CiphermeterWissen · TR-02102-2
TR‑02102‑2 (2026‑01) als Tabelle
Jedes Verfahren, das die BSI TR-02102-2 für TLS empfiehlt, auf einer Seite: mit IANA-Nummer, Frist und Fundstelle. Dieselben Daten nutzt unser Bericht für den Abgleich, und Sie können sie als JSON herunterladen.
Stand: 26.10.2026 · Quelle: BSI TR-02102-2 Kryptographische Verfahren: Empfehlungen und Schlüssellängen, Teil 2 – Verwendung von Transport Layer Security (TLS), Version 2026-01 vom 27.01.2026 · Nur Verfahrensnamen, Parameter, Fristen und Fundstellen, kein TR-Wortlaut · Nicht vom BSI geprüft oder anerkannt
So lesen Sie die Fristen
- „bis 2031“ heißt: empfohlen bis Ende 2031 (Abschnitt 3.1.1, S. 6). Ein „+“ heißt, die Frist wird in einer künftigen Fassung eventuell verlängert.
- Fristen bis 2025 sind seit dem 1.1.2026 abgelaufen und hier als „abgelaufen“ markiert.
- Was nicht in den Tabellen steht, ist laut TR nicht automatisch unsicher, sondern nur nicht empfohlen (Kapitel 1, S. 4). Häufige Beispiele stehen unten.
Protokollversionen
| Version | Status | Frist | Fundstelle |
|---|---|---|---|
TLS 1.3 | empfohlen | bis 2032+ | Abschn. 3.2, Tab. 2, S. 6 |
TLS 1.2 | empfohlen | bis 2031 | Abschn. 3.2, Tab. 2, S. 6 |
TLS 1.1 | nicht empfohlen | – | Abschn. 3.2, S. 6 |
TLS 1.0 | nicht empfohlen | – | Abschn. 3.2, S. 6 |
SSL 3.0 | nicht empfohlen | – | Abschn. 3.2, S. 6 |
SSL 2.0 | nicht empfohlen | – | Abschn. 3.2, S. 6 |
TLS 1.3
Cipher-Suiten
| Cipher-Suite | IANA | Frist | Fundstelle |
|---|---|---|---|
TLS_AES_128_GCM_SHA256 | 0x13,0x01 | bis 2032+ | Abschn. 3.4.4, Tab. 13, S. 14 |
TLS_AES_256_GCM_SHA384 | 0x13,0x02 | bis 2032+ | Abschn. 3.4.4, Tab. 13, S. 14 |
TLS_AES_128_CCM_SHA256 | 0x13,0x04 | bis 2032+ | Abschn. 3.4.4, Tab. 13, S. 14 |
Gruppen für die Schlüsseleinigung
| Gruppe | IANA | Typ | Frist | Fundstelle |
|---|---|---|---|---|
secp256r1 (alleinige (nicht hybride) Nutzung nur bis Ende 2031) | 23 | ecdhe | bis 2031 | Abschn. 3.4.2, Tab. 10, S. 13 |
secp384r1 (alleinige (nicht hybride) Nutzung nur bis Ende 2031) | 24 | ecdhe | bis 2031 | Abschn. 3.4.2, Tab. 10, S. 13 |
secp521r1 (alleinige (nicht hybride) Nutzung nur bis Ende 2031) | 25 | ecdhe | bis 2031 | Abschn. 3.4.2, Tab. 10, S. 13 |
brainpoolP256r1tls13 (alleinige (nicht hybride) Nutzung nur bis Ende 2031) | 31 | ecdhe | bis 2031 | Abschn. 3.4.2, Tab. 10, S. 13 |
brainpoolP384r1tls13 (alleinige (nicht hybride) Nutzung nur bis Ende 2031) | 32 | ecdhe | bis 2031 | Abschn. 3.4.2, Tab. 10, S. 13 |
brainpoolP512r1tls13 (alleinige (nicht hybride) Nutzung nur bis Ende 2031) | 33 | ecdhe | bis 2031 | Abschn. 3.4.2, Tab. 10, S. 13 |
ffdhe3072 (alleinige (nicht hybride) Nutzung nur bis Ende 2031) | 257 | ffdhe | bis 2031 | Abschn. 3.4.2, Tab. 10, S. 13 |
ffdhe4096 (alleinige (nicht hybride) Nutzung nur bis Ende 2031) | 258 | ffdhe | bis 2031 | Abschn. 3.4.2, Tab. 10, S. 13 |
Signaturverfahren im Handshake (signature_algorithms)
| Verfahren | IANA | Frist | Fundstelle |
|---|---|---|---|
rsa_pss_rsae_sha256 | 0x0804 | bis 2032+ | Abschn. 3.4.3, Tab. 11, S. 13 |
rsa_pss_rsae_sha384 | 0x0805 | bis 2032+ | Abschn. 3.4.3, Tab. 11, S. 13 |
rsa_pss_rsae_sha512 | 0x0806 | bis 2032+ | Abschn. 3.4.3, Tab. 11, S. 13 |
rsa_pss_pss_sha256 | 0x0809 | bis 2032+ | Abschn. 3.4.3, Tab. 11, S. 13 |
rsa_pss_pss_sha384 | 0x080A | bis 2032+ | Abschn. 3.4.3, Tab. 11, S. 13 |
rsa_pss_pss_sha512 | 0x080B | bis 2032+ | Abschn. 3.4.3, Tab. 11, S. 13 |
ecdsa_secp256r1_sha256 | 0x0403 | bis 2032+ | Abschn. 3.4.3, Tab. 11, S. 13 |
ecdsa_secp384r1_sha384 | 0x0503 | bis 2032+ | Abschn. 3.4.3, Tab. 11, S. 13 |
ecdsa_secp521r1_sha512 | 0x0603 | bis 2032+ | Abschn. 3.4.3, Tab. 11, S. 13 |
ecdsa_brainpoolP256r1tls13_sha256 | 0x081A | bis 2032+ | Abschn. 3.4.3, Tab. 11, S. 13 |
ecdsa_brainpoolP384r1tls13_sha384 | 0x081B | bis 2032+ | Abschn. 3.4.3, Tab. 11, S. 13 |
ecdsa_brainpoolP512r1tls13_sha512 | 0x081C | bis 2032+ | Abschn. 3.4.3, Tab. 11, S. 13 |
Signaturverfahren in Zertifikaten (signature_algorithms_cert)
| Verfahren | IANA | Frist | Fundstelle |
|---|---|---|---|
rsa_pkcs1_sha256 | 0x0401 | bis 2025 (abgelaufen) | Abschn. 3.4.3, Tab. 12, S. 14 |
rsa_pkcs1_sha384 | 0x0501 | bis 2025 (abgelaufen) | Abschn. 3.4.3, Tab. 12, S. 14 |
rsa_pkcs1_sha512 | 0x0601 | bis 2025 (abgelaufen) | Abschn. 3.4.3, Tab. 12, S. 14 |
rsa_pss_rsae_sha256 | 0x0804 | bis 2032+ | Abschn. 3.4.3, Tab. 12, S. 14 |
rsa_pss_rsae_sha384 | 0x0805 | bis 2032+ | Abschn. 3.4.3, Tab. 12, S. 14 |
rsa_pss_rsae_sha512 | 0x0806 | bis 2032+ | Abschn. 3.4.3, Tab. 12, S. 14 |
rsa_pss_pss_sha256 | 0x0809 | bis 2032+ | Abschn. 3.4.3, Tab. 12, S. 14 |
rsa_pss_pss_sha384 | 0x080A | bis 2032+ | Abschn. 3.4.3, Tab. 12, S. 14 |
rsa_pss_pss_sha512 | 0x080B | bis 2032+ | Abschn. 3.4.3, Tab. 12, S. 14 |
ecdsa_secp256r1_sha256 | 0x0403 | bis 2032+ | Abschn. 3.4.3, Tab. 12, S. 14 |
ecdsa_secp384r1_sha384 | 0x0503 | bis 2032+ | Abschn. 3.4.3, Tab. 12, S. 14 |
ecdsa_secp521r1_sha512 | 0x0603 | bis 2032+ | Abschn. 3.4.3, Tab. 12, S. 14 |
ecdsa_brainpoolP256r1tls13_sha256 | 0x081A | bis 2032+ | Abschn. 3.4.3, Tab. 12, S. 14 |
ecdsa_brainpoolP384r1tls13_sha384 | 0x081B | bis 2032+ | Abschn. 3.4.3, Tab. 12, S. 14 |
ecdsa_brainpoolP512r1tls13_sha512 | 0x081C | bis 2032+ | Abschn. 3.4.3, Tab. 12, S. 14 |
PSK-Modi
| Modus | IANA | Frist | Fundstelle |
|---|---|---|---|
psk_ke (ohne PFS; nur in Sonderfällen mit Expertenrat) | 0 | bis 2026 | Abschn. 3.4.1, Tab. 9, S. 12 |
psk_dhe_ke | 1 | bis 2032+ | Abschn. 3.4.1, Tab. 9, S. 12 |
TLS 1.2
- Alle TLS-1.2-Suiten, -Gruppen und -Signaturverfahren höchstens bis Ende 2031. (Abschn. 3.3, S. 7)
- Suiten ohne PFS (Tabelle 4) nur, wenn Suiten aus Tabelle 3 nicht möglich sind. (Abschn. 3.3.1.2, Tab. 4, S. 8)
- TLS_DHE_*-Suiten nur bis 2029 (erwartete IETF-Abkündigung). (Abschn. 3.3.1.1 / 3.3.1.3, Tab. 3, 5, S. 8, 9)
- Reine TLS_PSK_*-Suiten (ohne ephemere Schlüssel/Zufallswerte) nicht empfohlen. (Abschn. 3.3.1.3, S. 9)
- TLS_RSA_PSK_* ohne PFS, übrige PSK-Suiten aus Tabelle 5 mit PFS. (Abschn. 3.3.1.3, Tab. 5, S. 9)
- CCM-Suiten ohne Hash im Namen nutzen SHA-256 für die PRF. (Abschn. 3.3.1, S. 7 (Fußnote 1))
Cipher-Suiten (51)
| Cipher-Suite | IANA | Art | Frist | Fundstelle |
|---|---|---|---|---|
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 (nur mit Encrypt-then-MAC) | 0xC0,0x23 | mit PFS | bis 2031 | Abschn. 3.3.1.1, Tab. 3, S. 7 |
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 (nur mit Encrypt-then-MAC) | 0xC0,0x24 | mit PFS | bis 2031 | Abschn. 3.3.1.1, Tab. 3, S. 7 |
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 | 0xC0,0x2B | mit PFS | bis 2031 | Abschn. 3.3.1.1, Tab. 3, S. 7 |
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 | 0xC0,0x2C | mit PFS | bis 2031 | Abschn. 3.3.1.1, Tab. 3, S. 7 |
TLS_ECDHE_ECDSA_WITH_AES_128_CCM | 0xC0,0xAC | mit PFS | bis 2031 | Abschn. 3.3.1.1, Tab. 3, S. 7 |
TLS_ECDHE_ECDSA_WITH_AES_256_CCM | 0xC0,0xAD | mit PFS | bis 2031 | Abschn. 3.3.1.1, Tab. 3, S. 7 |
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (nur mit Encrypt-then-MAC) | 0xC0,0x27 | mit PFS | bis 2031 | Abschn. 3.3.1.1, Tab. 3, S. 7 |
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 (nur mit Encrypt-then-MAC) | 0xC0,0x28 | mit PFS | bis 2031 | Abschn. 3.3.1.1, Tab. 3, S. 7 |
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 | 0xC0,0x2F | mit PFS | bis 2031 | Abschn. 3.3.1.1, Tab. 3, S. 7 |
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 | 0xC0,0x30 | mit PFS | bis 2031 | Abschn. 3.3.1.1, Tab. 3, S. 7 |
TLS_DHE_DSS_WITH_AES_128_CBC_SHA256 (nur mit Encrypt-then-MAC) | 0x00,0x40 | mit PFS | bis 2029 | Abschn. 3.3.1.1, Tab. 3, S. 7 |
TLS_DHE_DSS_WITH_AES_256_CBC_SHA256 (nur mit Encrypt-then-MAC) | 0x00,0x6A | mit PFS | bis 2029 | Abschn. 3.3.1.1, Tab. 3, S. 8 |
TLS_DHE_DSS_WITH_AES_128_GCM_SHA256 | 0x00,0xA2 | mit PFS | bis 2029 | Abschn. 3.3.1.1, Tab. 3, S. 8 |
TLS_DHE_DSS_WITH_AES_256_GCM_SHA384 | 0x00,0xA3 | mit PFS | bis 2029 | Abschn. 3.3.1.1, Tab. 3, S. 8 |
TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 (nur mit Encrypt-then-MAC) | 0x00,0x67 | mit PFS | bis 2029 | Abschn. 3.3.1.1, Tab. 3, S. 8 |
TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 (nur mit Encrypt-then-MAC) | 0x00,0x6B | mit PFS | bis 2029 | Abschn. 3.3.1.1, Tab. 3, S. 8 |
TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 | 0x00,0x9E | mit PFS | bis 2029 | Abschn. 3.3.1.1, Tab. 3, S. 8 |
TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 | 0x00,0x9F | mit PFS | bis 2029 | Abschn. 3.3.1.1, Tab. 3, S. 8 |
TLS_DHE_RSA_WITH_AES_128_CCM | 0xC0,0x9E | mit PFS | bis 2029 | Abschn. 3.3.1.1, Tab. 3, S. 8 |
TLS_DHE_RSA_WITH_AES_256_CCM | 0xC0,0x9F | mit PFS | bis 2029 | Abschn. 3.3.1.1, Tab. 3, S. 8 |
TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA256 (nur mit Encrypt-then-MAC) | 0xC0,0x25 | ohne PFS, nur falls PFS unmöglich | bis 2026 | Abschn. 3.3.1.2, Tab. 4, S. 8 |
TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA384 (nur mit Encrypt-then-MAC) | 0xC0,0x26 | ohne PFS, nur falls PFS unmöglich | bis 2026 | Abschn. 3.3.1.2, Tab. 4, S. 8 |
TLS_ECDH_ECDSA_WITH_AES_128_GCM_SHA256 | 0xC0,0x2D | ohne PFS, nur falls PFS unmöglich | bis 2026 | Abschn. 3.3.1.2, Tab. 4, S. 8 |
TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384 | 0xC0,0x2E | ohne PFS, nur falls PFS unmöglich | bis 2026 | Abschn. 3.3.1.2, Tab. 4, S. 8 |
TLS_ECDH_RSA_WITH_AES_128_CBC_SHA256 (nur mit Encrypt-then-MAC) | 0xC0,0x29 | ohne PFS, nur falls PFS unmöglich | bis 2026 | Abschn. 3.3.1.2, Tab. 4, S. 8 |
TLS_ECDH_RSA_WITH_AES_256_CBC_SHA384 (nur mit Encrypt-then-MAC) | 0xC0,0x2A | ohne PFS, nur falls PFS unmöglich | bis 2026 | Abschn. 3.3.1.2, Tab. 4, S. 8 |
TLS_ECDH_RSA_WITH_AES_128_GCM_SHA256 | 0xC0,0x31 | ohne PFS, nur falls PFS unmöglich | bis 2026 | Abschn. 3.3.1.2, Tab. 4, S. 8 |
TLS_ECDH_RSA_WITH_AES_256_GCM_SHA384 | 0xC0,0x32 | ohne PFS, nur falls PFS unmöglich | bis 2026 | Abschn. 3.3.1.2, Tab. 4, S. 8 |
TLS_DH_DSS_WITH_AES_128_CBC_SHA256 (nur mit Encrypt-then-MAC) | 0x00,0x3E | ohne PFS, nur falls PFS unmöglich | bis 2026 | Abschn. 3.3.1.2, Tab. 4, S. 8 |
TLS_DH_DSS_WITH_AES_256_CBC_SHA256 (nur mit Encrypt-then-MAC) | 0x00,0x68 | ohne PFS, nur falls PFS unmöglich | bis 2026 | Abschn. 3.3.1.2, Tab. 4, S. 8 |
TLS_DH_DSS_WITH_AES_128_GCM_SHA256 | 0x00,0xA4 | ohne PFS, nur falls PFS unmöglich | bis 2026 | Abschn. 3.3.1.2, Tab. 4, S. 8 |
TLS_DH_DSS_WITH_AES_256_GCM_SHA384 | 0x00,0xA5 | ohne PFS, nur falls PFS unmöglich | bis 2026 | Abschn. 3.3.1.2, Tab. 4, S. 8 |
TLS_DH_RSA_WITH_AES_128_CBC_SHA256 (nur mit Encrypt-then-MAC) | 0x00,0x3F | ohne PFS, nur falls PFS unmöglich | bis 2026 | Abschn. 3.3.1.2, Tab. 4, S. 8 |
TLS_DH_RSA_WITH_AES_256_CBC_SHA256 (nur mit Encrypt-then-MAC) | 0x00,0x69 | ohne PFS, nur falls PFS unmöglich | bis 2026 | Abschn. 3.3.1.2, Tab. 4, S. 8 |
TLS_DH_RSA_WITH_AES_128_GCM_SHA256 | 0x00,0xA0 | ohne PFS, nur falls PFS unmöglich | bis 2026 | Abschn. 3.3.1.2, Tab. 4, S. 8 |
TLS_DH_RSA_WITH_AES_256_GCM_SHA384 | 0x00,0xA1 | ohne PFS, nur falls PFS unmöglich | bis 2026 | Abschn. 3.3.1.2, Tab. 4, S. 8 |
TLS_ECDHE_PSK_WITH_AES_128_CBC_SHA256 (nur mit Encrypt-then-MAC) | 0xC0,0x37 | Pre-Shared Key | bis 2031 | Abschn. 3.3.1.3, Tab. 5, S. 9 |
TLS_ECDHE_PSK_WITH_AES_256_CBC_SHA384 (nur mit Encrypt-then-MAC) | 0xC0,0x38 | Pre-Shared Key | bis 2031 | Abschn. 3.3.1.3, Tab. 5, S. 9 |
TLS_ECDHE_PSK_WITH_AES_128_GCM_SHA256 | 0xD0,0x01 | Pre-Shared Key | bis 2031 | Abschn. 3.3.1.3, Tab. 5, S. 9 |
TLS_ECDHE_PSK_WITH_AES_256_GCM_SHA384 | 0xD0,0x02 | Pre-Shared Key | bis 2031 | Abschn. 3.3.1.3, Tab. 5, S. 9 |
TLS_ECDHE_PSK_WITH_AES_128_CCM_SHA256 | 0xD0,0x05 | Pre-Shared Key | bis 2031 | Abschn. 3.3.1.3, Tab. 5, S. 9 |
TLS_DHE_PSK_WITH_AES_128_CBC_SHA256 (nur mit Encrypt-then-MAC) | 0x00,0xB2 | Pre-Shared Key | bis 2029 | Abschn. 3.3.1.3, Tab. 5, S. 9 |
TLS_DHE_PSK_WITH_AES_256_CBC_SHA384 (nur mit Encrypt-then-MAC) | 0x00,0xB3 | Pre-Shared Key | bis 2029 | Abschn. 3.3.1.3, Tab. 5, S. 9 |
TLS_DHE_PSK_WITH_AES_128_GCM_SHA256 | 0x00,0xAA | Pre-Shared Key | bis 2029 | Abschn. 3.3.1.3, Tab. 5, S. 9 |
TLS_DHE_PSK_WITH_AES_256_GCM_SHA384 | 0x00,0xAB | Pre-Shared Key | bis 2029 | Abschn. 3.3.1.3, Tab. 5, S. 9 |
TLS_DHE_PSK_WITH_AES_128_CCM | 0xC0,0xA6 | Pre-Shared Key | bis 2029 | Abschn. 3.3.1.3, Tab. 5, S. 9 |
TLS_DHE_PSK_WITH_AES_256_CCM | 0xC0,0xA7 | Pre-Shared Key | bis 2029 | Abschn. 3.3.1.3, Tab. 5, S. 9 |
TLS_RSA_PSK_WITH_AES_128_CBC_SHA256 (nur mit Encrypt-then-MAC) | 0x00,0xB6 | Pre-Shared Key | bis 2026 | Abschn. 3.3.1.3, Tab. 5, S. 9 |
TLS_RSA_PSK_WITH_AES_256_CBC_SHA384 (nur mit Encrypt-then-MAC) | 0x00,0xB7 | Pre-Shared Key | bis 2026 | Abschn. 3.3.1.3, Tab. 5, S. 9 |
TLS_RSA_PSK_WITH_AES_128_GCM_SHA256 | 0x00,0xAC | Pre-Shared Key | bis 2026 | Abschn. 3.3.1.3, Tab. 5, S. 9 |
TLS_RSA_PSK_WITH_AES_256_GCM_SHA384 | 0x00,0xAD | Pre-Shared Key | bis 2026 | Abschn. 3.3.1.3, Tab. 5, S. 9 |
Gruppen
| Gruppe | IANA | Typ | Frist | Fundstelle |
|---|---|---|---|---|
secp256r1 | 23 | ecdhe | bis 2031 | Abschn. 3.3.2, Tab. 6, S. 9 |
secp384r1 | 24 | ecdhe | bis 2031 | Abschn. 3.3.2, Tab. 6, S. 9 |
secp521r1 | 25 | ecdhe | bis 2031 | Abschn. 3.3.2, Tab. 6, S. 9 |
brainpoolP256r1 | 26 | ecdhe | bis 2031 | Abschn. 3.3.2, Tab. 6, S. 9 |
brainpoolP384r1 | 27 | ecdhe | bis 2031 | Abschn. 3.3.2, Tab. 6, S. 10 |
brainpoolP512r1 | 28 | ecdhe | bis 2031 | Abschn. 3.3.2, Tab. 6, S. 10 |
ffdhe3072 | 257 | ffdhe | bis 2029 | Abschn. 3.3.2, Tab. 6, S. 10 |
ffdhe4096 | 258 | ffdhe | bis 2029 | Abschn. 3.3.2, Tab. 6, S. 10 |
Signaturverfahren und Hashfunktionen
In TLS 1.2 wird ein Signaturverfahren (Tabelle 7) mit einer Hashfunktion (Tabelle 8) kombiniert. RSA-PSS in TLS 1.2 (nach RFC 8446, Abschnitte 1.3 und 4.2.3) folgt den Tabellen 11 und 12. Fundstelle 3.3.3, S. 10.
| Verfahren | IANA | Art | Frist | Fundstelle |
|---|---|---|---|---|
rsa (PKCS #1 v1.5 Padding; Frist Ende 2025 abgelaufen) | 1 | Signaturverfahren | bis 2025 (abgelaufen) | Abschn. 3.3.3, Tab. 7, S. 10 |
dsa (geringe Verbreitung, in FIPS 186-5 abgekündigt) | 2 | Signaturverfahren | bis 2029 | Abschn. 3.3.3, Tab. 7, S. 10 |
ecdsa | 3 | Signaturverfahren | bis 2031 | Abschn. 3.3.3, Tab. 7, S. 10 |
sha256 | 4 | Hashfunktion | bis 2031 | Abschn. 3.3.3, Tab. 8, S. 10 |
sha384 | 5 | Hashfunktion | bis 2031 | Abschn. 3.3.3, Tab. 8, S. 10 |
sha512 | 6 | Hashfunktion | bis 2031 | Abschn. 3.3.3, Tab. 8, S. 10 |
Schlüssellängen
| Zweck | Verfahren | Mindestlänge | Frist | Fundstelle |
|---|---|---|---|---|
| Signatur | ECDSA | 250 Bit | bis 2032+ | Abschn. 3.6.1, Tab. 14, S. 15 |
| Signatur | DSA | 3000 Bit (spätestens ab 2023) | bis 2029 | Abschn. 3.6.1, Tab. 14, S. 15 |
| Signatur | RSA | 3000 Bit (spätestens ab 2023) | bis 2032+ | Abschn. 3.6.1, Tab. 14, S. 15 |
| Schlüsseleinigung | ECDH | 250 Bit | bis 2032+ | Abschn. 3.6.1, Tab. 14, S. 15 |
| Schlüsseleinigung | DH | 3000 Bit (spätestens ab 2023) | bis 2032+ | Abschn. 3.6.1, Tab. 14, S. 15 |
- Gilt für Signaturschlüssel (Zertifikate und Schlüsseleinigung) sowie statische und ephemere (EC)DH-Schlüssel.
- (EC)DH allein nur bis Ende 2031; ab 2032 gelten die (EC)DH-Längen nur im hybriden Einsatz mit PQC.
- Für PFS ausschließlich ephemere Schlüssel; diese nach Verbindungsende sicher löschen (3.6.1, 4.2).
- Ableitung (nicht TR-Wortlaut): RSA-2048 und ffdhe2048 liegen unter 3000 Bit und erfüllen die Mindestlänge nicht.
Kurven: bevorzugt brainpoolP256r1, brainpoolP384r1, brainpoolP512r1; falls nicht verfügbar secp256r1, secp384r1, secp521r1 (Abschn. 3.6.2, S. 16).
Zusätzliche Bedingungen
| Gilt für | Bedingung | Fundstelle |
|---|---|---|
| TLS 1.2, CBC-Suiten | CBC-Suiten nur zusammen mit der Erweiterung Encrypt-then-MAC (RFC 7366); EtM generell empfohlen. | Abschn. 3.3.4.5 und Hinweise unter Tabellen 3, 4, 5, Tab. 3, 4, 5, S. 8, 9, 11 |
| TLS 1.2, CBC | Abwehr durch AEAD (GCM/CCM) oder Encrypt-then-MAC. | Abschn. 3.3.4.4, S. 11 |
| TLS 1.2 | Erweiterung Extended Master Secret (RFC 7627) einsetzen. | Abschn. 3.3.4.7, S. 12 |
| TLS 1.2 | Renegotiation nur nach RFC 5746; vom Client angestoßene Renegotiation soll der Server ablehnen. | Abschn. 3.3.4.1, S. 10 |
| TLS 1.2 | Erweiterung truncated_hmac (RFC 6066) nicht verwenden. | Abschn. 3.3.4.2, S. 11 |
| TLS 1.2 | TLS-Kompression abschalten, sofern nicht sicher ausgeschlossen ist, dass ein Angreifer Klartext einschleust (CRIME). | Abschn. 3.3.4.3, S. 11 |
| TLS 1.2 und 1.3 | Heartbeat-Erweiterung (RFC 6520) nicht verwenden. | Abschn. 3.3.4.6 / 3.4.5.1, S. 11-12, 14 |
| TLS 1.2 | Erweiterung supported_groups für ECDHE- und DHE-Suiten nutzen. | Abschn. 3.3.2, S. 9 |
| TLS 1.2 | Erweiterung signature_algorithms nutzen. | Abschn. 3.3.3, S. 10 |
| TLS 1.3 | 0-RTT-Daten weder senden noch annehmen (kein Replay-Schutz). | Abschn. 3.4.1, S. 12 |
| TLS 1.3 | Wiederaufnahme ist in TLS 1.3 ein PSK-Handshake (Session Tickets zählen als PSK): psk_dhe_ke bis 2032+, psk_ke nur bis 2026 und nur in Sonderfällen. Für TLS 1.2 (Session-ID/Tickets) trifft die TR keine eigene Aussage. | Abschn. 3.4.1, Tab. 9, S. 12 |
| TLS 1.2 | Für personenbezogene oder sensible Daten wird PFS grundsätzlich empfohlen. | Abschn. 3.3.1.1, S. 7 (Fußnote 2) |
| alle | Ephemere Schlüssel nur für eine Verbindung, nicht dauerhaft speichern, danach unwiderruflich löschen. | Abschn. 4.2, S. 17 |
| alle | Zufallszahlengenerator der Klassen DRG.3, DRG.4, DRT.1, PTG.3 oder NTG.1 (AIS 20/31). | Abschn. 4.3, S. 17 |
| alle | Private Schlüssel geschützt speichern (z. B. HSM, Chipkarte), Vertrauensanker manipulationssicher. | Abschn. 4.1, S. 17 |
Post-Quanten-Kryptografie
- Alleinige klassische Schlüsseleinigung nur noch bis Ende 2031 empfohlen. (TR-02102-2 2026-01, Abschn. 3.1.3, S. 6)
- Alleinige Nutzung der Gruppen aus Tabelle 10 (TLS 1.3) nur bis Ende 2031; (EC)DH-Schlüssellängen gelten ab 2032 nur im Hybrideinsatz. (TR-02102-2 2026-01, Abschn. 3.4.2 / 3.6.1, Tab. 10, 14, S. 13, 15)
- Das BSI kündigt an, die Hybridgruppen SecP256r1MLKEM768 und SecP384r1MLKEM1024 (draft-ietf-tls-ecdhe-mlkem) nach Verabschiedung des RFC zu empfehlen; in den Tabellen der Fassung 2026-01 stehen sie noch nicht. (TR-02102-2 2026-01, Abschn. 3.4.2, S. 13)
- Für TLS 1.2 erwartet das BSI keine standardisierte PQC-Schlüsseleinigung; deshalb TLS 1.2 nur bis 2031. (TR-02102-2 2026-01, Abschn. 3.2, Tab. 2, S. 6)
- Laut BSI-Webseite ist der Standard als RFC 10024 ("Post-Quantum Traditional (PQ/T) Hybrid Key Agreement Mechanisms for TLS 1.3", Proposed Standard) erschienen. SecP256r1MLKEM768 und SecP384r1MLKEM1024 werden in der nächsten TR-Fassung empfohlen und sind ab sofort TR-konform in TLS 1.3 einsetzbar. Zusätzlich kann X25519MLKEM768 eingesetzt werden. (BSI-Webseite TR-02102, Abschnitt "BSI TR-02102-2", "Hinweis zu TLS 1.3", abgerufen 2026-10-26)
- Reines ML-KEM ohne klassischen Anteil wird weder in der TR noch auf der Webseite für TLS genannt; die TR spricht ausdrücklich von hybrider Nutzung. (TR-02102-2 2026-01 und BSI-Webseite, Abschn. 3.1.3, S. 6)
Häufig gefragt, aber nicht aufgeführt
| Verfahren | Art | Einordnung |
|---|---|---|
X25519 | gruppe | Nicht in Tabellen 6/10; laut Webseite nur als Teil von X25519MLKEM768 zulässig. |
X448 | gruppe | Nicht in Tabellen 6/10. |
ffdhe2048 | gruppe | Nicht in Tabellen 6/10; unter 3000 Bit. |
ffdhe6144 | gruppe | Nicht in Tabellen 6/10. |
ffdhe8192 | gruppe | Nicht in Tabellen 6/10. |
TLS_CHACHA20_POLY1305_SHA256 | tls13_suite | Nicht in Tabelle 13. |
TLS_AES_128_CCM_8_SHA256 | tls13_suite | Nicht in Tabelle 13. |
TLS_ECDHE_*_WITH_CHACHA20_POLY1305_SHA256 | tls12_suite | Nicht in Tabellen 3-5. |
TLS_*_WITH_AES_*_CBC_SHA (HMAC-SHA-1) | tls12_suite | Nicht in Tabellen 3-5 (HMAC-SHA-1 laut Tabelle 1 seit Fassung 2020-01 abgekündigt). |
TLS_RSA_WITH_* (RSA-Schlüsseltransport) | tls12_suite | Nicht in Tabellen 3-5. |
ed25519 / ed448 | signatur | Nicht in Tabellen 11/12. |
rsa_pkcs1_* in signature_algorithms (TLS 1.3) | signatur | Nicht in Tabelle 11; in Tabelle 12 nur bis 2025. |
SHA-1 / SHA-224 in Signaturen | signatur | Nicht in Tabellen 8, 11, 12. |
Als JSON herunterladen
Die Tabellen dieser Seite stehen maschinenlesbar in tr-02102-2-2026-01.json (51 KB). Jeder Eintrag trägt Abschnitt, Tabelle und Seite der TR, damit Sie ihn selbst nachschlagen können. Wenn Sie einen Fehler finden, schreiben Sie uns an Venture20@westlabsai.com.
Wie sich die Tabellen in nginx und Apache übersetzen lassen, steht im Artikel nginx und Apache nach TR-02102-2 konfigurieren. Warum X25519 und ChaCha20 fehlen, erklärt X25519 und ChaCha20 in der TR-02102-2.
Welche dieser Verfahren Ihr Server tatsächlich annimmt, zeigt erst eine Messung von außen. Der Bericht gleicht jede Version, Suite, Gruppe und jedes Signaturverfahren mit diesen Tabellen ab, mit Fundstelle je Zeile. Ein Beispiel ist der Musterbericht.
Diese Übersicht ist keine Rechtsberatung und nicht vom BSI geprüft. Maßgeblich ist allein die TR in ihrer aktuellen Fassung.