Was ist SSL? TLS und HTTPS einfach erklärt
Autor: Redaktion Domeny.ForSale Veröffentlicht
Kurz gesagt: SSL ist die gebräuchliche Bezeichnung für eine Technologie, die die Verbindung zwischen dem Browser und dem Server einer Website absichert. Moderne Websites verwenden den Nachfolger TLS, auch wenn häufig weiterhin von einem „SSL-Zertifikat“ die Rede ist. Eine solche Verbindung schützt übertragene Daten davor, unterwegs mitgelesen oder verändert zu werden. Sie garantiert aber nicht, dass der Betreiber der Website seriös ist.
SSL, TLS und HTTPS – was ist der Unterschied?
SSL, ausgeschrieben Secure Sockets Layer, ist ein älteres Protokoll zur Absicherung der Netzwerkkommunikation. Sein Nachfolger ist TLS – Transport Layer Security. Die alten Versionen von SSL sind veraltet und sollten nicht mehr verwendet werden. Die Bezeichnung hat sich jedoch in Hosting- und Zertifikatsangeboten gehalten.
HTTPS ist HTTP, das Protokoll zur Kommunikation mit einer Website, abgesichert durch TLS. Eine Adresse, die mit https:// beginnt, bedeutet also, dass eine Verbindung zur Website mit dieser Absicherung aufgebaut werden soll. Der Browser prüft, ob die Verbindung ordnungsgemäß abgesichert ist, und kann bei Problemen eine Warnung anzeigen.
Ein Zertifikat ist ein digitales Dokument, das einen Domainnamen mit einem öffentlichen Schlüssel verknüpft, der zur Authentifizierung des Servers verwendet wird. Beim normalen Aufruf einer Website prüft der Browser unter anderem, ob das Zertifikat zur Adresse passt, gültig ist und auf eine vertrauenswürdige Kette von Zertifikatsausstellern zurückgeht. Das Zertifikat selbst verschlüsselt nicht die gesamte Übertragung. Es ist ein Bestandteil des Verfahrens, mit dem eine sichere Verbindung hergestellt wird.
Was schützt eine verschlüsselte Verbindung – und was nicht?
TLS gewährleistet die Vertraulichkeit der übertragenen Daten und ihre Integrität, schützt sie also vor unbemerkten Änderungen während der Übertragung. Es hilft außerdem zu bestätigen, dass der Browser mit einem Server kommuniziert, der berechtigt ist, die angegebene Domain zu bedienen.
Wenn ein Kunde beispielsweise sein Passwort oder seine Lieferadresse in einem Shop eingibt, der HTTPS korrekt verwendet, sollte jemand, der den Netzwerkverkehr abhört, diese Informationen nicht lesen können. Ohne Verschlüsselung könnten die Formulardaten abgefangen werden. HTTPS schützt auch den Inhalt der übertragenen Seite davor, unterwegs ausgetauscht zu werden.
Eine verschlüsselte Verbindung bedeutet jedoch nicht, dass die Website selbst sicher oder seriös ist. Auch ein Betrüger kann ein Zertifikat für seine Domain erhalten. Prüfe deshalb vor einer Zahlung die genaue Adresse des Shops und die Angaben zum Verkäufer, nicht nur die Verbindungsanzeige im Browser.
TLS schützt Daten auch nicht mehr, nachdem sie auf dem Server gespeichert wurden, entfernt keine Viren und behebt keine Fehler in Anwendungen. Es gewährleistet keine vollständige Anonymität: Wer den Netzwerkverkehr beobachtet, kann weiterhin bestimmte Verbindungsinformationen sehen, beispielsweise die IP-Adresse des Servers. Softwareupdates, Zugriffskontrollen und Backups bleiben eigenständige Aufgaben.
Welches Zertifikat eignet sich für deine Website?
Für einen typischen Blog, eine Unternehmenswebsite oder einen Shop reicht in der Regel ein DV-Zertifikat aus. Dabei wird die Kontrolle über die Domain geprüft. Der Aussteller prüft, ob der Antragsteller diese Kontrolle nachweisen kann, beispielsweise durch einen passenden Eintrag in DNS – dem System, das den Datenverkehr einer Domain zu den richtigen Diensten leitet.
Bei OV- und EV-Zertifikaten wird zusätzlich die Organisation überprüft. EV verlangt dabei eine umfassendere Prüfung nach den Vorgaben des Ausstellers. Das bedeutet nicht automatisch eine stärkere Verschlüsselung als bei DV. Die Entscheidung für ein solches Zertifikat kann sich aus organisatorischen oder vertraglichen Anforderungen ergeben, statt aus der Notwendigkeit, die Übertragung selbst besser abzusichern.
Prüfe bei der Auswahl vor allem, welche Namen das Zertifikat abdeckt:
example.comundwww.example.comsind zwei unterschiedliche Namen. Das Zertifikat sollte beide abdecken, wenn beide über HTTPS erreichbar sein sollen.- Ein Wildcard-Zertifikat für
*.example.comdeckt Subdomains auf einer Ebene ab, etwashop.example.com, aber weder die Domainexample.comselbst noch die Adressepanel.shop.example.com. - Ein Zertifikat kann mehrere bestimmte Namen abdecken, wenn diese darin enthalten sind.
Ein kostenloses Zertifikat eines vertrauenswürdigen Ausstellers kann bei vergleichbarer Konfiguration das gleiche Verschlüsselungsniveau bieten wie ein kostenpflichtiges. Die Gebühr kann zusätzliche Prüfungen, Support oder die Verwaltung des Zertifikats abdecken. Informiere dich in der Dokumentation deines Hostinganbieters oder des Ausstellers über die aktuelle Verfügbarkeit, die Bedingungen und das Verlängerungsverfahren.
Wie richtest du HTTPS auf deiner Website ein?
Bei Shared Hosting lässt sich das Zertifikat häufig im Administrationsbereich aktivieren. Auf einem eigenen Server musst du den Webserver und die automatische Verlängerung konfigurieren. Wenn du ein CDN nutzt, also ein Netzwerk, das die Auslieferung von Inhalten vermittelt, sichere auch die Verbindung zwischen dem CDN und dem Ursprungsserver ab.
In der Praxis bietet sich folgende Reihenfolge an:
- Erfasse alle verwendeten Domainnamen, einschließlich der Variante mit
wwwund der benötigten Subdomains. - Lass das Zertifikat ausstellen und installiere es nach der Anleitung deines Anbieters.
- Prüfe, ob die Website über HTTPS funktioniert, insbesondere Anmeldung, Formulare und Zahlungen.
- Stelle die Website-Adresse im Content-Management-System sowie die Verweise auf Bilder, Skripte und Stylesheets auf HTTPS um.
- Richte eine permanente Weiterleitung von HTTP auf HTTPS ein.
- Aktiviere die automatische Verlängerung und Benachrichtigungen bei Problemen.
Ressourcen, die weiterhin über HTTP geladen werden, führen zu sogenannten gemischten Inhalten. Der Browser kann sie blockieren oder versuchen, sie über HTTPS abzurufen. Dadurch können Teile der Website nicht mehr funktionieren. Mit der Installation des Zertifikats allein ist die Umstellung also noch nicht abgeschlossen.
Wie prüfst du das Zertifikat und reagierst auf Fehler?
In den Website-Informationen an der Adressleiste kannst du den Verbindungsstatus und die Details des Zertifikats prüfen. Wie dieses Menü aussieht, hängt vom Browser ab – nicht jeder zeigt das klassische Vorhängeschloss an. Prüfe den Domainnamen und den Gültigkeitszeitraum des Zertifikats.
Eine Warnung kann bedeuten, dass das Zertifikat abgelaufen ist, nicht zur Adresse passt oder der Server falsch konfiguriert ist. Manchmal ist auch ein falsch eingestelltes Datum auf dem Gerät die Ursache. Umgehe als Besucher keine Warnung, um ein Passwort oder Zahlungsdaten einzugeben. Behebe als Administrator die Ursache, statt die Nutzer aufzufordern, den Fehler zu akzeptieren.
Wenn du die Website verwaltest, prüfe zunächst im Administrationsbereich deines Hostinganbieters, ob das Zertifikat alle verwendeten Adressen abdeckt und automatisch verlängert wird. Sende anschließend testweise ein Formular über HTTPS ab. So lässt sich einfach prüfen, ob die Absicherung auch dort funktioniert, wo Nutzer Daten übermitteln.
Siehe auch: Was ist ein CDN?
Lesen Sie auch
