TLS-Sicherheitsscan für interne Hosts
Der aethercert Security Scan, ausgeführt auf Ihrem eigenen Computer: TLS 1.0 bis 1.3, Cipher Suites, das Zertifikat und HTTP-Sicherheitsheader, bewertet von A+ bis F - für Intranet-Hosts, private IP-Adressen und jeden Port, den ein öffentlicher Scanner nicht erreicht.
Version 1.1.2 · 27. Oktober 2026 · Windows x64 · kostenlos · aethercert Toolkit herunterladen
Dasselbe Bewertungsschema, aus dem Netzwerk heraus
Der öffentliche Security Scan auf aethercert.com prüft Hosts im Internet. Der Security Scan des Toolkits bewertet nach demselben Schema - dieselben Codes, Schwellen und Obergrenzen - aus Ihrem Netzwerk heraus, sodass auch ein internes Portal, ein LDAPS-Endpunkt oder eine Verwaltungsoberfläche eine Note bekommt.
Zwei bewusste Unterschiede: HSTS wird nur bei Diensten bewertet, die HTTP sprechen, denn LDAPS oder RDP können es nicht senden, und ein mit SHA-1 oder MD5 signiertes Zertifikat ist ein Befund. Zu jedem Befund gibt es eine Empfehlung, sortiert von bestätigter Schwachstelle über Warnung bis nicht geprüft.
Was ein privater TLS-Scan prüft
- 01
Endpunkt angeben
Host, Host:Port oder URL - oder eine IP-Adresse mit dem Namen, gegen den das Zertifikat geprüft wird.
- 02
Protokolle und Ciphers testen
TLS 1.0 und 1.1, RC4, 3DES und CBC werden mit einem selbst gebauten ClientHello getestet: Die Antwort des Servers ist das Ergebnis, ein Schlüsselaustausch findet nicht statt.
- 03
Zertifikat und Header prüfen
Kette, Namen, Gültigkeit, Schlüssel und Signaturalgorithmus sowie die HTTP-Sicherheitsheader, wo der Dienst HTTP spricht.
- 04
Note ablesen
A+ bis F mit jedem Befund und der Empfehlung, in Tabs für Übersicht, TLS, Zertifikat, Header und das JSON.
Was der Security Scan meldet
TLS 1.0 bis 1.3
Jede Version als geprüft, unbekannt (Test fehlgeschlagen) oder nicht getestet markiert.
Cipher Suites
Schwache Suites wie RC4, 3DES und CBC werden direkt auf der Leitung erkannt, auch bei Servern, die für einen modernen Client zu alt sind.
Zertifikat
Vertrauen gegen Mozilla-Stammzertifikate, den Windows-Speicher und eine optionale interne Root, Namensabgleich, Ablauf, Schlüssellänge und Signaturalgorithmus.
HTTP-Sicherheitsheader
HSTS und die übrigen Sicherheitsheader, bewertet nur dort, wo der Dienst HTTP beantwortet.
Mail und Remotedesktop
STARTTLS für SMTP, IMAP, POP3 und FTP wird am Port erkannt; RDP wird ebenfalls ausgehandelt.
Empfehlungen zur Behebung
Was bei jedem Befund zu ändern ist - für SCHANNEL und IIS ebenso wie für nginx - und ein JSON-Bericht zum Aufbewahren.
Endpunkte per Skript bewerten
actk security bewertet einen Endpunkt und schreibt den Bericht als JSON - feldkompatibel mit den Ergebnissen des öffentlichen Scanners.
actk security intranet.corp.local:8443 --json report.jsonactk security 10.0.0.25:25actk security 10.0.0.40 --port 636 --sni dc01.corp.local --ca-file corp-root.pemWeitere Werkzeuge im Toolkit
Dokumentation
Häufige Fragen
TLS-Sicherheitsscan
Was unterscheidet ihn vom Online-Security-Scan?
Er bewertet gleich, läuft aber auf Ihrem Computer und erreicht so interne Hostnamen, private IP-Adressen und jeden Port. HSTS zählt nur, wo der Dienst HTTP spricht, und SHA-1- oder MD5-Signaturen am Zertifikat sind Befunde.
Kann ich einen Host per IP-Adresse scannen?
Ja. IP-Adresse angeben und mit --sni in actk bzw. dem Namensfeld in der App den Hostnamen, zu dem das Zertifikat passen soll.
Verändert der Scan etwas am Server?
Nein. Er baut Verbindungen auf und liest die Handshake-Antworten und HTTP-Antwortheader des Servers; er ändert keine Einstellung und meldet sich nirgends an.
Wird eine interne CA als vertrauenswürdig erkannt?
Ja, wenn sie im Windows-Speicher liegt - auch als Unternehmens-CA per Gruppenrichtlinie - oder wenn Sie ihre Root mit --ca-file übergeben.
TLS-Einstellungen behoben - und die Zertifikate?
aethercert hält die Zertifikate auf diesen Hosts aktuell: vor dem Ablauf erneuert und in den Dienst installiert, der sie nutzt.
Community-Tarif, keine Zahlungsdaten nötig. Offene Registrierung – Ihr Konto ist in wenigen Minuten eingerichtet.