# Welche TLS-Chiffren sollten wir abschalten?

Alles ohne Forward Secrecy oder authentifizierte Verschlüsselung und alles von den alten Listen. Konkret: Schalten Sie RC4 ab, das RFC 7465 in TLS verbietet, ebenso 3DES und andere 64-Bit-Blockchiffren, Export- und NULL-Chiffren, statischen RSA-Schlüsselaustausch und CBC-Suites mit SHA-1, soweit Ihre Clients es zulassen. Behalten Sie die TLS-1.3-Suites AES-GCM und ChaCha20-Poly1305 und nutzen Sie für TLS 1.2 ECDHE-Schlüsselaustausch mit AES-GCM oder ChaCha20-Poly1305. Verwenden Sie veröffentlichte Konfigurationsleitfäden, statt eigene zu erfinden: Die Server-Side-TLS-Empfehlungen von Mozilla und die Technischen Richtlinien von Behörden wie dem BSI liefern erprobte Profile für moderne und ältere Clients. Prüfen Sie vor einer Änderung an einem Produktivserver, welche Clients sich verbinden und was sie anbieten, aus Server-Logs oder einem Blick auf die Handshakes, damit Sie kein altes Gerät aussperren. Testen Sie danach von außen mit einem TLS-Scanner und aktivieren Sie die hybride Gruppe X25519MLKEM768, wo Ihre Software sie unterstützt.

FAQ: [Verschlüsselung und verschlüsselter Verkehr](https://netsenx.com/de/faq/encryption) · https://netsenx.com/de/faq/which-tls-ciphers-should-we-turn-off

## Weiterlesen

- https://netsenx.com/de/encrypted-traffic-analysis
- https://netsenx.com/de/what-is-ndr

## Verwandte Fragen

- [Was ist Forward Secrecy?](https://netsenx.com/de/faq/what-is-forward-secrecy)
- [Was ist Verschlüsselung, einfach erklärt?](https://netsenx.com/de/faq/what-is-encryption-in-plain-terms)
- [Was ist der Unterschied zwischen symmetrischer und asymmetrischer Verschlüsselung?](https://netsenx.com/de/faq/what-is-the-difference-between-symmetric-and-asymmetric-encryption)
- [Wie lang sollte ein Schlüssel sein?](https://netsenx.com/de/faq/how-long-should-an-encryption-key-be)
- [Was ist eine Hashfunktion?](https://netsenx.com/de/faq/what-is-a-hash-function)