Am 21. Oktober ist der Internationale Tag der Verschlüsselung (Global Encryption Day). Ins Leben gerufen wurde dieser 2021 von der Global Encryption Coalition, um einen regelmäßigen Anlass zu schaffen, der für starke Verschlüsselung im Netz wirbt. Nutzen wir daher die Gelegenheit, einen Blick auf Deine eigene Domain zu werfen. Wusstest Du, dass das Schloss-Symbol im Browser nur einen kleinen Teil dessen ausmacht, wie gut Deine Daten unterwegs geschützt sind. Mit unserem 10-Minuten-Check findest Du heraus, wo Deine Domain steht und welche Lücken Du wie schnell schließen kannst.
Warum ein Schloss-Symbol allein längst nicht ausreicht
Das Schloss neben einer Internetadresse bestätigt nur eines: Die Verbindung zwischen Browser und Website ist per TLS verschlüsselt (oft noch SSL genannt). Ein Gütesiegel für die Seite selbst ist es jedoch nicht, denn auch fast alle Phishing-Seiten tragen ein solches Symbol. Google Chrome zeigt das Schloss aus diesem Grund seit Version 117 (September 2023) gar nicht mehr an, sondern hinterlegt die Verschlüsselungsinformationen der Website hinter einem neutralen Einstellungs-Symbol.
Deine Domain ist jedoch oft weitaus mehr als nur Deine Website. Über sie laufen vielleicht Deine E-Mails, während das DNS, das Telefonbuch des Internets, dafür sorgt, dass beide überhaupt gefunden werden. Für E-Mails und DNS gibt es kein Schloss-Symbol, das Dir zeigt, ob diese geschützt sind. Genau deshalb prüft unser Check alle drei Bereiche:
- Website – Ist die Verbindung zuverlässig bei jedem Aufruf und dauerhaft verschlüsselt?
- E-Mail – Reisen Deine Mails verschlüsselt von Server zu Server oder im Klartext?
- DNS – Ist die Vertrauenskette abgesichert, auf der Deine Verschlüsselung aufbaut?
So funktioniert der Check
Der Check umfasst drei Bereiche mit insgesamt neun Kriterien, für welche Du maximal 100 Punkte erreichen kannst. Technikwissen brauchst Du dafür nicht. Viele Informationen findest Du direkt in Deinem do.de-Kundenmenü, allem voran die DNS-Verwaltung. Jedes Kriterium enthält jedoch konkrete Angaben, wo Du Details nachsehen oder auch nachbessern kannst. Bleibt etwas unklar, dann hilft Dir der kostenlose Testdienst internet.nl weiter.
Gut zu wissen: Einige Kriterien setzt Du vielleicht nicht selbst um, sondern Dein Hoster oder Mailanbieter. Ein fehlender Haken ist deshalb kein Vorwurf, sondern ein guter Anlass für eine kurze Nachfrage.
Du bevorzugst Stift und Papier? Dann lade Dir den Verschlüsselungs-Check als PDF zum Ausdrucken und Ankreuzen herunter.
Bist Du bereit? Dann legen wir los!!!
Bereich 1: Deine Website (max. 40 Punkte)
Hier geht es um die Verbindung zwischen den Besuchern und Deiner Seite. Die Grundlagen hier hast Du höchstwahrscheinlich schon erfüllt, die Feinheiten entscheiden über eine volle Punktzahl.
HTTPS mit gültigem Zertifikat
+10 PunkteWie bereits erwähnt, verschlüsselt ein SSL/TLS-Zertifikat die Verbindung zwischen Browser und Website. So kann niemand im gleichen Netzwerk mitlesen, was Nutzer in Formulare oder Logins eintippen, auch nicht im öffentlichen WLAN.
Ruf Deine Website auf. Beginnt die Adresse mit https:// und zeigt der Browser keine Warnung, dann ist Dein Zertifikat gültig. Zertifikate von do.de siehst Du zusätzlich in der SSL-Übersicht im Kundenmenü.
Du hast noch kein Zertifikat? Unser SSL-Wiki zeigt Dir, wie Du ein solches einrichtest und Deine Website auf HTTPS umstellst.
HTTPS wird per HSTS erzwungen
+10 PunkteHSTS (HTTP Strict Transport Security) ist eine Anweisung Deiner Website an den Browser: „Sprich mit mir nur verschlüsselt.“ Eine einfache Weiterleitung von HTTP auf HTTPS reicht also nicht, da jeder Aufruf ohne HTTPS zunächst unverschlüsselt startet und es so Angreifern ermöglicht, sich dazwischenzuschalten. Mit HSTS merkt sich der Browser, Deine Seiten nur noch verschlüsselt aufzurufen.
HSTS ist eine Einstellung auf Deinem Webserver, im Browser siehst Du sie nicht. Am einfachsten prüfst Du sie mit dem Website-Test auf internet.nl. Alternativ fragst Du Deinen Hoster.
Bei vielen Hostern ist HSTS ein Schalter im Hosting-Menü, bei WordPress hilft ein Sicherheits-Plugin. Wichtig: Alle Unterseiten müssen vorher zuverlässig per HTTPS erreichbar sein.
Aktuelle TLS-Protokolle
+10 PunkteTLS ist der Standard hinter HTTPS. Die alten Versionen TLS 1.0 und 1.1 gelten mittlerweile als unsicher. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt TLS 1.2 und TLS 1.3.
Welche Versionen aktiv sind, legt Dein Hoster fest. Im Zweifelsfall zeigt Dir der Website-Test auf internet.nl, ob noch veraltete Versionen im Einsatz sind.
Ist noch TLS 1.0 oder 1.1 aktiv, dann bitte Deinen Hoster, die alten Versionen abzuschalten.
Zertifikate erneuern sich automatisch
+10 PunkteZertifikate laufen immer schneller ab. Seit März 2026 sind sie höchstens 200 Tage gültig, ab März 2027 nur noch 100 Tage und ab März 2029 lediglich 47 Tage. Wer von Hand verlängert, vergisst es irgendwann, und Besucher sehen eine Warnseite. Das Gleiche gilt auch für Subdomains wie shop. oder mail.
Hast Du Dein Zertifikat bei do.de gekauft, verlängert es sich automatisch. Du siehst Deine Zertifikate in der SSL-Übersicht im Kundenmenü. Bei Zertifikaten von Dritten gilt: Prüfe in Deinem Hosting-Menü oder per Anfrage bei Deinem Hoster, ob sich Deine Zertifikate automatisch verlängern. Musst Du selbst an die Verlängerung denken, gibt es hier keine Punkte.
Nutze den direkten Weg und erwirb Dein SSL-Zertifikat über do.de, dann kümmern wir uns um die automatische Verlängerung. Auch kostenlose Zertifikate über ACME, etwa von Let’s Encrypt, lassen sich automatisch verlängern. Mehr dazu findest Du in unserem SSL-Wiki.
Bereich 2: Deine E-Mails (max. 35 Punkte)
Ob E-Mails auf ihrem Weg von einem Mailserver zum anderen unterwegs verschlüsselt werden, handeln die Server untereinander aus. Funktioniert das nicht, fallen viele Server ohne Warnung auf unverschlüsselten Klartext zurück. Deshalb sind Mechanismen wichtig, welche eine Verschlüsselung zwingend erfordern oder im Zweifelsfall die Übertragung abbrechen.
Dein Mailserver unterstützt Verschlüsselung per STARTTLS
+10 PunkteSTARTTLS ist wie eine „Lass uns verschlüsselt reden“-Vereinbarung zwischen Mailservern. Die Schwäche: Es ist ein Angebot, keine Pflicht. Es bleibt also ein Risiko, dass Mails unverschlüsselt übertragen werden.
STARTTLS wird weithin unterstützt und direkt von Deinem Mailanbieter eingerichtet. Gewissheit, ob Dein Mailserver verschlüsselte Verbindungen annimmt, bringt Dir der E-Mail-Test auf internet.nl.
Fehlt STARTTLS, dann sprich Deinen Mailanbieter an. Bei einem eigenen Mailserver gehört dies zur Grundeinrichtung.
MTA-STS und TLS-Reporting
+15 PunkteMTA-STS macht aus der STARTTLS-Kür eine Pflicht: Es legt fest, dass Mails an Deine Domain nur verschlüsselt zugestellt werden dürfen. Große Anbieter wie Gmail und Microsoft halten sich daran. Per TLS-Reporting erhältst Du Berichte, wenn eine verschlüsselte Zustellung scheitert.
Öffne die DNS-Verwaltung in Deinem do.de-Kundenmenü (Domains → Einstellungen → Weiterleitung / DNS) und prüfe, ob dort ein TXT-Eintrag mit dem Namen _mta-sts angelegt ist.
MTA-STS erfordert einen TXT-Eintrag in der DNS-Verwaltung und eine kleine Textdatei mit Deinen Regeln auf der Subdomain mta-sts. Liegt Dein Postfach bei einem Anbieter, frag dort nach den passenden Werten. Mehr dazu findest Du in unserer Anleitung zur DNS-Verwaltung.
DANE für Deinen Mailservererfordert DNSSEC
+10 PunkteDANE hinterlegt im DNS einen digitalen Fingerabdruck des Mailserver-Zertifikats. Absender, die DANE prüfen, liefern nur bei erfolgreicher Prüfung – und zwar nur verschlüsselt und nur an den echten Server. Viele deutsche Mailanbieter prüfen DANE bereits.
Der E-Mail-Test auf internet.nl zeigt Dir, ob DANE aktiv ist. Betreibst Du einen eigenen Mailserver, siehst Du den zugehörigen TLSA-Eintrag auch in den DNS-Einträgen Deiner Domain im do.de-Kundenmenü. Beachte: Ohne DNSSEC ist dieses Kriterium nicht erfüllbar.
Liegt Dein Postfach bei einem externen E-Mail-Anbieter, muss dieser DANE für seine Mailserver einrichten. Bei einem eigenen Mailserver brauchst Du zuerst DNSSEC und dann einen TLSA-Eintrag, den Du direkt in der do.de-DNS-Verwaltung anlegen kannst. Wichtig: Nach jedem Zertifikatswechsel muss der Eintrag aktualisiert werden, sonst kommen Mails nicht mehr an.
Extra-TippOb eine Mail wirklich von Dir stammt, regeln SPF, DKIM und DMARC. Das ist Absenderschutz statt Verschlüsselung und zählt deshalb nicht zum Score. Wie Du die drei wichtigen Komponenten einrichtest, liest Du in unserem Artikel zu SPF, DKIM und DMARC.
Bereich 3: Das Fundament im DNS (max. 25 Punkte)
Das DNS übersetzt Deinen Domainnamen in die Adresse Deines Servers, ähnlich wie ein Telefonbuch. Die beiden hierfür angesetzten Kriterien verschlüsseln zwar selbst nichts, sie sichern aber die Vertrauenskette ab, auf der Deine Verschlüsselung aufbaut.
DNSSEC aktiv
+15 PunkteDNSSEC versieht die Antworten Deines DNS mit einer digitalen Unterschrift. So lässt sich erkennen, ob eine Antwort echt ist oder unterwegs gefälscht wurde. Für die Verschlüsselung ist das doppelt wichtig: Zum einen ist DNSSEC die Voraussetzung für DANE, zum anderen erschwert es Angreifern, Mails per gefälschtem DNS-Eintrag umzuleiten.
Im do.de-Kundenmenü zeigt das DNSSEC-Symbol in den Domain-Einstellungen, ob DNSSEC aktiv ist. Liegt Deine Domain bei einem anderen Anbieter, prüfst Du es mit dem Website-Test auf internet.nl.
Nutzt Du do.de-Nameserver, aktivierst Du DNSSEC per Klick auf das Symbol. Bei eigenen Nameservern legst Du DNSSEC manuell an. Alle Schritte erklärt Dir unsere Anleitung zur DNSSEC-Einrichtung.
CAA-Eintrag hinterlegt
+10 PunkteSSL-Zertifikate können von vielen Zertifizierungsstellen weltweit ausgestellt werden. Mit einem CAA-Eintrag legst Du fest, welche davon Du zulässt. Alle anderen müssen die Ausstellung ablehnen. Warum das wichtig ist: Mit einem gültigen Zertifikat für Deine Domain könnte sich ein Angreifer als Deine Website oder Dein Mailserver ausgeben, ohne dass der Browser warnt. Leitet er Besucher etwa in einem manipulierten WLAN auf seinen eigenen Server um, sieht für sie alles echt aus – inklusive Schloss – und er könnte Logins und Formulardaten abfangen. CAA verkleinert dieses Risiko, denn ein Angreifer kann sich ein Zertifikat nicht mehr bei einer beliebigen, womöglich nachlässig prüfenden Stelle besorgen.
Öffne in Deinem do.de-Kundenmenü die DNS-Verwaltung Deiner Domain (Domains → Einstellungen → Weiterleitung / DNS). Gibt es dort einen Eintrag vom Typ CAA, bekommst Du die Punkte.
Leg einen Eintrag vom Typ CAA an, zum Beispiel 0 issue "letsencrypt.org". Frag vorher Deinen Hoster, welche Zertifizierungsstelle er nutzt, sonst sperrst Du Dein eigenes Zertifikat aus. Mehr dazu findest Du in unserer Anleitung zur DNS-Verwaltung.
Auswertung: Wo steht Deine Domain?
Zeit für die Auflösung, wie Deine Domain in Sachen Verschlüsselung aufgestellt ist. Zähle Deine Punkte für alle Bereiche zusammen und finde Deine persönliche Einstufung.
Übrigens: Wer personenbezogene Daten verarbeitet, muss sie nach Art. 32 DSGVO unter Berücksichtigung des Stands der Technik schützen. Verschlüsselung wird dort ausdrücklich als Beispiel genannt.
35 Punkte in 15 Minuten: Drei schnelle Hebel
Siehst Du noch Luft nach oben bei Deinem Score? Dann starte mit diesen drei Schritten, denn sie bringen die meisten Punkte bei geringstem Aufwand. Zwei der folgenden Schritte erledigst Du mit wenigen Klicks im do.de-Kundenmenü, den dritten direkt bei Deinem Hoster. Zusammen bringen Dir diese bis zu 35 extra Punkte.
- 1do.de-Kundenmenü
DNSSEC aktivieren
+15 PunkteNutzt Du do.de-Nameserver, aktivierst Du DNSSEC mit einem Klick auf das DNSSEC-Symbol in den Domain-Einstellungen. Bei eigenen Nameservern legst Du DNSSEC manuell an.
Anleitung zu DNSSEC - 2do.de-Kundenmenü
CAA-Eintrag setzen
+10 PunkteTrag in Deiner DNS-Verwaltung ein, welche Zertifizierungsstelle Zertifikate ausstellen darf, zum Beispiel
Anleitung zur DNS-Verwaltung0 issue "letsencrypt.org". Wichtig: Frag vorher Deinen Hoster, welche Stelle er nutzt, sonst sperrst Du Dein eigenes Zertifikat aus. - 3bei Deinem Hoster
HSTS einschalten
+10 PunkteBei vielen Hostern ist das ein Schalter im Menü, bei WordPress hilft ein Sicherheits-Plugin. Wichtig: Alle Seiten müssen zuverlässig per HTTPS erreichbar sein.
Deine Domain liegt noch woanders?Bei do.de verwaltest Du DNS-Einträge und DNSSEC sicher und zentral an einem Ort.
Jetzt Domain zu do.de umziehen
Schreibe einen Kommentar