Leistungsbeschreibung

TLS-Abgleich mit den Empfehlungen der BSI TR-02102-2 (Version 2026-01), Stand 29.10.2026.

1. Gegenstand

Wir messen die TLS-Konfiguration eines vom Kunden genannten Servers (ein Hostname, ein Port) und gleichen sie mit den Tabellen und Bedingungen der BSI TR-02102-2 in der Version 2026-01 ab. Ergänzend berücksichtigen wir die Hinweise der BSI-Webseite zu hybriden Post-Quanten-Gruppen in TLS 1.3. Das Ergebnis ist ein Bericht als PDF.

2. Prüfumfang

  • Angebotene Protokollversionen (TLS 1.0, 1.1, 1.2, 1.3)
  • Angebotene Cipher-Suiten für TLS 1.2 und TLS 1.3
  • Unterstützte Gruppen für TLS 1.2 und TLS 1.3, einschließlich X25519MLKEM768, SecP256r1MLKEM768 und SecP384r1MLKEM1024
  • Signaturverfahren in TLS 1.3
  • Serverzertifikat: Schlüsselart und -länge, Signaturverfahren, Gültigkeit, Vertrauenskette
  • TLS 1.2: Encrypt-then-MAC bei CBC-Suiten, Extended Master Secret, sichere Renegotiation, Kompression

Jede Zeile des Berichts nennt das Ergebnis, eine Einordnung und die Fundstelle in der TR (Abschnitt, Tabelle, Seite). Zu Abweichungen und optionalen Änderungen enthält der Bericht Konfigurationshinweise für nginx und Apache.

3. Vorgehen

  • Die Prüfung besteht nur aus normalen TLS-Handshakes zum bestellten Port, wie sie jeder Browser aufbaut, rund 200 Verbindungen mit höchstens vier pro Sekunde.
  • Wir senden keine Angriffsmuster, prüfen keine Schwachstellen und lesen keine Inhalte. Wir verwenden keine Zugangsdaten.
  • Werkzeug: eigener Prüfkern auf Basis von Node.js und OpenSSL; Versionen und Prüfzeitpunkt stehen im Bericht. Die Rohdaten liegen im Anhang, damit Sie jedes Ergebnis mit frei verfügbaren Werkzeugen nachprüfen können.

4. Für Hostbetreiber: Prüfungen sperren lassen

Wir prüfen öffentlich erreichbare TLS-Endpunkte nur mit normalen Verbindungsaufbauten auf dem angegebenen Port (siehe Abschnitt 3), mit höchstens drei Prüfungen je Hostname und Port und Kalendertag. Wir führen keine Schwachstellen-, Exploit- oder Belastungstests durch und scannen keine Adressbereiche. Den Bericht über einen Host erhält nur der Besteller; wir geben ihn nicht an Dritte weiter und veröffentlichen ihn nicht.

Wer einen Host betreibt, kann ihn ohne Begründung per E-Mail an Venture20@westlabsai.com auf unsere Sperrliste setzen lassen; bitte nennen Sie den Hostnamen. Gesperrte Hosts prüfen wir nicht mehr: Die Prüfung bricht vor dem ersten Verbindungsaufbau ab. Dieselbe Adresse gilt für Hinweise auf Missbrauch.

5. Nicht enthalten

  • Schwachstellen- oder Penetrationstests, Prüfung der Anwendung, HTTP-Header, weitere Ports oder Hostnamen
  • 0-RTT, Session Resumption und die Ablehnung clientseitiger Renegotiation
  • Abgleich mit anderen Richtlinien (z. B. TR-03116-4, Mindeststandard des Bundes)
  • Änderungen an Ihrem Server; Rechtsberatung, etwa zu NIS2 oder BSIG
  • Ein Zertifikat, Siegel oder Testat. Der Bericht ist nicht vom BSI geprüft oder anerkannt.

6. Aussagekraft

Der Bericht ist eine Momentaufnahme zum angegebenen Prüfzeitpunkt, gemessen von unserem Prüfsystem aus. Hinter Lastverteilern können einzelne Server unterschiedlich konfiguriert sein. „Nicht aufgeführt“ bedeutet, dass ein Verfahren in keiner Tabelle der TR steht; das ist kein Urteil über seine Sicherheit.

7. Lieferung und Preis

Lieferung des Berichts als PDF binnen eines Werktags nach Zahlungseingang: Wir senden Ihnen per E-Mail einen persönlichen Link zum Herunterladen. Die Adresse enthält eine zufällige Zeichenfolge, ist nirgends verlinkt und für Suchmaschinen gesperrt; wer den Link kennt, kann den Bericht abrufen. Bitte speichern Sie den Bericht. Nach 30 Tagen machen wir die Adresse unbrauchbar; auf Anfrage stellen wir den Bericht erneut bereit. Dauert die Lieferung länger als drei Werktage, erstatten wir auf Wunsch den vollen Betrag. Preis: 35 € inkl. 19 % MwSt. (netto 29,41 €) je Hostname und Port. Sie erhalten eine Rechnung mit ausgewiesener Umsatzsteuer. Es gelten unsere AGB.