Microsoft schaltet TLS 1.0 und TLS 1.1 in Windows ab

Microsoft hat auf seiner Tech-Community-Website die Deaktivierung der veralteten TLS-Versionen 1.0 und 1.1 in Windows angekündigt. Als Grund nennt das Unternehmen die inzwischen geringe Nutzung sowie bekannte Sicherheitsprobleme.

Transport Layer Security (TLS) ist eine Verschlüsselungsprotokoll für Datenübertragungen über das Internet. Es wird beispielsweise für die Verschlüsselung von Daten genutzt, die per HTTP, IMAP, POP3 und SMTP ausgetauscht werden.

Abschaltung startet im September 2023

TLS 1.0 und 1.1 wurden 1999 beziehungsweise 2006 eingeführt. Beide gelten seit März 2021 als technisch überholt. Die vier großen Browserhersteller Apple, Google, Microsoft und Mozilla kündigten bereits 2018 an, TLS 1.0 und 1.1 ab März 2020 nicht mehr zu unterstützen. Funktionierende Angriffe auf TLS 1.0 sind beispielsweise schon seit 2011 bekannt. Die Nachfolger TLS 1.2 und 1.3 sind zudem bereits seit 2008 beziehungsweise 2018 verfügbar.

„Wir verfolgen die Nutzung des TLS-Protokolls seit mehreren Jahren und sind der Meinung, dass die Daten zur Nutzung von TLS 1.0 und TLS 1.1 gering genug sind, um zu handeln“, teilte Microsoft nun mit. „Um die Sicherheitslage von Windows-Kunden zu verbessern und die Verwendung moderner Protokolle zu fördern, werden die TLS-Versionen 1.0 und 1.1 bald standardmäßig im Betriebssystem deaktiviert.“

In einem ersten Schritt sollen beide Protokollversionen ab September 2023 in Vorabversionen von Windows 11 und künftigen OS-Versionen für Windows Insider abgeschaltet werden. Zu einem Zeitplan für Windows 10 machte Microsoft keine Angeben. Der Tech-Community-Beitrag von Microsoft-Mitarbeiterin Jess Krynitsky ist jedoch auch mit dem Tag Windows 10 versehen, was nahelegt, dass die Deaktivierung auch für Windows 10 geplant ist.

In dem Beitrag weist Microsoft auch darauf hin, dass Administratoren nach der werksseitigen Abschaltung von TLS 1.0 und 1.1 beide Protokolle manuell wieder aktivieren können. Zudem sind ältere Versionen von diversen Anwendungen gelistet, die weiterhin auf TLS 1.0 und 1.1 angewiesen sind, darunter SQL 2012, 2014 und 2016 sowie SQL Server 2014 und 2016.