# Wie funktioniert ein TLS-Handshake?

Bei TLS 1.3 braucht es einen Hin- und Rückweg, bevor Daten fließen. Der Client sendet ein ClientHello mit den unterstützten TLS-Versionen, Cipher-Suites und Gruppen für den Schlüsselaustausch, einem Schlüsselanteil für seine bevorzugte Gruppe und meist dem Namen des gewünschten Servers (SNI). Der Server antwortet mit einem ServerHello, das Version, Chiffre und Gruppe wählt, und seinem eigenen Schlüsselanteil. Aus beiden Anteilen leiten beide Seiten dasselbe Geheimnis ab, und ab diesem Moment ist alles verschlüsselt, auch das Serverzertifikat und der Nachweis, dass der Server den passenden privaten Schlüssel besitzt. Der Client prüft das Zertifikat gegen die Zertifizierungsstellen, denen er vertraut, und die Anwendungsdaten beginnen. ClientHello und ServerHello laufen unverschlüsselt, deshalb kann ein passiver Sensor die TLS-Version, die gewählte Gruppe für den Schlüsselaustausch, etwa klassisch X25519 oder hybrid X25519MLKEM768, und einen Client-Fingerprint sehen, ohne etwas zu entschlüsseln. Mit Encrypted Client Hello wird auch ein Teil des ClientHello, einschließlich des Servernamens, verborgen.

FAQ: [Verschlüsselung und verschlüsselter Verkehr](https://netsenx.com/de/faq/encryption) · https://netsenx.com/de/faq/how-does-a-tls-handshake-work

## Weiterlesen

- https://netsenx.com/de/encrypted-traffic-analysis
- https://netsenx.com/de/what-is-ndr

## Verwandte Fragen

- [Was hat sich zwischen TLS 1.2 und TLS 1.3 geändert?](https://netsenx.com/de/faq/what-changed-between-tls-1-2-and-tls-1-3)
- [Sollten wir TLS 1.0 und 1.1 abschalten?](https://netsenx.com/de/faq/should-we-disable-tls-1-0-and-1-1)
- [Welche TLS-Chiffren sollten wir abschalten?](https://netsenx.com/de/faq/which-tls-ciphers-should-we-turn-off)
- [Was ist Forward Secrecy?](https://netsenx.com/de/faq/what-is-forward-secrecy)
- [Was ist Verschlüsselung, einfach erklärt?](https://netsenx.com/de/faq/what-is-encryption-in-plain-terms)