HTTPS ist die sichere Version von HTTP, dem Protokoll, mit dem dein Browser Websites lädt. Das „S“ bedeutet, dass die Verbindung mit TLS (Transport Layer Security, dem Nachfolger von SSL) verschlüsselt ist. Heute nutzt es fast jede Website, und Browser warnen dich, wenn eine es nicht tut.
Was HTTPS schützt
- Vertraulichkeit: Niemand im Netzwerk, etwa der Betreiber eines öffentlichen WLANs oder dein Internetanbieter, kann die Seiten, Passwörter oder Formulare lesen, die du sendest.
- Integrität: Niemand kann die Seite unterwegs verändern, zum Beispiel um Werbung oder Malware einzuschleusen.
- Authentifizierung: Das Zertifikat beweist, dass der Server diesen Domainnamen verwenden darf.
Was das Schloss nicht beweist
Das Schloss bedeutet „deine Verbindung zu dieser Domain ist verschlüsselt“. Es bedeutet nicht, dass die Website seriös ist. Auch Phishing-Seiten bekommen kostenlose Zertifikate. Prüfe immer den Domainnamen in der Adressleiste: paypal.com.secure-login.example ist nicht PayPal.
Was HTTPS nicht verbirgt
| Durch HTTPS verborgen | Für deinen Internetanbieter oder das Netzwerk weiterhin sichtbar |
|---|---|
| Die Seiten, die du auf der Website öffnest | Die IP-Adresse der Website |
| Formulardaten und Passwörter | Meist der Domainname (über DNS und den TLS-Handshake) |
| Cookies und Inhalte | Wann und wie viele Daten du überträgst |
Um auch die Domainnamen zu verbergen, nutze verschlüsseltes DNS und ein VPN.
Wie eine TLS-Verbindung beginnt
- Dein Browser verbindet sich mit dem Server und teilt mit, welche TLS-Versionen er unterstützt.
- Der Server schickt sein Zertifikat, signiert von einer Zertifizierungsstelle (CA), der dein Browser vertraut.
- Der Browser prüft die Signatur, den Domainnamen und das Ablaufdatum.
- Beide Seiten einigen sich auf Schlüssel, und die Seite wird verschlüsselt übertragen.
Mit TLS 1.3 dauert das wenige Millisekunden.
Zertifikate
- Domain Validated (DV): beweist die Kontrolle über die Domain. Kostenlos bei Let's Encrypt und den meisten Hostern. Wird von den meisten Websites genutzt.
- Organization / Extended Validation (OV/EV): Die CA prüft zusätzlich das Unternehmen. Browser zeigen das nicht mehr hervorgehoben an.
Domaininhaber können mit einem CAA-Eintrag festlegen, welche CAs Zertifikate ausstellen dürfen. Prüfe ihn mit unserer DNS-Abfrage.
Sicherheits-Header einer Website prüfen
HTTPS ist erst der Anfang. Header wie HSTS und Content-Security-Policy bieten zusätzlichen Schutz. Die Header jeder Website samt Bewertung siehst du mit dem HTTP-Header-Check.
Zertifikatswarnungen
Wenn dein Browser „Dies ist keine sichere Verbindung“ anzeigt:
- Das Zertifikat ist eventuell abgelaufen oder passt nicht zur Domain.
- In einem öffentlichen WLAN fängt eventuell ein Captive Portal oder ein Angreifer die Verbindung ab.
- Die Uhr deines Computers geht eventuell falsch.
Gib auf einer Seite mit Zertifikatswarnung keine Passwörter ein.
Häufige Fragen
Ist SSL dasselbe wie TLS?
TLS hat SSL 1999 abgelöst. Man sagt zwar immer noch „SSL-Zertifikat“, aber jede moderne Website nutzt TLS.
Macht HTTPS eine Website sicher?
Es macht die Verbindung sicher. Inhalt und Absichten der Website sind eine andere Frage.
Beeinflusst HTTPS das Suchmaschinenranking?
Google nutzt HTTPS als kleines Ranking-Signal, und Chrome markiert HTTP-Seiten als „Nicht sicher“.