Wissen · TR-02102-2

X25519 und ChaCha20 in der TR-02102-2

Fast jeder moderne Webserver bietet X25519 und ChaCha20-Poly1305 an. In den Tabellen der BSI TR-02102-2 (Version 2026-01) stehen beide nicht. Was folgt daraus?

Stand: 26.10.2026 · Quelle: BSI TR-02102-2, Version 2026-01 vom 27.01.2026, und BSI-Webseite zur TR-02102 (abgerufen am 26.10.2026)

Was in der TR steht

Für TLS 1.3 nennt Tabelle 13 drei Cipher-Suiten: TLS_AES_128_GCM_SHA256, TLS_AES_256_GCM_SHA384 und TLS_AES_128_CCM_SHA256. TLS_CHACHA20_POLY1305_SHA256 fehlt. Für die Schlüsseleinigung in TLS 1.3 nennt Tabelle 10 die Kurven secp256r1, secp384r1 und secp521r1, die drei Brainpool-Kurven sowie ffdhe3072 und ffdhe4096. X25519 und X448 fehlen. Dasselbe gilt für TLS 1.2 (Tabellen 3 und 6).

Was „nicht aufgeführt“ bedeutet

Die TR ist eine Liste empfohlener Verfahren, keine Liste verbotener. Dass ein Verfahren fehlt, heißt nicht, dass das BSI es für gebrochen hält. X25519 (RFC 7748) und ChaCha20-Poly1305 (RFC 8439) gelten in der Fachwelt als sicher und sind in TLS 1.3 weit verbreitet. Wer streng „nach Tabelle“ prüft, wird sie trotzdem als Abweichung sehen.

Eine Ausnahme: X25519 in der Hybridgruppe

Laut BSI-Webseite ist der Standard für hybride Post-Quanten-Gruppen in TLS 1.3 erschienen. SecP256r1MLKEM768 und SecP384r1MLKEM1024 sollen in der nächsten Fassung der TR empfohlen werden und sind schon jetzt TR-konform einsetzbar. Zusätzlich kann X25519MLKEM768 eingesetzt werden. X25519 taucht also als Bestandteil einer Hybridgruppe auf, nicht allein.

Was Sie tun können

  • Nichts ändern, wenn niemand einen strengen Tabellenabgleich verlangt. Ihre Konfiguration wird dadurch nicht unsicherer.
  • Hybridgruppen ergänzen. Ab 2032 sollen klassische Gruppen in TLS 1.3 nur noch hybrid genutzt werden. Mit OpenSSL ab 3.5 können Sie SecP256r1MLKEM768 und SecP384r1MLKEM1024 zusätzlich anbieten.
  • Streng nach Tabelle konfigurieren, wenn ein Auftraggeber genau das verlangt. Dann X25519 als alleinige Gruppe und ChaCha20-Poly1305 herausnehmen und vorher mit den wichtigsten Clients testen.

Was Sie nicht tun sollten

X25519 abschalten, ohne die Folgen zu prüfen. Clients, die nur X25519 anbieten, sind selten, aber es gibt sie, etwa in eingebetteten Geräten. Ohne ChaCha20 handeln Geräte ohne AES-Beschleunigung AES-GCM aus; das kostet etwas Rechenzeit, aber keine Sicherheit.

Beispielkonfiguration (nginx, OpenSSL ab 3.5)

# Hybridgruppen zuerst, klassische Gruppen als Rückfall
ssl_ecdh_curve X25519MLKEM768:SecP256r1MLKEM768:SecP384r1MLKEM1024:X25519:secp256r1:secp384r1;

Eine vollständige Konfiguration für nginx und Apache steht im Artikel nginx und Apache nach TR-02102-2 konfigurieren.

Wie Ihr Server heute im Abgleich aussieht, zeigt der Musterbericht: jede Version, Suite und Gruppe mit Fundstelle in der TR.

Bericht für Ihren Server vorbestellen

Dieser Artikel ist keine Rechtsberatung und nicht vom BSI geprüft. Er fasst die genannten Quellen in eigenen Worten zusammen.