TLS-Inspektion mit Zenarmor: Technik, DSGVO und Betriebsrat

TLS-Inspektion (auch SSL-Inspection oder HTTPS-Inspektion) ist in Deutschland zulässig, wenn Sie sie als Sicherheitsmaßnahme begründen und sorgfältig gestalten: legitimer Zweck, Erforderlichkeit und Verhältnismäßigkeit, vorherige Information der Beschäftigten, bei systematischer Überwachung eine Datenschutz-Folgenabschätzung und, sofern ein Betriebsrat besteht, dessen Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG, in der Praxis über eine Betriebsvereinbarung. Technisch bietet Zenarmor zwei Stufen: Light-weight (certificate-based), das Hostname, Kategorie und Anwendung ohne Entschlüsselung erkennt, und Full TLS Inspection (decrypt/re-encrypt), das den Datenverkehr tatsächlich öffnet und prüft. Mit über 80 vordefinierten Ausnahmen (unter anderem Banking und Gesundheit) und Inspektion pro Website legen Sie genau fest, was entschlüsselt wird und was nicht.

Dieser Beitrag erklärt beide Modi, den Rollout des Zertifikats, die Zenarmor-Pläne mit voller Inspektion (Stand Oktober 2026) und wie Sie DSGVO und Betriebsrat von Anfang an einbinden. Secrotec schreibt als unabhängiger ISO 27001 Lead Auditor und offizieller Zenarmor-Partner in den Niederlanden, der Zenarmor-Lizenzen und -Projekte in der gesamten EU umsetzt: Wir richten TLS-Inspektion so ein, dass sie sicher und erklärbar ist, gegenüber Beschäftigten, Betriebsrat und Auditor.

Warum TLS-Inspektion: Bedrohungen verstecken sich in HTTPS

Nahezu der gesamte Webverkehr ist heute verschlüsselt. Das schützt die Privatsphäre, hilft aber auch Angreifern: Phishing-Seiten laufen mit gültigen Zertifikaten, Malware wird per HTTPS nachgeladen und Command-and-Control-Verkehr versteckt sich in gewöhnlichen TLS-Sitzungen. Laut dem ThreatLabz 2024 Encrypted Attacks Report von Zscaler steckten 87,2 % der von Zscaler innerhalb eines Jahres beobachteten Bedrohungen in TLS/SSL-verschlüsseltem Verkehr. Das ist eine Herstellerzahl aus der eigenen Cloud, der Trend ist aber breit anerkannt.

Ohne Inspektion sieht Ihre Firewall bei einer HTTPS-Sitzung vor allem, wer mit welchem Server spricht. Sie sieht nicht, welche Datei heruntergeladen, welcher Pfad aufgerufen oder welche Daten über ein Webformular oder eine Cloud-App abfließen. Die Folgen:

• Malware und Phishing auf legitimen oder neu registrierten Domains kommen leichter durch.
• Webfilter greifen nur auf Domain-Ebene, nicht auf Seiteninhalte.
• Cloud-Regeln, etwa Uploads zu einem Filesharing-Dienst sperren, Downloads aber erlauben, lassen sich ohne Entschlüsselung nicht durchsetzen.
• Datenabfluss über legitime Cloud-Speicher bleibt weitgehend unsichtbar.

Gleichzeitig ist Entschlüsselung ein Eingriff: Am Inspektionspunkt ist der Verkehr kurzzeitig lesbar, inklusive personenbezogener Daten. Die Kernfrage lautet daher nicht, ob Sie inspizieren, sondern wie viel und wo.

Zwei Modi in Zenarmor: Light-weight oder volle Inspektion

Light-weight (certificate-based)

Im Light-weight-Modus entschlüsselt Zenarmor nichts. Die Engine wertet die unverschlüsselten Teile des TLS-Handshakes aus, etwa den Servernamen (SNI) und das Serverzertifikat, und bestimmt daraus Hostname, Webkategorie und Anwendung. Damit funktionieren Webfilter, Anwendungskontrolle und Sicherheitsregeln (Phishing-, Malware- und Botnet-Domains sperren) auch für HTTPS. Laut der Zenarmor-Dokumentation zu TLS-Inspektionsregeln steht dieser Modus in allen Editionen zur Verfügung, auch in der Free Edition. Ein Zertifikat auf den Clients ist nicht nötig; ohne vertrautes Zenarmor-Zertifikat kann für HTTPS-Seiten allerdings keine saubere Sperrseite angezeigt werden.

Full TLS Inspection (decrypt/re-encrypt)

Im vollen Modus agiert Zenarmor als vertrauenswürdiger Vermittler. Die TLS-Sitzung des Clients wird am Inspektionspunkt entschlüsselt, geprüft und zum Ziel hin neu verschlüsselt. Dafür müssen die Clients der Zenarmor-CA (oder Ihrer eigenen CA) vertrauen. Zenarmor sieht dann auch die vollständige URL, den Inhaltstyp und Aktionen in Cloud-Apps. Das ermöglicht inhaltsbasiertes Echtzeit-Anti-Phishing und, je nach Plan, Dateiscans sowie CASB-Regeln, die bestimmte Aktionen wie Hochladen oder Teilen sperren. Wie das ein WeTransfer-Leck schließt, lesen Sie in unserem Beitrag zu SSE, CASB und DLP.

In der Policy finden Sie außerdem Optionen wie „Exclude whitelisted/certificate-pinned websites from inspection“, „Exclude flows without DNS enrichment data from inspection“ und das Blockieren von TLS Encrypted Client Hello (ECH), das sonst den Servernamen verbirgt.

Merkmal	Light-weight (certificate-based)	Full TLS Inspection (decrypt/re-encrypt)
Entschlüsselung	Nein	Ja, danach Neuverschlüsselung
Was Zenarmor sieht	Hostname (SNI), Zertifikat, Kategorie, Anwendung	Zusätzlich vollständige URL, Inhalte, Dateien, Aktionen in Cloud-Apps
CA-Zertifikat auf Clients	Nicht nötig (nur für saubere Sperrseite)	Erforderlich
Datenschutzwirkung	Gering: Metadaten	Hoch: Inhalte am Inspektionspunkt lesbar
Typischer Einsatz	Webfilter, Anwendungskontrolle, Sicherheitskategorien	Malware und Phishing in Inhalten, CASB-Aktionen, Abflussschutz
Verfügbarkeit	Alle Editionen, auch Free	Add-on zu Unified Secure; enthalten in Unified Secure Plus und SSE/ZTNA/SASE

Ausnahmeliste und Inspektion pro Website

Standardmäßig nimmt Zenarmor über 80 vordefinierte Domains von der TLS-Inspektion aus. Laut der Dokumentation zur Verwaltung der TLS-Inspektion stammt diese Liste aus der Signaturdatenbank von Zenarmor. Als typische Ausnahmen nennt Zenarmor Gesundheitsziele, Banken und Finanzdienste, Apps mit Certificate Pinning (etwa Adobe, Apple, Cisco Webex, Microsoft 365 und die Dropbox-App) sowie nicht entschlüsselbaren Verkehr. Zusätzlich pflegen Sie eine eigene Bypass-Liste.

Seit Zenarmor 2.2 (November 2025) lässt sich die volle Inspektion auch pro Website aktivieren: Entschlüsselt werden nur die Domains, die Sie ausdrücklich angeben, auf Wunsch per CSV-Upload. Das kehrt die Logik um, von „alles außer“ zu „nur diese“. Für viele mittelständische Unternehmen ist das der am besten begründbare Einstieg, etwa indem nur Filesharing-Dienste und andere risikoreiche Ziele voll geprüft werden und der Rest im Light-weight-Modus bleibt.

Die Best Practices von Zenarmor gehen in dieselbe Richtung: Finanz-, Gesundheits- und Behördenkategorien ausnehmen, mit einer kleinen Nutzergruppe beginnen, zunächst weniger kritische Kategorien testen, BYOD- und Gastnetze vollständig isolieren und IoT-Geräte ohne eigene Zertifikatsverwaltung in ein separates Subnetz legen.

Zertifikats-Rollout: Zenarmor-CA oder eigene CA

Volle Inspektion funktioniert nur, wenn Ihre Geräte dem Zertifikat vertrauen, mit dem Zenarmor den Verkehr neu signiert. In Zenconsole können Sie eine CA erzeugen oder importieren und im PEM- oder CRT-Format herunterladen. Betreiben Sie bereits eine PKI, nutzen Sie möglichst eine eigene Sub-CA für die Inspektion und schützen Sie deren privaten Schlüssel; das ist auch ein Prüfpunkt nach ISO 27001 A.8.24 (Verwendung von Kryptografie).

• Windows in der Domäne: per Gruppenrichtlinie unter Computerkonfiguration › Richtlinien › Windows-Einstellungen › Sicherheitseinstellungen › Richtlinien für öffentliche Schlüssel › Vertrauenswürdige Stammzertifizierungsstellen.
• Intune-verwaltete Geräte: mit einem Profil für vertrauenswürdige Zertifikate in Microsoft Intune, je Plattform (Windows, macOS, iOS/iPadOS, Android).
• macOS und iOS: über ein Konfigurationsprofil aus Ihrem MDM, etwa Intune oder Jamf.
• Firefox: nutzt einen eigenen Zertifikatsspeicher; lassen Sie Firefox per Richtlinie die Windows-Stammzertifikate übernehmen oder installieren Sie das Zertifikat separat. Chrome und Edge nutzen den Speicher des Betriebssystems.
• Android: Viele Apps vertrauen standardmäßig nur Systemzertifikaten; rechnen Sie mit zusätzlichen Ausnahmen.

Prüfen Sie nach dem Rollout in den Live Sessions, ob Sitzungen den Status „TLS-Inspected“ erhalten und ob der Browser Zenarmor als Aussteller anzeigt. Funktioniert eine App nicht mehr, ist fast immer Certificate Pinning die Ursache: Setzen Sie die Domain auf die Bypass-Liste.

Performance: Was kostet Entschlüsselung an Rechenleistung?

Entschlüsseln und Neuverschlüsseln kostet CPU und Arbeitsspeicher. Der Deployment Guide von Zenarmor legt den Schwerpunkt auf Planung und schrittweisen Rollout; die allgemeinen Hardware-Empfehlungen (zum Beispiel 0–50 Geräte rund 300 Mbit/s mit 1 GB RAM, 250–1.000 Geräte 1–2 Gbit/s mit 16 GB RAM) nennen keine eigenen TLS-Werte. Planen Sie daher großzügige Reserven ein und messen Sie im Pilotbetrieb. Faustregeln aus unseren Projekten:

• Selektiv inspizieren (pro Website oder Kategorie) statt alles.
• QUIC blockieren, damit Browser auf TCP/TLS zurückfallen; die TLS-Inspektion von Zenarmor stützt sich auf TCP-Sitzungsdaten.
• Hardware mit AES-Beschleunigung und ausreichend Kernen wählen; Zenarmor 2.7 brachte Multi-Core-Verarbeitung für 10G-Umgebungen auf OPNsense.
• CPU-Last und Latenz nach jeder Erweiterung des Inspektionsumfangs überwachen.

Welche Zenarmor-Pläne enthalten TLS-Inspektion?

Seit dem 30. September 2026 gelten neue Zenarmor-Pläne. Laut der offiziellen Preisseite (Listenpreise in USD, Stand Oktober 2026, zzgl. MwSt., ohne Gewähr):

Plan	Listenpreis pro Nutzer/Monat	Light-weight	Full TLS Inspection
Free	0 USD (1 Nutzer/Gateway)	Ja	Nein
Home	9,99 USD pro Monat, nur privat	Ja	Nein
Unified Secure	5,00 USD (10–49) · 4,50 USD (50–99) · 4,00 USD (100–150)	Ja	Add-on: +3,00 USD pro Nutzer/Monat
Unified Secure Plus	9,00 · 8,50 · 8,00 USD	Ja	Enthalten
SSE / ZTNA / SASE	Auf Anfrage	Ja	Enthalten

Rechenbeispiel (Listenpreis): Für 40 Nutzer kostet Unified Secure mit TLS-Add-on 40 × (5,00 + 3,00 USD) = 320 USD pro Monat. Unified Secure Plus kostet 40 × 9,00 USD = 360 USD pro Monat. Für 1 USD mehr pro Nutzer erhalten Sie 30 statt 15 Tage Berichtsaufbewahrung, zwei Agents pro Nutzer, Mesh-VPN und Site-to-Site-Verbindungen. Über Secrotec erhalten Sie zusätzlich einen Partnerrabatt, und der Preis ist in Zenarmor-Projekten immer verhandelbar.

Rechtlicher Rahmen in Deutschland: DSGVO, DSFA und Betriebsrat

TLS-Inspektion verarbeitet personenbezogene Daten: IP-Adressen, Benutzernamen, besuchte Websites und bei voller Inspektion auch Inhalte. Die DSGVO verbietet das nicht, verlangt aber eine sorgfältige Begründung. Die europäischen Datenschutzbehörden haben TLS-Inspektion sogar ausdrücklich als Beispiel in der Stellungnahme 2/2017 zur Datenverarbeitung am Arbeitsplatz (WP249) der Artikel-29-Datenschutzgruppe behandelt.

1. Zweck und Rechtsgrundlage

Seit dem Urteil des EuGH vom 30. März 2023 (Rs. C-34/21) ist umstritten, ob § 26 Abs. 1 BDSG als eigenständige Rechtsgrundlage trägt. In der Praxis stützen Unternehmen TLS-Inspektion deshalb meist auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit) in Verbindung mit der Sicherheitspflicht aus Art. 32 DSGVO. Eine Betriebsvereinbarung kann nach Art. 88 DSGVO spezifischere Regeln enthalten, muss aber selbst den Anforderungen der DSGVO genügen. Halten Sie fest, dass der Zweck IT-Sicherheit ist und keine Verhaltens- oder Leistungskontrolle.

2. Erforderlichkeit und Verhältnismäßigkeit

Nach WP249 ist die Überwachung sämtlicher Online-Aktivitäten von Beschäftigten unverhältnismäßig; zuerst sind mildere Mittel zu prüfen. Ist ein Abfangen streng erforderlich, sollte es so konfiguriert sein, dass keine dauerhafte Protokollierung der Aktivitäten entsteht, etwa durch Blockieren verdächtigen Verkehrs mit Weiterleitung auf eine Informationsseite. Verkehr, dessen Abfangen das Gleichgewicht stört, etwa private Webmail, Online-Banking und Gesundheitsseiten, sollte ausgenommen werden; idealerweise gibt es eine nicht überwachte Alternative wie ein Gast-WLAN. In Zenarmor bedeutet das: Light-weight als Basis, volle Inspektion pro Website oder Kategorie, eine großzügige Bypass-Liste und ein isoliertes Gastnetz.

3. Datenschutz-Folgenabschätzung und Transparenz

Bei systematischer Überwachung von Beschäftigten ist eine DSFA nach Art. 35 DSGVO häufig erforderlich; prüfen Sie dies anhand der Muss-Liste der deutschen Aufsichtsbehörden. Informieren Sie die Beschäftigten vorab, etwa in der IT-Nutzungsrichtlinie und den Datenschutzhinweisen: was inspiziert wird und warum, welche Kategorien ausgenommen sind, wie lange Daten gespeichert werden und wer Zugriff hat.

4. Betriebsrat: Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG

Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat mit bei der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“. Nach ständiger Rechtsprechung des Bundesarbeitsgerichts genügt es, dass eine Einrichtung objektiv zur Überwachung geeignet ist; auf die Absicht des Arbeitgebers kommt es nicht an. Eine Firewall mit TLS-Inspektion und nutzerbezogenen Berichten fällt darunter. Ohne Zustimmung darf die Maßnahme nicht eingeführt werden; kommt keine Einigung zustande, entscheidet die Einigungsstelle (§ 87 Abs. 2 BetrVG).

Bewährt hat sich eine Betriebsvereinbarung mit klarer Zweckbindung (nur IT-Sicherheit), Ausschluss der Leistungs- und Verhaltenskontrolle, Liste der Ausnahmen, Speicherdauer, Zugriff nur anlassbezogen und im Vier-Augen-Prinzip, Information der Beschäftigten und einem Evaluierungstermin.

5. Private Nutzung und Fernmeldegeheimnis

Ob Arbeitgeber, die die private Internetnutzung erlauben, an das Fernmeldegeheimnis (§ 3 TDDDG) gebunden sind, ist umstritten. Viele Unternehmen regeln die Privatnutzung deshalb ausdrücklich, etwa durch ein Verbot im Firmennetz mit separatem Gast-WLAN oder durch klare Regeln in der Betriebsvereinbarung.

Anforderung	Was Sie festlegen	Umsetzung in Zenarmor
Zweckbindung	Nur IT-Sicherheit, keine Leistungskontrolle	Policies für Sicherheitskategorien und risikoreiche Ziele
Datenminimierung	Light-weight wo möglich, voll wo nötig	Light-weight als Basis, volle Inspektion pro Website oder Kategorie
Sensible Ziele	Banking, Gesundheit, Behörden, private Webmail ausnehmen	80+ vordefinierte Ausnahmen plus eigene Bypass-Liste
Speicherdauer	Begründete Frist je Protokollart	Aufbewahrung in der Berichtsdatenbank und SIEM-Streaming
Zugriff	Wer darf Protokolle wann einsehen	Rollen in Zenconsole und Audit-Trail der Admin-Aktionen
Alternative	Nicht überwachte Privatnutzung	Isoliertes Gastnetz ohne Inspektion

Hinweis: Dieser Beitrag ist keine Rechtsberatung. Er gibt die wesentlichen Punkte mit Stand Oktober 2026 wieder; lassen Sie Ihren konkreten Fall von Ihrem Datenschutzbeauftragten oder einer Fachanwältin bzw. einem Fachanwalt für Arbeits- und Datenschutzrecht prüfen.

Bezug zu ISO 27001, TISAX und NIS2

TLS-Inspektion ist kein Selbstzweck, sondern eine technische Umsetzung von Anforderungen aus mehreren Regelwerken. Zenarmor unterstützt diese Anforderungen; Konformität entsteht aus dem Zusammenspiel von Richtlinien, Risikoanalyse und nachweisbarem Betrieb.

Regelwerk	Maßnahme	Beitrag der TLS-Inspektion
ISO 27001:2022	A.8.7 Schutz gegen Schadsoftware	Erkennung von Malware und Phishing, auch in verschlüsseltem Verkehr
ISO 27001:2022	A.8.20 Netzwerksicherheit	Transparenz und Kontrolle über den Netzwerkverkehr
ISO 27001:2022	A.8.23 Webfilterung	Kategorien und Policies greifen auch bei HTTPS
ISO 27001:2022	A.8.24 Verwendung von Kryptografie	Verwaltung und Schutz der Inspektions-CA
TISAX (VDA ISA 6)	5.2.3 Schutz vor Schadsoftware	Prüfung an Netzübergängen, auch verschlüsselter Verbindungen
NIS2 Art. 21 / § 30 BSIG	Risikomanagementmaßnahmen (Netzsicherheit, Kryptografie)	Nachweisbare, risikobasierte Kontrolle verschlüsselten Verkehrs

Die TISAX-Nummerierung folgt VDA ISA 6 und kann sich mit ISA2027 verschieben. Mehr dazu in unserem Beitrag zur TISAX-Vorbereitung und Netzwerksicherheit und auf unserer Seite zur NIS2-Compliance.

Schritt für Schritt: TLS-Inspektion reibungslos einführen

Wie Secrotec unterstützt

Secrotec ist unabhängiger ISO 27001 Lead Auditor und offizieller Zenarmor-Partner in den Niederlanden. Damit vereinen wir zwei Perspektiven, die bei TLS-Inspektion zusammenkommen: die technische Konfiguration und die Frage, ob sie ein Audit, eine DSFA-Prüfung und die Verhandlung mit dem Betriebsrat besteht.

• Wir liefern den technischen Input für Ihre DSFA und eine verständliche Systembeschreibung als Anlage zur Betriebsvereinbarung.
• Wir konfigurieren Zenarmor mit Light-weight als Basis, voller Inspektion dort, wo das Risiko es rechtfertigt, und einer begründeten Bypass-Liste.
• Wir ordnen die Einstellungen ISO 27001 Annex A, NIS2 und VDA ISA zu, damit der Nachweis für Ihren Auditor bereitliegt.
• Sie beziehen die Lizenzen über uns mit Partnerrabatt; der Preis ist in Zenarmor-Projekten immer verhandelbar.

Mehr auf unserer Seite Zenarmor Partner, zur Nutzung von Zenarmor-Berichten als Audit-Nachweis oder in der Übersicht Firewall & Netzwerke.