Was ist HTTPS und wie schützt es Daten?
Autor: Redaktion Domeny.ForSale Veröffentlicht
Kurz erklärt: HTTPS ist eine Art der Kommunikation zwischen Browser und Website, die übertragene Daten verschlüsselt und dabei hilft zu bestätigen, dass du dich mit dem richtigen Server für die jeweilige Domain verbindest. Sie schützt unter anderem Passwörter, Formulardaten und Antwortinhalte davor, unterwegs mitgelesen oder verändert zu werden. Sie garantiert jedoch nicht, dass die Website selbst seriös ist — auch betrügerische Websites können HTTPS verwenden.
Wie funktioniert HTTPS und worin unterscheidet es sich von HTTP?
HTTP ist ein Protokoll, also ein Regelwerk für die Übertragung von Anfragen und Antworten zwischen Browser und Server. Der Browser fordert beispielsweise eine Produktseite an, und der Server liefert deren Inhalt zurück. Einfaches HTTP verschlüsselt diese Kommunikation nicht.
HTTPS ist HTTP, abgesichert durch TLS — ein Protokoll zum Schutz der Verbindung. Bevor die eigentlichen Daten übertragen werden, vereinbaren Browser und Server die Sicherheitsparameter, und der Browser prüft das vorgelegte Zertifikat. Anschließend wird die Kommunikation verschlüsselt.
HTTPS bietet drei grundlegende Eigenschaften:
- Vertraulichkeit: Wer den Netzwerkverkehr beobachtet, kann die übertragenen Inhalte nicht einfach mitlesen.
- Integrität: Veränderungen an den Daten während der Übertragung werden erkannt.
- Authentifizierung des Servers: Der Browser prüft, ob das Zertifikat vertrauenswürdig ist und zur besuchten Domain passt.
Ein Beispiel: Wenn du dich über ein öffentliches WLAN bei einem Onlineshop anmeldest, schützt HTTPS dein Passwort auf dem Weg vom Browser zum Server, der die Verbindung bedient. Bei einfachem HTTP könnte jemand mit entsprechendem Zugriff auf den Netzwerkverkehr die übertragenen Daten mitlesen. HTTPS schützt das Passwort allerdings nicht vor Schadsoftware auf deinem Gerät.
Wozu dient ein Zertifikat für HTTPS?
Ein digitales Zertifikat verknüpft einen Domainnamen mit einem öffentlichen Schlüssel, der zur Absicherung der Verbindung verwendet wird. Üblicherweise stellt es eine Zertifizierungsstelle aus, der Browser im Rahmen des Zertifikatssystems vertrauen. Der Browser prüft unter anderem, ob der Domainname übereinstimmt, ob das Zertifikat noch gültig ist und ob seine Vertrauenskette stimmt.
In Hostingangeboten ist weiterhin häufig von einem „SSL-Zertifikat“ die Rede. Das ist eine umgangssprachliche Bezeichnung: Moderne HTTPS-Verbindungen verwenden TLS, den Nachfolger des veralteten SSL. Das Zertifikat allein reicht nicht aus — der Server muss verschlüsselte Verbindungen auch korrekt unterstützen.
Ein einfaches Zertifikat mit Domainvalidierung bestätigt die Kontrolle über die Domain, nicht die Seriosität ihres Inhabers. Es gibt sowohl kostenlose als auch kostenpflichtige Zertifikate. Der Preis allein bedeutet keine stärkere Verschlüsselung; Unterschiede können den Umfang der Prüfung, die abgedeckten Namen oder den Support betreffen. Die aktuellen Bedingungen für Ausstellung und Erneuerung findest du in der Dokumentation des Hostinganbieters oder der ausstellenden Stelle.
Was garantiert HTTPS nicht?
Eine sichere Verbindung ist nicht dasselbe wie ein seriöses Unternehmen oder Angebot. Ein Betrüger kann eine Domain registrieren, die der Adresse einer Bank ähnelt, und dafür ein gültiges Zertifikat erhalten. Die Verbindung zu dieser Website ist dann verschlüsselt, aber die eingegebenen Daten landen beim Betrüger.
HTTPS schützt auch nicht vor jedem Datenleck. Es behebt keine Sicherheitslücken in der Anwendung, schützt nicht automatisch die Datenbank auf dem Server und hindert den Websitebetreiber nicht daran, erhaltene Informationen zu missbrauchen. Es sichert die Übertragung ab, nicht den gesamten Prozess der Datenverarbeitung.
Auch vollständige Anonymität bietet es nicht. Der Netzbetreiber kann die IP-Adresse des Servers, den Zeitpunkt der Verbindung und das Datenvolumen sehen. Je nach verwendeter Technologie kann auch der Name der besuchten Domain sichtbar sein. HTTPS verschlüsselt dagegen den Pfad der Adresse, die Abfrageparameter und den Inhalt der Kommunikation. Eine sichtbare Domain bedeutet daher nicht automatisch, dass auch erkennbar ist, welchen konkreten Artikel du liest.
Wie prüfst du die Verbindung und reagierst auf Warnungen?
Prüfe, ob die Adresse mit https:// beginnt, und öffne die Verbindungsinformationen an der Adressleiste. Wie das Symbol aussieht, hängt vom Browser ab — es ist nicht immer ein Schloss. Die Sicherheitsinformation bezieht sich auf die Verbindung und ist keine Bewertung der Glaubwürdigkeit der Websiteinhalte.
Lies den Domainnamen genau, bevor du ein Passwort oder Zahlungsdaten eingibst. Bei der Adresse bank.example.com ist example.com die übergeordnete Domain; das Wort „bank“ allein belegt keine Verbindung zu einer Bank. Ebenso lassen sich Logos und das Aussehen eines Formulars kopieren.
Wenn der Browser vor einem ungültigen Zertifikat oder einer ungesicherten Verbindung warnt, umgehe die Warnung nicht, um dich anzumelden. Die Ursache könnte ein Konfigurationsfehler, ein falsch eingestelltes Datum auf deinem Gerät oder ein Netzwerkproblem sein. Ohne Prüfung lässt sich das jedoch nicht feststellen. Kontrolliere die Adresse und die Uhr deines Geräts und wende dich bei Bedarf an den Administrator der Website.
Wie aktivierst du HTTPS auf deiner eigenen Website?
Am einfachsten beginnst du im Hosting-Kontrollpanel: Viele Anbieter ermöglichen die Ausstellung eines Zertifikats und dessen automatische Erneuerung. Prüfe in der offiziellen Dokumentation, welche Domains der Dienst abdeckt und ob zusätzliche Einstellungen nötig sind. Mit der Aktivierung des Zertifikats beginnt erst die Prüfung der Umsetzung.
- Lass alle verwendeten Namen vom Zertifikat abdecken, beispielsweise die Hauptdomain und die Variante mit
www, sofern du diese nutzt. - Aktiviere HTTPS und teste die Website, insbesondere Anmeldung, Formulare, Zahlungen und Integrationen.
- Richte permanente Weiterleitungen von HTTP auf HTTPS ein, wobei die Pfade der Unterseiten erhalten bleiben müssen.
- Stelle die Ressourcenadressen auf HTTPS um. Bilder, Skripte oder Stylesheets, die über HTTP geladen werden, erzeugen sogenannte gemischte Inhalte. Der Browser kann solche Ressourcen blockieren oder versuchen, sie über eine sichere Verbindung zu laden.
- Aktualisiere die Websiteadresse im CMS, interne Links und die Sitemap und prüfe anschließend, ob die Erneuerung des Zertifikats funktioniert.
Sobald die Konfiguration stabil läuft, kannst du HSTS einrichten — einen Mechanismus, der dem Browser vorgibt, bei künftigen Verbindungen HTTPS zu verwenden. Dabei ist Vorsicht geboten, insbesondere wenn Subdomains einbezogen werden, denn fehlerhafte Einstellungen können den Zugriff auf Dienste erschweren.
Führe den ersten praktischen Test am wichtigsten Formular deiner Website durch: Prüfe, ob die Verbindung abgesichert ist, keine Warnungen erscheinen und der Aufruf über HTTP korrekt auf HTTPS weitergeleitet wird.
Siehe auch: Was ist CDN?
Lesen Sie auch
