Methodik
Wie sichergenug.de prüft
Der Krypto-Check misst von außen, wie öffentlich erreichbare Web-, Mail- und SSH-Dienste einer Domain ihre Verbindungen verschlüsseln, und bewertet das Ergebnis anhand der Technischen Richtlinien BSI TR-02102-2 (TLS), BSI TR-02102-4 (SSH) und BSI TR-03108 (E-Mail-Transport).
Grundsätze
- Schonend. Es werden ausschließlich reguläre Verbindungsaufbauten (TLS- und SSH-Handshakes) und öffentliche DNS-Abfragen durchgeführt – keine Exploits, kein Ausprobieren von Passwörtern, keine Lasttests.
- Nachvollziehbar. Alle Verbindungen gehen von einer festen Quelladresse aus (IPv4
95.216.109.253). Betreiber können ihre Domain über die Opt-out-Sperrliste dauerhaft ausschließen lassen. - Stichtagsbezogen. Das Ergebnis beschreibt die Konfiguration zum Zeitpunkt der Messung. Jeder Bericht nennt Prüfzeitpunkt und Quelladresse.
Ablauf
-
1
Hostnamen ermitteln
Passiv aus öffentlichen Certificate-Transparency-Protokollen (
crt.sh) und DNS-Einträgen (MX, SPF, DMARC, SRV, MTA-STS). Es werden keine Subdomains durch Ausprobieren erraten. -
2
Priorisieren
Hauptdomain und typischerweise kritische Systeme (etwa
vpn,mail,api,git,portal,auth) werden bevorzugt. Aktiv gemessen werden bis zu 12 Hostnamen; weitere gefundene Namen werden als „gefunden, nicht geprüft“ ausgewiesen. -
3
Verschlüsselung messen
Handshakes auf den Standard-Ports 443, 25, 587, 22 (HTTPS, SMTP, Submission, SSH). Erfasst werden Protokollversion, Cipher-Suite, Schlüsselaustausch einschließlich hybrider ML-KEM-Gruppen, Zertifikatsschlüssel, Forward Secrecy und DANE/TLSA.
- Prüfbericht (149 €): zusätzlich bis zu 10 Ports nach Ihrer Wahl.
- Komplettpaket (249 €): zusätzlich aktive Erkennung weiterer verschlüsselter Dienste auf 71 gängigen Ports (u. a. IMAPS, POP3S, LDAPS, alternative SSH-, VPN- und Administrations-Ports) sowie bis zu 50 eigene Wunsch-Ports (ohne Doppelprüfung).
Bewertungsmaßstab
Jeder Endpunkt startet mit 100 Punkten. Abweichungen von den Empfehlungen führen zu Punktabzügen; kritische Abweichungen stufen den Endpunkt unabhängig von der Punktzahl auf Rot.
| Prüfregel | Bezug | Einstufung |
|---|---|---|
| SSL 3.0, TLS 1.0 oder TLS 1.1 ausgehandelt | TR-02102-2 | Kritisch |
| Keine Forward Secrecy (kein ephemerer Schlüsselaustausch) | TR-02102-2 | Kritisch |
| Unsichere Chiffren (RC4, 3DES, NULL, EXPORT, MD5) | TR-02102-2 | Kritisch |
| RSA-Schlüssel unter 2048 Bit | TR-02102-2 | Kritisch |
| SHA-1-basierter SSH-Schlüsselaustausch | TR-02102-4 | Kritisch |
| RSA-Schlüssel unter 3000 Bit | TR-02102-2 | Abzug |
| TLS 1.2 statt TLS 1.3 ausgehandelt | TR-02102-2 | Abzug |
| Kein hybrider Post-Quanten-Schlüsselaustausch (ML-KEM) | TR-02102-1, FIPS 203 | Abzug |
| Kein DANE/TLSA für den Mailempfang (MX, Port 25); MTA-STS wird teilweise angerechnet | TR-03108 | Abzug |
Ampel
- Grün
- 100 Punkte: entspricht den geprüften Empfehlungen einschließlich Post-Quanten-Hybrid
- Gelb
- ab 90 Punkten: weitgehend entsprechend
- Orange
- ab 75 Punkten: teilweise entsprechend
- Dunkelorange
- unter 75 Punkten: deutliche Abweichungen
- Rot
- mindestens eine kritische Abweichung
Der Gesamtstatus einer Domain entspricht dem schlechtesten Einzelstatus; der Krypto-Score ist der Mittelwert der Endpunkt-Punktzahlen. Ein einzelnes kritisches System wird so nicht durch viele gut konfigurierte überdeckt.
Grenzen der Prüfung
- Geprüft wird nur, was aus dem Internet erreichbar ist. Interne Netze, Clients und Anwendungslogik bleiben außen vor.
- Gemessen wird die Verbindung, die ein Server mit einem aktuellen Client aushandelt. Ob er zusätzlich ältere Protokollversionen annimmt, wird nicht gesondert getestet.
- Systeme hinter IP-Filtern, nur per IPv6 erreichbare Hosts (die Messung erfolgt über IPv4) und nicht in DNS oder CT-Logs sichtbare Namen können fehlen.
- Organisatorische Pflichten nach NIS-2 bzw. BSIG (Risikomanagement, Meldewesen, Schulung) sind nicht Gegenstand der Prüfung. Der Bericht ist eine Dokumentationshilfe, keine Zertifizierung und keine Rechtsberatung.
Ein fertiger Ausgangspunkt statt eines leeren Blatts: Prüfbericht und Krypto-Inventar dokumentieren die von außen gemessene Lage; das Komplettpaket enthält zusätzlich mit Ihren Messwerten vorausgefüllte Vorlagen für Kryptografie-Richtlinie und Lieferanten-Fragebogen. Sie ergänzen diese Unterlagen nur noch um interne Informationen, die von außen nicht messbar sind – etwa interne Systeme, Zuständigkeiten und Abläufe.