Du willst wissen, ob die Verschlüsselung deiner Website in Ordnung ist, ohne etwas zu installieren? Domain bei gossling.checkfix.io eingeben, Scan starten, Note von A+ bis F ablesen. Gratis. Was die Note bedeutet und was du bei einem schlechten Ergebnis zuerst anfasst, steht hier.
Wie teste ich SSL/TLS online kostenlos?
In vier Schritten:
- Tool öffnen
Ruf gossling.checkfix.io auf. - Ziel eingeben
Deine Domain (deine-domain.at). Für Mailserver funktioniert auchsmtp://mail.deine-domain.at. - Scan starten
Die Ergebnisse laufen live ein, ein Download ist nicht nötig. - Ergebnis lesen
Zuerst die Gesamtnote, dann die Aufschlüsselung darunter.
Kein Account, keine Installation, keine geteilte Warteschlange.
Was die Note von A+ bis F bedeutet
Die Bewertung folgt der Systematik des SSL Server Rating Guide von Qualys. Drei Bereiche gehen gewichtet ein:
| Bereich | Gewicht | Was dahintersteckt |
|---|---|---|
| Protokoll-Unterstützung | 30 % | Welche TLS-Versionen der Server akzeptiert |
| Schlüsselaustausch | 30 % | Stärke des Key Exchange, Forward Secrecy, Schlüssellängen |
| Cipher-Stärke | 40 % | Welche Verschlüsselungsverfahren angeboten werden |
Dazu kommen Deckelungen: Ein einzelner schwerer Befund zieht die Note nach unten, egal wie gut der Rest aussieht. Heartbleed bedeutet F, aktiviertes TLS 1.0 deckelt bei B. Das ist Absicht. Deine Verschlüsselung ist immer nur so stark wie das schwächste Verfahren, das dein Server noch akzeptiert.
Die häufigsten Gründe für eine schlechte Note
| Befund | Was das heißt | Was du tust |
|---|---|---|
| SSLv3, TLS 1.0 oder TLS 1.1 aktiv | Downgrade-Angriffe wie POODLE oder BEAST werden möglich, Audit-Finding bei ISO 27001 und PCI-DSS | Alte Protokolle deaktivieren, nur TLS 1.2 und 1.3 zulassen |
| Schwache Cipher-Suites (RC4, 3DES) | Verkehr lässt sich unter Umständen entschlüsseln | Cipher-Liste auf aktuelle AEAD-Suiten reduzieren |
| Zertifikatskette unvollständig | Manche Clients brechen ab, Browser warnen | Intermediate-Zertifikate am Server nachziehen |
| Zertifikat passt nicht zum Hostnamen | Häufig bei Subdomains wie ftp oder webmail, die im Zertifikat fehlen | Zertifikat mit korrekten SAN-Einträgen ausstellen lassen |
| Keine Weiterleitung von HTTP auf HTTPS | Erster Aufruf läuft unverschlüsselt, HSTS greift nicht sauber | Permanente Weiterleitung auf Port 80 einrichten |
| HSTS fehlt | Verbindung lässt sich beim ersten Kontakt herunterhandeln | Strict-Transport-Security-Header setzen |
Das Tückische daran: Man sieht einer schlechten TLS-Konfiguration nichts an. Die Seite lädt, das Schloss im Browser ist da. Bei uns hat genau so ein Fall zur Entwicklung von Gossling geführt: ein Kandidat für den Security-Check, äußerlich unauffällig, bei dem die TLS-Prüfung reproduzierbar ausgestiegen ist. Drei Wochen später hatten wir einen eigenen Scanner.
Auch den Mailserver testen
Verschlüsselung betrifft die Website nicht allein. Dein Mailserver baut über STARTTLS ebenfalls TLS-Verbindungen auf, und dort schlummern erstaunlich oft alte Protokolle und abgelaufene Zertifikate. SSL Labs prüft ausschließlich öffentlich erreichbare Webserver. Mit Gossling kannst du smtp:// und imap:// direkt mitprüfen, genauso wie HTTPS-Dienste auf abweichenden Ports.
Was ein TLS-Test nicht zeigt
Eine gute TLS-Note ist ein Prüfpunkt, keine Sicherheitsfreigabe. Sie sagt nichts darüber, ob dein Webserver eine bekannte Schwachstelle mit CVSS 9 mitschleppt, ob deine Domain per SPF und DMARC gegen Fälschung abgesichert ist, ob irgendwo ein Datenbankport offen im Internet steht oder ob deine Security-Header Clickjacking und XSS einen Riegel vorschieben.
Das ganze Bild liefert der gratis Security-Check von CheckFix: fünf Kategorien in einem Durchlauf, Mail Security, TLS/SSL, bekannte Schwachstellen, Security Headers und Internet-Schnittstellen, mit A-bis-F-Rating pro Kategorie. Mit CheckFix kommt die priorisierte ToDo-CheckList dazu, also der Teil, mit dem dein Techniker tatsächlich arbeiten kann.
Wie kann ich meine SSL/TLS-Verschlüsselung kostenlos online testen?
Über einen Online-Scanner wie gossling.checkfix.io: Domain eingeben, Scan starten, Gesamtnote von A+ bis F ablesen. Der Test läuft im Browser, ohne Installation und ohne Account.
Geprüft werden Protokolle (SSLv3, TLS 1.0 bis 1.3), Cipher-Suites, Zertifikate samt Kette und Gültigkeit sowie bekannte TLS-Schwachstellen wie Heartbleed und POODLE. Mailserver lassen sich über smtp:// oder imap:// ebenfalls prüfen.
Zum Testen geht es hier: Gossling. Das komplette Bild – Mail-Security, Security-Header, bekannte Schwachstellen, offene Ports und eine fertige ToDo-Liste zum Abarbeiten – liefert der gratis Security-Check von CheckFix.
Fazit: Der Test kostet dich eine Minute
Die meisten schlechten TLS-Noten stammen von Konfigurationen, die vor Jahren einmal richtig waren und seither niemand angefasst hat. Ein aktivierter TLS-1.0-Stack fällt im Betrieb niemandem auf, im nächsten Audit dafür sofort.
Du willst vorher die freien Tools vergleichen? Dann schau in unseren Vergleich der kostenlosen SSL-Labs-Alternativen. Und was hinter der Meldung „SSL obsolete version“ steckt, steht hier.
TLS ist eine von fünf Kategorien. Den Rest siehst du im Security-Check.
Quellen
- Qualys SSL Labs, SSL Server Rating Guide: ssllabs.com/projects/rating-guide
- RFC 8996, Deprecating TLS 1.0 and TLS 1.1: rfc-editor.org
- RFC 7568, Deprecating SSLv3: rfc-editor.org