LONDON (IT BOLTWISE) – Encrypted Client Hello (ECH) soll verhindern, dass Ihr Internetanbieter sehen kann, welche konkrete Website Sie ansteuern. Das geschieht ohne VPN und ohne zusätzliche Sicherheits-Toggles direkt im Browser. Im Kern ersetzt ECH den bislang oft unverschlüsselten Hostname-Anteil (SNI) durch einen verschleierten Handshake-Teil. Gleichzeitig bleibt DNS- und Fingerprinting-Schutz weiterhin ein separates Thema.
Wenn man „HTTPS“ sagt, denkt viele zuerst an verschlüsselte Inhalte. Der reale Schutz entsteht jedoch in mehreren Schichten des TLS-Handshakes – und genau dort setzt Encrypted Client Hello, kurz ECH, an. Der Ausgangspunkt ist der bekannte Mechanismus: Beim ersten Schritt der Verbindung sendet der Client ein ClientHello, das für die weitere Aushandlung unter anderem die Ziel-Identität im Klartext enthält. Genauer: Der Server Name Indication (SNI)-Feldinhalt liefert dem Server den Hostnamen, damit er vor der Verschlüsselung das passende Zertifikat auswählen kann. Für den Internetanbieter ist damit selbst bei „vollständig verschlüsselter“ Verbindung nachvollziehbar, welche Website-Zieladresse kommuniziert wird – wenn auch nicht, welche Inhalte dort abgerufen werden.
ECH adressiert diese Lücke konsequent. Statt den TLS-Handshake selbst „normal“ zu verschlüsseln, baut ECH eine zweite Variante der Handshake-Informationen und nutzt dabei im Wesentlichen einen Täuschungs- bzw. Decoy-Handshake. Eine verschlüsselte Nachricht trägt die echten Zielinformationen wie den Hostnamen, während eine zweite, öffentlich sichtbare Nachricht einen generischen Platzhalter übermittelt. Beobachter zwischen Client und Server sehen dadurch weiterhin einen Handshake, der „zu einem anderen Namen“ zeigt; erst der Server kann die echte innere Nachricht wiederherstellen, sofern er ECH unterstützt und den zugehörigen Schlüssel kennt. Dieses Prinzip ist dabei kein kosmetisches Feature, sondern basiert auf dem standardisierten Verfahren, dessen finaler RFC-Text, so wird es im Beitrag genannt, im März 2026 veröffentlicht wurde (RFC 9849).
Für die Praxis ist entscheidend, dass ECH nicht bei allen Verbindungen spektakulär „aktiv“ umgeschaltet werden muss. Laut Beschreibung unterstützen große Browser ECH bereits seit 2023: Chrome ab Version 117 (September 2023) und Firefox ab Version 118 (September 2023). Zusätzlich nennt der Beitrag Android als weiteren großen Hebel: Unterstützung soll dort ab August 2026 ausgerollt werden. Wer also mit einer aktuellen Browser- und Betriebssystembasis unterwegs ist, bekommt ECH typischerweise im Hintergrund mit. Für Unternehmen und Entwickler ist das wichtig, weil es die Erwartung verschiebt: Der Wert liegt weniger in einem „Privatsphäre-Schalter“, sondern in der fortlaufenden Protokollhärtung, sobald Client- und Server-Support vorhanden sind.
Technisch wirkt ECH wie eine gezielte Verschlüsselung genau der Stelle, an der bisher der Hostname die größte Sichtbarkeit geliefert hat. Der Beitrag skizziert dazu einen Ablauf, der sich in Schlüsselschritte übersetzen lässt: Zunächst prüft der Client per DNS nach einer ECH-Konfiguration, dann erzeugt er zwei ClientHello-Varianten – ein inneres (ClientHelloInner) mit dem echten Ziel und ein äußeres (ClientHelloOuter) mit einem Platzhalter, häufig in Form eines Domain-Namens des Hosting-Providers statt der konkret besuchten Seite. Anschließend verschlüsselt der Client das innere ClientHello mit dem öffentlichen Schlüssel aus der ECH-Konfiguration und „bettet“ das Ergebnis in eine Erweiterung des äußeren ClientHello ein. Der Server versucht danach die Entschlüsselung anhand seiner gespeicherten Schlüssel: Gelingt sie, wird die echte Nachricht wiederhergestellt und an die richtige Backend-Komponente weitergereicht; gelingt sie nicht, läuft die Verbindung stattdessen als herkömmlicher Handshake weiter – häufig mit einer aktualisierten Konfiguration für einen erneuten Versuch.
Damit bleibt noch eine nüchterne Grenze: ECH versteckt vorrangig den Hostname im SNI-Kontext. DNS-Lookups können damit weiterhin im Klaren stattfinden, und auch Browser-Fingerprinting ist nicht automatisch verschwunden. Der Beitrag betont zudem, wie man den tatsächlichen Effekt überprüft: Ein expliziter „ECH an/aus“-Indikator ist nicht der zuverlässige Weg, stattdessen empfiehlt er den Test gegen eine ECH-fähige Zielseite wie crypto.cloudflare.com, etwa über den Eintrag „sni=“ im Klartext, der beim Erfolg als „encrypted“ markiert sein soll. Das ist für Sicherheitsverantwortliche besonders relevant, weil „False Negatives“ drohen: Wenn die Zielseite ECH nicht unterstützt, kann ein korrekt konfiguriertes Gerät trotzdem keine ECH-Verschlüsselung anzeigen.
Auch der Datenschutzkontext wird im Beitrag über eine konkrete Quelle eingeordnet: Eine Meldung der FTC aus dem Jahr 2021 beschreibt, dass US-Internetprovider unverschlüsselte Domain-Level-Browsingdaten überwacht und daraus Werbeprofile aufgebaut haben sollen – inklusive Faktoren wie Standort, demografische Merkmale und sogar politische Neigungen. Diese Einordnung unterstreicht, warum die Frage nach sichtbaren Metadaten („welcher Host wird angesprochen?“) im Alltag oft wichtiger ist als die reine Content-Verschlüsselung. ECH reduziert genau diese Hostname-Sichtbarkeit gegenüber dem ISP, ohne dass Nutzer dafür zwingend auf zusätzliche Tools wie VPNs angewiesen sind. Gleichzeitig zeigt das Ende des Artikels die Realität der „Datenschutzkuchen“-Metapher: ECH ist ein spürbarer Baustein, aber er wirkt nur dort zuverlässig, wo Browser- und Serverunterstützung zusammenkommen und wo DNS- und Fingerprinting-Risiken parallel minimiert werden.
Für die Roadmap in Unternehmen heißt das: ECH sollte nicht als Ersatz für bestehende Privacy-Strategien verstanden werden, aber als Protokollverbesserung, die „default privacy“ erweitert. Teams, die mit TLS-Terminierung, Reverse Proxies oder eigener Infrastruktur arbeiten, sollten prüfen, wie ihr Setup ECH unterstützt oder durchgängig zulässt – denn ein Aspekt der Herausforderung liegt immer an Übergabepunkten zwischen Netzkomponenten. Wer zusätzlich Nutzer- und Entwicklerkommunikation ernst nimmt, kann ECH einfacher erklären als die meisten Privacy-Optionen: Nicht „HTTPS macht alles privat“, sondern „ECH macht den SNI-Hostname weniger sichtbar, während der Rest weiterhin Schichten hat“. Damit entsteht eine klarere Erwartungshaltung – und eine bessere Grundlage für Entscheidungen rund um Sicherheitsarchitektur, Observability und Datenschutzanforderungen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Encrypted Client Hello: So schützt ECH den SNI-Sichtschutz vor dem ISP" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Encrypted Client Hello: So schützt ECH den SNI-Sichtschutz vor dem ISP" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Encrypted Client Hello: So schützt ECH den SNI-Sichtschutz vor dem ISP« bei Google Deutschland suchen, bei Bing oder Google News!