SNI-Inspektion: Wie Zensoren das Ziel trotz HTTPS sehen

Stellen Sie sich vor, Sie schicken einen Brief in einem verschlossenen Umschlag. Der Inhalt ist geheim – nur der Empfänger kann ihn lesen. Aber die Adresse steht auf der Außenseite des Umschlags, sichtbar für jeden Postboten, jeden Sortierarbeiter, jeden, der den Brief anfasst. Ein Zensor an der Grenze könnte den Brief lesen? Nein. Aber er könnte sehen, dass er zu einer bestimmten Adresse geht – und entscheiden, den Brief einfach nicht weiterzuleiten.

Das ist das Problem mit SNI-Inspektion. HTTPS verschlüsselt, was Sie im Internet tun – aber es versteckt nicht, wohin Sie gehen. Dieser Artikel erklärt, warum das passiert, wie Zensoren das nutzen, und welche technischen Lösungen daran arbeiten, das zu ändern.

Was ist SNI überhaupt?

Wenn Sie eine Website im Browser aufrufen, passiert hinter den Kulissen eine Art Handschlag zwischen Ihrem Computer und dem Server. Dieser Handschlag heißt TLS-Handshake (TLS = Transport Layer Security). Er ist die erste Phase der HTTPS-Verbindung, bevor Verschlüsselung stattfindet.

Der TLS-Handschake enthält eine Information namens SNI – Server Name Indication. Das ist schlicht der Name der Website, die Sie besuchen möchten. Wenn Sie beispielsweise example.org aufrufen, steht "example.org" im SNI-Feld. Dieses Feld ist nicht verschlüsselt. Es liegt im Klartext vor – jeder kann es lesen, der Ihren Datenverkehr beobachtet.

Warum ist SNI überhaupt nötig? Weil tausende verschiedener Websites oft auf derselben Servermaschine laufen, unter der gleichen IP-Adresse. Der Server muss wissen, welches Zertifikat er laden soll, bevor die Verschlüsselung beginnt – und er erfährt das durch SNI. Das ist eine praktische Lösung für die Realität des modernen Internets, aber sie hat einen Preis: Überwachung.

Wie Zensoren SNI-Blöcke nutzen

Viele Länder und Netzwerke überwachen den SNI-Feld während des TLS-Handshakes. Wenn der Server einen sogenannten SNI-Block aktiviert hat, blockiert eine Firewall oder ein Proxy die Verbindung sofort – bevor die Verschlüsselung überhaupt beginnt.

Das bedeutet: Sie könnten die beste HTTPS-Verschlüsselung der Welt haben, aber wenn Ihre Internetverbindung überwacht wird und die Website auf einer Blockliste steht, kommt die Verbindung nie zustande. Der Zensor sieht nicht, was Sie tun, aber er sieht, dass Sie versuchen, sich mit dieser einen Domain zu verbinden – und das reicht ihm zum Blockieren.

Es gibt verschiedene Länder und Regionen, die SNI-basierte Blöcke einsetzen. China, der Iran, Russland und die Türkei sind bekannt dafür. Aber auch in westlichen Ländern existieren SNI-basierte Blockaden – etwa zum Sperren von Websites mit illegalen Inhalten oder von bestimmten Diensten in bestimmten Regionen. Ein ISP könnte zum Beispiel entscheiden, dass eine Website in seinem Land nicht erreichbar sein soll.

Die Grenze zwischen Sicherheit und Überwachung

Hier wird es nuanciert. SNI war ursprünglich nicht als Überwachungsmittel gedacht – es war einfach eine technische Notwendigkeit. Und legitime Fälle für SNI-Blöcke existieren: Ein ISP könnte eine Website blockieren, die Malware verbreitet. Ein Unternehmen könnte bestimmte Kategorien von Websites für Mitarbeiter sperren.

Aber SNI-Inspektion ist auch ein mächtiges Zensur-Werkzeug. Ein Regime kann damit sehr feinkörnig kontrollieren, welche Websites seine Bürger erreichen. Und: SNI-Blöcke sind schwer zu umgehen mit normalen VPNs, weil auch VPNs einen TLS-Handshake brauchen – wenn das VPN selbst SNI-Blockaden ausgesetzt ist, nützt es nicht viel.

Encrypted Client Hello: Die nächste Schicht

Techniker haben ein Problem erkannt und arbeiten an einer Lösung: Encrypted Client Hello (ECH), früher als ESNI bekannt. Die Idee ist einfach: den SNI-Feld selbst verschlüsseln.

Bei ECH wird der gesamte Handshake – inklusive SNI – verschlüsselt, bevor er gesendet wird. Der Server kann die Information trotzdem lesen, weil er einen öffentlichen Schlüssel hat. Ein Beobachter außen herum sieht nur verschlüsselte Daten und kann nicht sehen, welche Website Sie besuchen möchten.

Aber: ECH ist noch nicht überall implementiert. Browser unterstützen es teilweise (Firefox, Chrome, Safari machen Fortschritte). Server müssen es auch unterstützen. Und selbst wenn ECH aktiv ist, können Zensoren noch immer IP-Adressen blockieren oder andere Überwachungsmethoden nutzen – zum Beispiel DNS-Inspektion, die wir in einem anderen Artikel behandeln.

Was Sie jetzt wissen sollten

HTTPS schützt den Inhalt Ihrer Kommunikation, aber nicht die Tatsache, dass Sie mit einer bestimmten Website sprechen. Der SNI-Feld wird im Klartext übertragen und kann von Netzwerküberwachung gelesen werden. Das ermöglicht es Zensoren, Websites zu blockieren, ohne einen Blick auf die Daten zu werfen.

Encrypted Client Hello ist die Zukunftsrichtung und wird SNI-basierte Überwachung schwieriger machen. Aber es wird nicht alle Probleme lösen – nur eines. Netzwerksicherheit ist ein Spiel von vielen Ebenen, und jede Schicht kann angegriffen werden.

Nächste Schritte: Lesen Sie über DNS-Inspektion und wie DNS-Blöcke funktionieren. Erfahren Sie, wie VPNs und Proxy-Dienste versuchen, mehrere dieser Überwachungsebenen gleichzeitig zu umgehen. Und verstehen Sie, dass es keinen perfekten Schutz gibt – nur bessere und schlechtere Optionen für verschiedene Bedrohungsszenarien.