Zusammenfassung

  • Signierte ECH-Konfigurationen würden die Befugnis zur Authentifizierung neuer Verbindungsversuche gesonderten Schlüsseln zuweisen.
  • Ein erfolgreicher Wiederanlauf sagt noch nicht, wer eine Änderung des Datenschutzes autorisiert hat.

Nach einer Störung zählt zunächst, ob der Dienst wieder erreichbar ist. Bei ECH lohnt eine zweite Frage: Unter welchen Datenschutzbedingungen wurde die Verbindung wiederhergestellt?

ECH verschlüsselt den inneren ClientHello der TLS-Verbindung. Der Entwurf für signierte Updates sieht vor, Wiederholungskonfigurationen mit Schlüsseln zu authentifizieren, die bereits in der Ausgangskonfiguration autorisiert wurden. Eine signierte Anweisung kann auch einen erneuten Versuch ohne ECH vorsehen. Die geltende ECH-Spezifikation verwendet dafür die Authentifizierung über das Zertifikat des öffentlichen Namens.

Damit wird Schlüsselverwaltung zu einer klar benennbaren Zuständigkeit. Wer die Signatur ausstellen darf, verfügt über eine Befugnis, die ein reiner Verfügbarkeitsbericht nicht abbildet. Betrieb und Datenschutz können beim selben Team liegen; ihre Nachweise sind dennoch nicht austauschbar.

Es handelt sich um einen individuellen Entwurf vom 6. Juli 2026, nicht um einen verabschiedeten Standard oder eine Einführungsmeldung. Die anfängliche Bereitstellung über DNS und die Authentifizierung des Zielservers bleiben eigenständige Fragen. Die vorgeschlagene Signatur löst sie nicht mit.