Unterstützung der Verschlüsselung deaktivieren
Diese Richtlinieneinstellung legt fest, welche SSL- und TLS-Protokollversionen Internet Explorer und Anwendungen verwenden dürfen, die ihre Verbindungseinstellungen aus WinINet beziehen.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (2)
HKLM\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\SecureProtocolsHKCU\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings\SecureProtocols
Diese Richtlinieneinstellung legt fest, welche SSL- und TLS-Protokollversionen Internet Explorer und Anwendungen verwenden dürfen, die ihre Verbindungseinstellungen aus WinINet beziehen. SecureProtocols ist ein REG_DWORD-Wert, dessen Bitmaske die zugelassenen Protokolle aus SSL 2.0, SSL 3.0, TLS 1.0, TLS 1.1 und TLS 1.2 bezeichnet.
Beim Aufbau einer geschützten Verbindung vergleichen Client und Server die jeweils unterstützten Protokollversionen. Eine Verbindung kann nur zustande kommen, wenn beide Seiten mindestens eine gemeinsame, zugelassene Version unterstützen.
Der Wert unter HKLM gilt im Computerkontext, der Wert unter HKCU im Benutzerkontext.
Hinweise
Weitere Wirkungen
Ein durch diese Richtlinie vorgegebener SecureProtocols-Wert verhindert, dass Benutzer die betroffenen SSL- und TLS-Optionen in den Internetoptionen selbst ändern. Richtlinienbasierte Protokollvorgaben haben Vorrang vor einer benutzerspezifischen Auswahl in den nicht richtlinienverwalteten Internetoptionen.
Sicherheit
Die Zulassung veralteter Protokolle kann die Sicherheit geschützter Verbindungen verringern. Insbesondere SSL 2.0 und SSL 3.0 gelten als überholt; auch TLS 1.0 und TLS 1.1 erfüllen heutige Sicherheitsanforderungen in der Regel nicht mehr. Werden ausschließlich hinreichend aktuelle Protokolle zugelassen, können betroffene WinINet-Verbindungen nicht auf eine ausgeschlossene ältere Version ausweichen.
Die Einstellung konfiguriert weder Verschlüsselungssammlungen noch Zertifikatsprüfungen. Sie ist außerdem kein allgemeiner Schalter für sämtliche Schannel- oder WinHTTP-Verbindungen; diese Komponenten besitzen zusätzliche beziehungsweise separate Protokolleinstellungen.
Mögliche Nebenwirkungen
Server, die ausschließlich eine ausgeschlossene SSL- oder TLS-Version unterstützen, sind für betroffene Browser und Anwendungen nicht mehr über eine geschützte Verbindung erreichbar. Auch eine Protokollauswahl ohne eine gemeinsam unterstützte Version führt zum Fehlschlagen der Aushandlung.
Programme, die WinINet verwenden, können deshalb Verbindungsfehler zeigen, obwohl sie keine sichtbare Abhängigkeit von Internet Explorer besitzen. Anwendungen mit einem eigenen Netzwerk- oder TLS-Stack müssen von dieser Einstellung dagegen nicht betroffen sein.
Hinweise
Die Microsoft-Richtlinienreferenz beschreibt für diese Einstellung Auswahlmöglichkeiten bis TLS 1.2. Ob eine ausgewählte Version tatsächlich verwendet werden kann, hängt zusätzlich von der Windows-Version, der Anwendung und der zugrunde liegenden Schannel-Konfiguration ab. SSL 2.0 wird seit Windows 10 Version 1607 nicht mehr unterstützt.
Microsoft-Dokumentation
Microsoft Learn: InternetExplorer-Richtlinien-CSP – DisableEncryptionSupport
Microsoft Support: Verwalten von TLS 1.0 und TLS 1.1 nach der Standardverhaltensänderung