Bei manchen Zielen bricht es ab. Für Techniker mit Terminal großartig, für „schnell die Kundendomain prüfen und den Report weiterschicken“ der falsche Weg.

Beide gratis, beide auf der Kommandozeile, beide mit brauchbaren technischen Details. Was fehlt, ist die Gesamtnote. sslyze prüft gegen die Mozilla-TLS-Konfigurationsprofile und sagt „bestanden“ oder „nicht bestanden“. Das hilft beim Härten. Es hilft nicht, wenn du der Geschäftsführung erklären sollst, wo ihr steht.

Online, mit Note, PDF-Report und Prüfung auf PCI-DSS-, HIPAA- und NIST-Konformität. Das Limit steht offen auf der Website: zehn Tests pro Monat ohne Account, zwanzig mit kostenlosem Account, danach ab 25 Euro monatlich für 50 Tests. Für eine Agentur mit dreißig Kundendomains ist das im ersten Monat aufgebraucht.

Kommt von Ivan Ristić, dem Erfinder von SSL Labs, und der Public Report ist weiterhin gratis abrufbar. Er ist auch gut: DNS, Mailserver, SPF, DMARC, Zertifikate und Header in einer Übersicht. Nur gibt er keine Gesamtnote aus, sondern eine Bewertung je Prüfpunkt. Seit der Übernahme durch Red Sift ist das Produkt dahinter im Enterprise-Segment, einen Self-Service-Tarif gibt es nicht mehr.

Das alte Observatory hatte einen eigenen TLS-Teil. Den hat Mozilla 2024 abgeschaltet. Das neue HTTP Observatory auf MDN prüft nur noch HTTP-Header, und laut Mozilla ist nicht geplant, TLS- und Zertifikatsanalysen zurückzubringen. Wer heute auf ein Observatory-TLS-Rating verweist, verweist ins Leere.

Gossling ist kein Skript, sondern ein Go-Scanner mit Weboberfläche und API. Du gibst eine Domain, einen HTTPS-Dienst auf einem beliebigen Port oder einen STARTTLS-Mailserver ein (smtp://, imap://), die Ergebnisse laufen live ein.

Geprüft werden unter anderem:

• Protokolle: SSLv2/3, TLS 1.0 bis 1.3, Downgrade- und Konsistenz-Checks
• Cipher-Suites: Aufzählung pro Version, Stärke, Server-Präferenz
• Zertifikate: Kettenvalidierung, CT/SCT, OCSP-Stapling, Must-Staple, CAA, Revocation
• Trust-Stores: Mozilla, Apple, Android, Java, Windows
• Schwachstellen: Heartbleed, POODLE, ROBOT, DROWN, BEAST, CRIME, FREAK, Logjam, Sweet32
• HTTP-Header: HSTS inklusive Preload-Eignung, CSP, Cookies

Die Note folgt der SSL-Labs-Gewichtung (Protokoll 30 Prozent, Schlüsselaustausch 30 Prozent, Cipher-Stärke 40 Prozent) und übernimmt die Deckelungslogik von testssl.sh. Heartbleed bedeutet F. Aktiviertes TLS 1.0 deckelt bei B, egal wie sauber der Rest konfiguriert ist. Bei mehreren Endpunkten zählt der schlechteste.

Wie du den Scan Schritt für Schritt durchziehst und was die einzelnen Werte bedeuten, steht in unserer Anleitung SSL/TLS online testen. Was hinter einer Meldung wie „SSL obsolete version“ steckt, haben wir hier aufgeschlüsselt.

Gossling simuliert keine Browser- und Client-Handshakes wie SSL Labs. Bei Kompatibilitätsfragen („läuft das noch mit einem alten Java-Client?“) ist das ein echter Unterschied. Die aktiven Padding-Oracle-Tests auf Zombie POODLE und Golden DOODLE sind bewusst opt-in, weil sie zusätzliche manipulierte Handshakes an den Server schicken. Und testssl.sh hat schlicht mehr Jahre und mehr Edge-Cases gesehen.

Interne Systeme aus einem privaten Netz kann der Online-Scanner nicht erreichen, das kann kein Online-Tool. Wer Staging-Umgebungen oder RFC1918-Hosts prüfen will, betreibt Gossling per Docker im eigenen Netz. SSL Labs bietet diese Option gar nicht.

Ein Scanner sagt dir, was nicht stimmt. Die konkretere Frage ist: Was tue ich jetzt damit?

Gossling deckt TLS/SSL ab. CheckFix prüft in einem Durchlauf die komplette externe Angriffsfläche: Mail Security (SPF, DKIM, DMARC), TLS/SSL, bekannte Schwachstellen über CVE-Abgleich, Security Headers und Internet-Schnittstellen. Der gratis Security-Check gibt dir das A-bis-F-Rating über alle fünf Kategorien. Mit CheckFix kommt die priorisierte ToDo-CheckList dazu: welcher Befund, welches System, wie dringend, welche Maßnahme. Kein Rohdaten-Export, den erst wieder jemand interpretieren muss.

SSL Labs bleibt eine gute Wahl für einen einzelnen öffentlichen Webserver. Nur beruht die Note bei Gossling auf demselben Rating Guide, und wir verifizieren sie laufend gegen badssl.com und die SSL-Labs-API selbst. Die Bewertung, die du bekommst, spricht also dieselbe Sprache, die im Audit ohnehin verwendet wird.

Der Unterschied liegt daneben: bei Mailservern, bei Diensten auf abweichenden Ports, bei Automatisierung über eine API und bei allem, was du im Kundenauftrag machst. Genau dort haben wir Gossling gebaut.

Und danach? Wenn du wissen willst, wie es um den Rest deiner Angriffsfläche steht: Der Security-Check ist gratis und dauert kaum länger als ein Kaffee.