TLS 1.2 erzwingen und alte Verschlüsselungsprotokolle per Registry oder GPO deaktivieren

Transport Layer Security (TLS) 1.2 ist das Standard-Verschlüsselungsprotokoll, mit dem Daten bei der Übertragung zwischen verschiedenen Geräten abgesichert werden. Ältere Versionen wie SSL 2.0, SSL 3.0, TLS 1.0 und TLS 1.1 gelten wegen bekannter Schwachstellen als veraltet und müssen deaktiviert werden.

Ein aktuelles Verschlüsselungsprotokoll schützt Daten während der Übertragung vor Downgrade-Angriffen und unsicheren Cipher Suites. Außerdem stellt es sicher, dass Ihre Geräte gängige Sicherheitsstandards und moderne Compliance-Frameworks erfüllen. So verkleinern Administrator:innen die Angriffsfläche für Ransomware und verringern das Risiko von Serviceunterbrechungen.

Anleitung: TLS 1.2 auf allen verwalteten Geräten erzwingen

TLS-Verschlüsselungsprotokolle lassen sich in der Windows-Registry über Windows PowerShell oder Gruppenrichtlinien aktivieren. Ob die Änderungen tatsächlich greifen, können Administrator:innen mit PowerShell oder der Ereignisanzeige prüfen.

Zusätzlich können sie den Verschlüsselungsstatus ihrer verwalteten Geräte über die Windows-Registry kennzeichnen. Für Anwendungen, die weiterhin auf alte Verschlüsselungsprotokolle angewiesen sind, lassen sich die entsprechenden Einstellungen über Windows PowerShell verwalten.

📌 Voraussetzungen:

• Sie benötigen Windows 8.1/10/11 oder Windows Server 2012 R2 bzw. neuer.
• Sie benötigen Administratorzugriff auf alle Geräte, die Sie ändern möchten.
• PowerShell 5.1 oder höher ist erforderlich.
• Lokale Tests für ältere Anwendungen können von älteren Protokollen abhängen. Berücksichtigen Sie das, bevor Sie das Verschlüsselungsprotokoll für diese Anwendungen umstellen.

💡Hinweis: Sie können auch ein Tool für das Endpunkt-Management wie NinjaOne nutzen, um Konfigurationen bereitzustellen, zu überprüfen und ihre Einhaltung zu überwachen.

📌 Empfohlene Bereitstellungsstrategien:

Methode 1: Registry-Einstellungen anpassen, um TLS 1.2 zu erzwingen und alte Protokolle zu deaktivieren

Verschlüsselungsprotokolle lassen sich über die Windows-Registry verwalten. Die relevanten Registry-Schlüssel finden Sie unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols

So deaktivieren Sie SSL 2.0, SSL 3.0, TLS 1.0 und TLS 1.1 und aktivieren TLS 1.2:

1. Öffnen Sie das Startmenü und suchen Sie nach Windows PowerShell.
2. Klicken Sie mit der rechten Maustaste auf Windows PowerShell > Als Administrator ausführen.
3. Geben Sie dieses Skript ein und drücken Sie die Eingabetaste:

$base = "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols"

$disableProtocols = @("SSL 2.0", "SSL 3.0", "TLS 1.0", "TLS 1.1")

$enableProtocols = @("TLS 1.2")

foreach ($protocol in $disableProtocols) {

New-Item -Path "$base\$protocol\Server" -Force

Set-ItemProperty -Path "$base\$protocol\Server" -Name "Enabled" -Value 0 -Type DWord

Set-ItemProperty -Path "$base\$protocol\Server" -Name "DisabledByDefault" -Value 1 -Type DWord

New-Item -Path "$base\$protocol\Client" -Force

Set-ItemProperty -Path "$base\$protocol\Client" -Name "Enabled" -Value 0 -Type DWord

Set-ItemProperty -Path "$base\$protocol\Client" -Name "DisabledByDefault" -Value 1 -Type DWord

}

foreach ($protocol in $enableProtocols) {

New-Item -Path "$base\$protocol\Server" -Force

Set-ItemProperty -Path "$base\$protocol\Server" -Name "Enabled" -Value 1 -Type DWord

Set-ItemProperty -Path "$base\$protocol\Server" -Name "DisabledByDefault" -Value 0 -Type DWord

New-Item -Path "$base\$protocol\Client" -Force

Set-ItemProperty -Path "$base\$protocol\Client" -Name "Enabled" -Value 1 -Type DWord

Set-ItemProperty -Path "$base\$protocol\Client" -Name "DisabledByDefault" -Value 0 -Type DWord

}

4. Starten Sie den Computer neu, damit die Änderungen wirksam werden.

So prüfen Sie, ob die Änderungen übernommen wurden:

1. Öffnen Sie das Startmenü und suchen Sie nach Eingabeaufforderung.
2. Klicken Sie mit der rechten Maustaste auf Eingabeaufforderung > Als Administrator ausführen.
3. Geben Sie diesen Befehl ein und drücken Sie die Eingabetaste:

reg query "HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client"

Methode 2: Einstellungen per Gruppenrichtlinie verteilen

Es gibt keine native GPO-Einstellung, mit der sich TLS-Versionen erzwingen lassen. Sie können die nötigen Registry-Schlüssel aber über Gruppenrichtlinien anlegen:

1. Öffnen Sie das Startmenü und suchen Sie nach Gruppenrichtlinie bearbeiten, um das Programm zu öffnen.
2. Navigieren Sie zu folgendem Pfad: Computerkonfiguration > Einstellungen > Windows-Einstellungen > Registrierung.
3. Legen Sie über diesen Pfad HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols die folgenden Schlüssel an:

• • SSL 2.0 – Server – Enabled (DWORD) = 0
  • SSL 2.0 – Server – DisabledByDefault (DWORD) = 1
  • SSL 2.0 – Client – Enabled (DWORD) = 0
  • SSL 2.0 – Client – DisabledByDefault (DWORD) = 1
  • SSL 3.0 – Server – Enabled (DWORD) = 0
  • SSL 3.0 – Server – DisabledByDefault (DWORD) = 1
  • SSL 3.0 – Client – Enabled (DWORD) = 0
  • SSL 3.0 – Client – DisabledByDefault (DWORD) = 1
  • TLS 1.0 – Server – Enabled (DWORD) = 0
  • TLS 1.0 – Server – DisabledByDefault (DWORD) = 1
  • TLS 1.0 – Client – Enabled (DWORD) = 0
  • TLS 1.0 – Client – DisabledByDefault (DWORD) = 1
  • TLS 1.1 – Server – Enabled (DWORD) = 0
  • TLS 1.1 – Server – DisabledByDefault (DWORD) = 1
  • TLS 1.1 – Client – Enabled (DWORD) = 0
  • TLS 1.1 – Client – DisabledByDefault (DWORD) = 1
  • TLS 1.2 – Server – Enabled (DWORD) = 1
  • TLS 1.2 – Server – DisabledByDefault (DWORD) = 0
  • TLS 1.2 – Client – Enabled (DWORD) = 1
  • TLS 1.2 – Client – DisabledByDefault (DWORD) = 0

💡Hinweis: Dieser Schritt ist optional. Sie können unter Computerkonfiguration > Administrative Vorlagen > Netzwerk > SSL-Konfigurationseinstellungen die Richtlinie Reihenfolge der SSL-Verschlüsselungssammlungen anpassen. Entfernen Sie schwache und veraltete Cipher, um die Sicherheit Ihres Geräts weiter zu erhöhen.

Methode 3: TLS-Durchsetzung per PowerShell und Protokollen bestätigen

1. Öffnen Sie das Startmenü und suchen Sie nach Windows PowerShell.
2. Klicken Sie mit der rechten Maustaste auf Windows PowerShell > Als Administrator ausführen.
3. Um die TLS-Verbindung zu testen, geben Sie dieses Skript ein und drücken Sie die Eingabetaste:

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12

Invoke-WebRequest -Uri "https://www.howsmyssl.com/a/check" -UseBasicParsing

4. Dabei wird eine JSON-Datei erzeugt. Prüfen Sie darin, welche Protokollversion verwendet wurde.

So prüfen Sie die Protokolle in der Ereignisanzeige:

1. Öffnen Sie das Startmenü und suchen Sie nach Ereignisanzeige, um das Programm zu öffnen.
2. Navigieren Sie zu folgendem Pfad: Ereignisanzeige > Windows-Protokolle > System.
3. Suchen Sie nach Einträgen mit der Quelle SChannel.
4. Dort sollten bei fehlgeschlagenen oder herabgestuften Verbindungsversuchen Einträge mit den Ereignis-IDs 36874 und 36888 auftauchen.

So prüfen Sie den Status dieser Registry-Schlüssel über die Eingabeaufforderung:

1. Öffnen Sie das Startmenü und suchen Sie nach Eingabeaufforderung.
2. Klicken Sie mit der rechten Maustaste auf Eingabeaufforderung > Als Administrator ausführen.
3. Geben Sie diesen Befehl ein und drücken Sie die Eingabetaste:

reg query HKLM\SOFTWARE\Org\TLSAudit

Nutzen Sie ein RMM-Tool, um regelmäßig alle verwalteten Geräte auf diesen Schlüssel zu prüfen.

Methode 4: Anwendungen mit veraltetem TLS bereinigen oder überwachen

Mit Windows PowerShell können Sie .NET-Anwendungen daraufhin prüfen, ob sie TLS erzwingen:

1. Öffnen Sie das Startmenü und suchen Sie nach Windows PowerShell.
2. Klicken Sie mit der rechten Maustaste auf Windows PowerShell > Als Administrator ausführen.
3. Geben Sie dieses Skript ein und drücken Sie die Eingabetaste:

Get-ChildItem -Path "C:\inetpub\wwwroot", "C:\Program Files" -Recurse -Include *.config |

Select-String -Pattern "SecurityProtocolType"

4. Damit wird das Verschlüsselungsprotokoll der Anwendung angezeigt. Markieren Sie die Anwendungen, die noch TLS 1.0/1.1 verwenden.
5. Falls es Ausnahmen von der TLS-1.2-Vorgabe gibt, können Sie diese Information mit diesem Skript in der Windows-Registry festhalten:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\TLSAudit" -Name "Exceptions" -Value "LegacyBackupApp"

⚠️ Fehlerbehebung

Weitere Punkte beim Erzwingen von TLS 1.2 und dem Deaktivieren alter Verschlüsselungsprotokolle

• TLS 1.3 ist verfügbar, wird aber nur in bestimmten Versionen von Windows 10/11 und Windows Server 2022 unterstützt.
• Manche Anwendungen funktionieren nicht mehr, wenn TLS 1.0/1.1 deaktiviert ist. Testen Sie daher gründlich, bevor Sie den Rollout abschließen.
• Achten Sie darauf, dass auch die Browser TLS 1.2 unterstützen und erzwingen.
• Nehmen Sie das TLS-Audit in Ihre Checkliste für Endpunkt-Hardening und in die Dokumentation Ihrer vierteljährlichen Geschäftsüberprüfung (QBR) auf.

NinjaOne-Services für das Aktivieren von TLS 1.2 und das Deaktivieren alter Verschlüsselungsprotokolle

NinjaOne unterstützt Sie dabei, die Einhaltung von TLS 1.2 durchzusetzen und zu überprüfen:

TLS 1.2 auf allen verwalteten Geräten aktivieren und Sicherheits-Best-Practices durchsetzen

Wer TLS 1.2+ erzwingt und unsichere Protokolle deaktiviert, stärkt die Endpunkt-Sicherheit, unterstützt die Compliance und verkleinert die Angriffsfläche. Einige Anwendungen benötigen allerdings weiterhin alte Verschlüsselungsverfahren. Deshalb ist es für Administrator:innen entscheidend, ihre verwalteten Geräte sorgfältig zu überwachen und sicherzustellen, dass alles den Anforderungen des Unternehmens entspricht.

Verwandte Artikel:

• Was ist ein TLS-Handshake und wie funktioniert er?
• Was ist ein TLS-Handshake und wie funktioniert er?
• Was ist Handshaking?
• PowerShell-Skripting für IT-Profis: Schwache SSL/TLS-Cipher ganz einfach deaktivieren