HTTPS steht für „Hypertext Transfer Protocol Secure“. Gemeint ist die abgesicherte Form von HTTP, also des Protokolls, mit dem Ihr Browser und ein Webserver Webseiten, Bilder, Formulare und andere Daten austauschen. Der Zusatz „Secure“ bedeutet nicht, dass die Webseite selbst vertrauenswürdig ist. Er bedeutet, dass die Verbindung technisch geschützt aufgebaut wird.
Diesen Schutz übernimmt TLS, die Abkürzung für „Transport Layer Security“. TLS verschlüsselt die übertragenen Daten, schützt sie vor unbemerkter Veränderung und ermöglicht dem Browser zu prüfen, ob der angesprochene Server ein gültiges Zertifikat für die aufgerufene Domain vorlegt. Deshalb ist HTTPS bei Passwörtern, Zahlungsdaten, E-Mails, Kundenkonten und Formularen unverzichtbar.
Die wichtigste Einschränkung sollten Sie von Anfang an kennen: HTTPS schützt den Weg Ihrer Daten zur angezeigten Adresse. Es prüft nicht automatisch, ob diese Adresse zu einem seriösen Händler, einer echten Bank oder einem vertrauenswürdigen Betreiber gehört. Auch eine Phishing-Seite kann HTTPS verwenden.
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten
Für den Alltag folgt daraus eine klare Reihenfolge: Prüfen Sie zuerst die vollständige Domain, beachten Sie danach mögliche Browserwarnungen und überlegen Sie zuletzt, ob Link, Anbieter und angeforderte Daten zum erwarteten Vorgang passen. Ein Schloss oder anderes Verbindungssymbol ersetzt diese Prüfung nicht.
Inhaltsverzeichnis
- Was HTTPS bedeutet und welchen Schutz es bietet
- Wie Browser, TLS und Zertifikat zusammenarbeiten
- Schloss-Symbol, Verbindungssymbol und Browserwarnungen richtig einordnen
- Was HTTPS nicht schützt
- HTTPS vor Logins, Zahlungen und Formularen richtig prüfen
- Häufige Fragen zu HTTPS, TLS und Zertifikaten
- Was bedeutet HTTPS ausgeschrieben?
- Was ist der Unterschied zwischen HTTP und HTTPS?
- Was bedeutet das Schloss oder Verbindungssymbol im Browser?
- Ist jede HTTPS-Seite sicher und vertrauenswürdig?
- Was ist ein TLS-Zertifikat?
- Was bedeutet ein Zertifikatsfehler?
- Sollten Sie eine Browserwarnung ignorieren?
- Sind SSL und TLS dasselbe?
- Macht HTTPS einen Webseitenaufruf anonym?
- HTTPS richtig merken: Geschützte Verbindung, nicht automatisch sichere Webseite
Was HTTPS bedeutet und welchen Schutz es bietet
HTTP steht für „Hypertext Transfer Protocol“. Dieses Protokoll regelt, wie ein Browser Inhalte von einem Webserver anfordert und wie der Server darauf antwortet. Wenn Sie eine Webseite öffnen, sendet Ihr Browser eine Anfrage. Der Server liefert anschließend HTML-Code, Bilder, Schriften, Skripte und weitere Bestandteile der Seite zurück.
Der Datenaustausch verläuft in beide Richtungen. Bei einem Login übermittelt Ihr Browser beispielsweise Benutzername und Passwort. Bei einer Bestellung kommen Adress-, Artikel- und Zahlungsdaten hinzu. Auch Suchanfragen, Kontaktformulare, hochgeladene Dateien und Sitzungscookies werden über HTTP-Anfragen übertragen.
Wird HTTP ohne zusätzlichen Schutz verwendet, werden diese Daten nicht durch die übliche TLS-Verschlüsselung abgesichert. Eine geeignete Zwischenstation könnte übertragene Inhalte grundsätzlich mitlesen oder verändern. Das betrifft nicht nur öffentliche WLANs, sondern jeden Abschnitt des Übertragungswegs, auf den ein Angreifer oder ein fehlerhaft konfigurierter Dienst Einfluss erhält.
HTTPS löst dieses Problem, indem HTTP innerhalb einer TLS-geschützten Verbindung übertragen wird. Vereinfacht gesagt bleibt HTTP für den Austausch der Webinhalte zuständig, während TLS die sichere Transporthülle bereitstellt. Die eigentlichen Seitenaufrufe, Formulardaten und Antworten des Servers laufen anschließend durch diesen geschützten Kanal.
Drei Aufgaben von TLS: Verschlüsselung, Integrität und Serverprüfung
Verschlüsselung: TLS sorgt dafür, dass die geschützten Inhalte während der Übertragung nicht als frei lesbarer Klartext durchs Netz laufen. Dritte können dadurch nicht ohne Weiteres erkennen, welches Passwort Sie eingeben, welche Nachricht Sie senden oder welche Kontodaten eine Seite überträgt.
Integrität: TLS schützt die übertragenen Daten vor unbemerkter Veränderung. Manipuliert jemand geschützte Daten unterwegs, erkennt die Verbindung, dass die empfangenen Informationen nicht mehr zur abgesicherten Übertragung passen. Die veränderten Daten werden dann nicht einfach als gültige Antwort akzeptiert.
Serverprüfung: Der Browser prüft anhand eines TLS-Zertifikats, ob der angesprochene Server für den aufgerufenen Hostnamen ein passendes und vertrauenswürdiges Zertifikat vorlegt. Diese Prüfung soll verhindern, dass sich irgendein Server unbemerkt als die von Ihnen aufgerufene Domain ausgibt.
Diese drei Funktionen schützen die Verbindung, nicht jedoch automatisch den Inhalt. Eine verschlüsselt übertragene Falschmeldung bleibt eine Falschmeldung. Ein betrügerischer Shop wird nicht seriös, nur weil seine Verbindung technisch korrekt abgesichert ist.
Eine HTTPS-Adresse richtig lesen
Betrachten Sie die Beispieladresse https://konto.beispiel.de/anmeldung. Der Anfang https:// zeigt, dass der Browser eine HTTPS-Verbindung verwenden soll. Der Hostname lautet konto.beispiel.de. Der Teil /anmeldung ist lediglich der Pfad zu einer bestimmten Seite auf diesem Server.
Für Ihre Sicherheitsprüfung ist vor allem die Domain entscheidend. In diesem Beispiel ist beispiel.de die registrierte Domain, während konto eine Subdomain bezeichnet. Eine Adresse wie beispiel.de.anmeldung-konto.net gehört dagegen zur Domain anmeldung-konto.net und nicht zu beispiel.de. Genau solche Konstruktionen werden häufig genutzt, um eine bekannte Adresse vorzutäuschen.
Auch beispiel-konto.de, beispie1.de oder beispiel-service.net sind eigenständige Domains. Jede davon kann ein gültiges Zertifikat für die eigene Adresse besitzen. Der Browser bestätigt dann lediglich die geschützte Verbindung zu dieser Domain, nicht die Zugehörigkeit zu einem anderen Unternehmen.
Wie Browser, TLS und Zertifikat zusammenarbeiten
Bevor Ihr Browser eine Webseite per HTTPS lädt, baut er zunächst die geschützte Verbindung auf. Dieser Verbindungsaufbau heißt TLS-Handshake. Dabei verständigen sich Browser und Server über geeignete kryptografische Verfahren, der Server übermittelt sein Zertifikat und beide Seiten leiten Schlüsselmaterial für die laufende Sitzung ab.
Erst wenn dieser Schritt erfolgreich abgeschlossen ist, beginnt der eigentliche HTTP-Datenaustausch innerhalb des geschützten Kanals. Der Browser fordert dann beispielsweise die Startseite an, übermittelt Cookies oder sendet Formulardaten. Für den Nutzer geschieht dieser Ablauf normalerweise innerhalb eines kurzen Moments im Hintergrund.
Was ein TLS-Zertifikat ist
Ein TLS-Zertifikat ist eine digital signierte Datei, die einen öffentlichen Schlüssel mit bestimmten Hostnamen verbindet. Es enthält unter anderem die Domainnamen, für die es gilt, einen Gültigkeitszeitraum, Angaben zum Aussteller und den öffentlichen Schlüssel des Servers.
Zum öffentlichen Schlüssel gehört ein privater Schlüssel, der beim Betreiber des Servers verbleiben muss. Der private Schlüssel steht nicht im Zertifikat und wird auch nicht an Ihren Browser übertragen. Während des Verbindungsaufbaus weist der Server vielmehr nach, dass er diesen privaten Schlüssel besitzt.
Ausgestellt wird das Zertifikat von einer Zertifizierungsstelle, häufig mit der englischen Abkürzung CA für „Certificate Authority“ bezeichnet. Der Browser vertraut nicht beliebig jedem Aussteller. Er besitzt eine Liste anerkannter Stammzertifizierungsstellen und prüft, ob sich das vorgelegte Zertifikat über eine gültige Zertifikatskette auf eine solche Vertrauensstelle zurückführen lässt.
Vereinfacht können Sie sich das Zertifikat als technisch überprüfbaren Ausweis für eine Internetadresse vorstellen. Der Vergleich hat jedoch Grenzen: Das Zertifikat bescheinigt bei den üblichen Domain-Validation-Zertifikaten vor allem, dass der Antragsteller die betreffende Domain kontrollieren konnte. Es bestätigt nicht automatisch die Identität jeder dahinterstehenden Person und schon gar nicht deren Seriosität.
Was der Browser am Zertifikat prüft
Zuerst muss der aufgerufene Hostname vom Zertifikat abgedeckt sein. Rufen Sie konto.beispiel.de auf, reicht ein Zertifikat ausschließlich für shop.beispiel.de nicht aus. Ein sogenanntes Wildcard-Zertifikat kann bestimmte Subdomains abdecken, gilt aber ebenfalls nicht grenzenlos für jede beliebige Adresstiefe.
Außerdem prüft der Browser, ob das Zertifikat innerhalb seines Gültigkeitszeitraums liegt. Ein abgelaufenes oder noch nicht gültiges Zertifikat kann auf eine versäumte Erneuerung, eine fehlerhafte Serverkonfiguration oder eine falsche Uhrzeit am Gerät hindeuten.
Hinzu kommt die Vertrauenskette. Der Browser kontrolliert, ob das Zertifikat korrekt signiert wurde und ob der Weg über mögliche Zwischenzertifikate zu einer vertrauenswürdigen Stammzertifizierungsstelle führt. Fehlt ein benötigtes Zwischenzertifikat oder ist der Aussteller unbekannt, kann die Prüfung scheitern.
Schließlich muss der Server nachweisen, dass er den privaten Schlüssel besitzt, der zum öffentlichen Schlüssel im Zertifikat gehört. Erst das Zusammenspiel aus passendem Hostnamen, gültigem Zertifikat, vertrauenswürdiger Kette und erfolgreichem Schlüsselnachweis ermöglicht die übliche technische Serverprüfung.
Warum ein gültiges Zertifikat keine Seriosität beweist
Die meisten öffentlich genutzten Webseiten verwenden Domain-Validation-Zertifikate. Dabei wird geprüft, ob der Antragsteller die Domain nach einem zulässigen Verfahren kontrolliert. Das kann beispielsweise über einen DNS-Eintrag, eine Datei auf dem Webserver oder eine andere technische Bestätigung erfolgen.
Diese Prüfung ist keine Qualitäts-, Bonitäts- oder Zuverlässigkeitskontrolle. Die Zertifizierungsstelle prüft nicht, ob ein Shop seine Ware liefert, ob ein Gewinnspiel seriös ist oder ob eine Nachricht der Wahrheit entspricht. Auch die Rechtmäßigkeit einer Datenerhebung wird dadurch nicht bestätigt.
Genau deshalb können Phishing-Seiten ein gültiges Zertifikat besitzen. Der Betrüger kontrolliert seine eigene Domain, erhält dafür ein Zertifikat und liefert die gefälschte Login-Seite anschließend über eine technisch korrekte HTTPS-Verbindung aus. Der Transport ist geschützt, das Ziel bleibt betrügerisch.
HTTP und HTTPS im praktischen Vergleich
| Merkmal | HTTP ohne TLS | HTTPS | Was Sie daraus ableiten sollten |
|---|---|---|---|
| Übertragung | HTTP-Daten werden ohne den üblichen TLS-Schutz übertragen | HTTP läuft innerhalb einer TLS-geschützten Verbindung | Verwenden Sie für Logins, Zahlungen und Formulare ausschließlich eine intakte HTTPS-Verbindung |
| Verschlüsselung | Inhalte können auf geeigneten Zwischenstationen grundsätzlich mitgelesen werden | Die geschützten Inhalte werden verschlüsselt übertragen | HTTPS erschwert das Mitlesen, macht den gesamten Internetverkehr aber nicht unsichtbar |
| Integrität | Manipulationen auf dem Transportweg sind technisch leichter möglich | TLS erkennt Veränderungen an den geschützten Daten | Downloads und Formulardaten benötigen nicht nur Verschlüsselung, sondern auch Integritätsschutz |
| Serverprüfung | Keine übliche Zertifikatsprüfung des angesprochenen Servers | Der Browser prüft Hostname, Zertifikat, Vertrauenskette und Schlüsselnachweis | Die Prüfung bezieht sich auf die angezeigte Domain, nicht auf die Ehrlichkeit des Betreibers |
| Seriosität der Webseite | Keine Aussage über Betreiber oder Inhalte | Ebenfalls keine Aussage über Betreiber oder Inhalte | Prüfen Sie Domain, Anbieter und Anlass unabhängig vom Verbindungsprotokoll |
| Browserdarstellung | Häufig als „Nicht sicher“ oder ungeschützt markiert | Je nach Browser unauffällig oder über ein Verbindungs-Symbol dargestellt | Verlassen Sie sich nicht auf ein bestimmtes Symbol, sondern auf Adresse und Warnhinweise |
Schloss-Symbol, Verbindungssymbol und Browserwarnungen richtig einordnen
Lange Zeit stand das Schloss in der Adresszeile fast sinnbildlich für HTTPS. Heute verwenden Browser unterschiedliche Darstellungen. Einige zeigen weiterhin ein Schloss, andere ein Regler-, Einstellungs- oder Verbindungssymbol. Teilweise wird eine korrekt aufgebaute HTTPS-Verbindung kaum noch hervorgehoben, während unsichere Zustände deutlich sichtbar erscheinen.
Diese Änderung ist sinnvoll, weil viele Nutzer das Schloss als Gütesiegel missverstanden haben. Tatsächlich sagt das Symbol nur etwas über den technischen Zustand der Verbindung aus. Es bewertet weder den Betreiber noch Preise, Vertragsbedingungen, Inhalte oder Absichten einer Webseite.
Über das jeweilige Symbol können Sie häufig weitere Verbindungsinformationen öffnen. Dort zeigt der Browser beispielsweise, ob die Verbindung geschützt ist, welche Berechtigungen die Webseite besitzt oder welche Zertifikatsdaten vorliegen. Die genaue Darstellung unterscheidet sich je nach Browser und Gerät.
Was eine Browserwarnung bedeutet
Eine Browserwarnung beweist nicht automatisch einen Angriff. Sie zeigt aber, dass der Browser die Verbindung nicht wie erwartet absichern oder prüfen konnte. Dahinter kann eine harmlose Fehlkonfiguration stehen, ebenso aber eine falsche Weiterleitung, ein Manipulationsversuch oder eine unbekannte Zwischenstelle.
Für Ihre Entscheidung zählt nicht, ob eine harmlose Erklärung denkbar wäre. Solange die Ursache ungeklärt ist, fehlt die erfolgreich geprüfte Verbindung. Geben Sie deshalb bei Logins, Zahlungen, Webmail, Behördenzugängen und vertraulichen Formularen keine Daten ein.
| Browserhinweis | Was technisch nicht stimmt | Mögliche Ursachen | Sichere Reaktion |
|---|---|---|---|
| „Nicht sicher“ oder HTTP-Adresse | Die Seite wird ohne den üblichen TLS-Schutz geladen | Veraltete Webseite, falscher Link oder bewusst unverschlüsselte Bereitstellung | Senden Sie keine Passwörter, Zahlungsdaten oder vertraulichen Formulare; suchen Sie die offizielle HTTPS-Adresse |
| Zertifikat abgelaufen oder noch nicht gültig | Der Gültigkeitszeitraum passt nicht zur aktuellen Gerätezeit | Versäumte Erneuerung, Serverfehler oder falsches Datum am Gerät | Prüfen Sie Datum und Uhrzeit; bleibt die Warnung bestehen, brechen Sie sensible Vorgänge ab |
| Hostname stimmt nicht überein | Die aufgerufene Adresse ist nicht vom Zertifikat abgedeckt | Tippfehler, falsche Weiterleitung, Serverfehler oder Manipulationsversuch | Prüfen Sie die Domain und öffnen Sie den Dienst über eine bekannte Adresse neu |
| Zertifikatskette nicht vertrauenswürdig | Der Browser kann das Zertifikat nicht zu einer anerkannten Vertrauensstelle zurückverfolgen | Selbst signiertes Zertifikat, fehlendes Zwischenzertifikat, lokale Filtersoftware oder internes Netz | Bei öffentlichen Diensten abbrechen; bei internen Anwendungen die zuständige IT kontaktieren |
| „Verbindung nicht privat“ oder „Sichere Verbindung fehlgeschlagen“ | Die Zertifikatsprüfung oder der TLS-Verbindungsaufbau ist gescheitert | Zertifikatsfehler, ungeeignete TLS-Konfiguration, Netzmanipulation oder Sicherheitssoftware | Übergehen Sie die Warnung nicht und klären Sie die Ursache über einen bekannten Kontaktweg |
| Gemischte oder unsichere Inhalte | Eine HTTPS-Seite bindet einzelne Inhalte über HTTP ein oder versucht Daten unverschlüsselt zu senden | Veraltete Bild-, Skript-, Medien- oder Formularverweise | Senden Sie keine Daten über unsichere Formulare und geben Sie blockierte aktive Inhalte nicht manuell frei |
| Warnung nur in einem bestimmten Netz | Das Problem hängt wahrscheinlich mit dem lokalen Netzwerk zusammen | Captive Portal, TLS-Inspektion, Filtersoftware oder fehlerhafte Netzkonfiguration | Testen Sie ein bekanntes anderes Netz; bei Firmen- und Schulnetzen wenden Sie sich an die IT |
Besondere Fälle: Gäste-WLAN und TLS-Inspektion
In Hotels, Zügen oder öffentlichen Gäste-WLANs müssen Sie häufig zunächst eine Anmeldeseite öffnen. Ein solches Captive Portal kann den ersten Aufruf einer HTTPS-Seite stören, weil das Netz Sie vor der eigentlichen Internetverbindung auf seine Portalseite umleiten möchte. Bestätigen Sie deshalb keine Zertifikatsausnahme für die gewünschte Webseite. Schließen Sie zuerst die vorgesehene WLAN-Anmeldung ab und öffnen Sie die Zielseite danach neu.
In verwalteten Unternehmens- oder Schulnetzen kann eine TLS-Inspektion eingerichtet sein. Dabei entschlüsselt ein lokaler Sicherheitsdienst den Datenverkehr und baut anschließend eine neue TLS-Verbindung auf. Das kann administrativ vorgesehen sein, bedeutet aber auch, dass diese Zwischenstelle die übertragenen Inhalte technisch einsehen kann. Auf privaten Geräten oder in unbekannten Netzen sollten Sie unerwartete lokale Zertifikate nicht ungeprüft akzeptieren.
Einige Browser erlauben bei bestimmten Zertifikatsfehlern eine Ausnahme, andere blockieren die Verbindung vollständig. Nutzen Sie eine solche Ausnahme nicht nur deshalb, weil Sie die Seite dringend benötigen. Bei internen Anwendungen sollte ausschließlich die zuständige IT bestätigen, dass das Zertifikat und die Verbindung tatsächlich vorgesehen sind.
Was HTTPS nicht schützt
HTTPS verhindert kein Phishing. Eine gefälschte Bankseite kann ihre eigene Domain ordnungsgemäß mit TLS absichern und dort Zugangsdaten abfragen. Deshalb müssen Sie nicht nur auf HTTPS achten, sondern vor allem auf die tatsächliche Domain und den Anlass, aus dem Sie die Seite geöffnet haben.
HTTPS verhindert auch keine Schadsoftware. Eine kompromittierte Webseite kann manipulierte Skripte oder gefährliche Downloads über eine technisch einwandfreie HTTPS-Verbindung ausliefern. Die Verschlüsselung sorgt lediglich dafür, dass der schädliche Inhalt geschützt vom Server zu Ihrem Browser gelangt.
Ebenso wenig schützt HTTPS ein bereits kompromittiertes Endgerät. Schadsoftware, manipulierte Browser-Erweiterungen oder ein fremder Zugriff können Eingaben erfassen, bevor sie verschlüsselt werden, oder Daten auslesen, nachdem der Browser sie entschlüsselt hat. Halten Sie deshalb Betriebssystem, Browser und Erweiterungen aktuell und nutzen Sie sichere Zugangsdaten sowie Mehrfaktor-Authentifizierung.
HTTPS kontrolliert außerdem nicht, was der Betreiber nach dem Empfang mit Ihren Daten macht. Die Verbindung kann korrekt verschlüsselt sein, obwohl der Dienst Daten unnötig lange speichert, weitergibt oder für andere Zwecke verwendet. Prüfen Sie bei sensiblen Angaben deshalb auch den Anbieter, den Zweck der Abfrage und den Umfang der verlangten Informationen.
HTTPS macht Ihren Webseitenaufruf nicht vollständig anonym
HTTPS verschlüsselt die eigentlichen HTTP-Inhalte, aber nicht zwangsläufig jede Information über die Verbindung. Beteiligte Netze können in der Regel erkennen, zu welcher Ziel-IP eine Verbindung aufgebaut wird, wann sie stattfindet und welche Datenmenge übertragen wird.
Ob zusätzlich der Domainname sichtbar wird, hängt von mehreren Techniken ab. Dazu zählen die Art der DNS-Auflösung, die verwendete TLS-Version sowie die Unterstützung moderner Schutzverfahren durch Browser und Server. Pauschal lässt sich deshalb weder behaupten, HTTPS verberge den Domainnamen immer, noch dass er grundsätzlich offen sichtbar bleibe.
Für Ihre Einordnung genügt die klare Grenze: HTTPS schützt die übertragenen Inhalte und die Verbindung zum geprüften Server. Es ist kein vollständiges Anonymisierungsverfahren und ersetzt keine zusätzlichen Datenschutzmaßnahmen.
HTTPS vor Logins, Zahlungen und Formularen richtig prüfen
Vor einer sensiblen Eingabe sollten Sie nicht nur nach einem Schloss suchen. Prüfen Sie systematisch, ob Sie sich tatsächlich auf der erwarteten Seite befinden und ob die Verbindung ohne Warnung aufgebaut wurde. Die folgende Reihenfolge deckt die häufigsten Risiken ab.
- Lesen Sie die vollständige Domain. Achten Sie auf vertauschte Zeichen, zusätzliche Wörter, ungewöhnliche Subdomains und abweichende Domainendungen.
- Prüfen Sie den Weg zur Seite. Öffnen Sie Banken, Zahlungsdienste, Webmail und Kundenkonten bevorzugt über die offizielle App, ein bekanntes Lesezeichen oder eine selbst eingegebene Adresse.
- Beachten Sie Browserwarnungen. Geben Sie keine Passwörter, Zahlungsdaten oder vertraulichen Angaben ein, solange eine Zertifikats- oder Verbindungswarnung besteht.
- Vergleichen Sie Anfrage und Anlass. Eine Paketverfolgung benötigt normalerweise keine Onlinebanking-Zugangsdaten, und ein Kundendienst sollte nicht ohne nachvollziehbaren Grund nach Ihrem vollständigen Passwort fragen.
- Nutzen Sie einen unabhängigen Kontaktweg. Klären Sie unerwartete Aufforderungen über eine bekannte Telefonnummer, die offizielle App oder die selbst aufgerufene Webseite – nicht über Kontaktdaten aus derselben verdächtigen Nachricht.
Warum HTTPS bei Logins, Zahlungen und Formularen besonders wichtig ist
Bei einem Login schützt HTTPS Benutzername, Passwort und Sitzungscookies auf dem Transportweg. Diese Sitzungscookies sind besonders wichtig, weil sie nach erfolgreicher Anmeldung häufig belegen, dass Ihr Browser bereits authentifiziert wurde. Geraten sie in falsche Hände, kann unter Umständen auch ohne erneute Passworteingabe auf ein Konto zugegriffen werden.
Bei Zahlungen kommen weitere sensible Informationen hinzu: Kontodaten, Kartenangaben, Bestellwerte, Rechnungsadressen und Freigabedaten. Eine intakte HTTPS-Verbindung ist hier nur die technische Mindestvoraussetzung. Prüfen Sie zusätzlich, ob Sie sich beim richtigen Anbieter befinden und ob die Zahlungsart zum erwarteten Ablauf passt.
Auch ein gewöhnliches Kontaktformular kann personenbezogene oder vertrauliche Daten enthalten. Namen, E-Mail-Adressen, Telefonnummern, Kundennummern, Nachrichten und Anhänge sollten nicht unverschlüsselt übertragen werden. Prüfen Sie zugleich, ob der Betreiber diese Angaben tatsächlich benötigt und ob das Formular an eine plausible HTTPS-Adresse gesendet wird.
Häufige Fragen zu HTTPS, TLS und Zertifikaten
Was bedeutet HTTPS ausgeschrieben?
HTTPS steht für „Hypertext Transfer Protocol Secure“. Es bezeichnet HTTP, das innerhalb einer TLS-geschützten Verbindung übertragen wird. TLS übernimmt dabei Verschlüsselung, Integritätsschutz und die technische Prüfung des angesprochenen Servers.
Was ist der Unterschied zwischen HTTP und HTTPS?
HTTP regelt den Austausch von Webinhalten zwischen Browser und Server. Bei HTTPS läuft dieser Austausch zusätzlich durch eine TLS-geschützte Verbindung. Dadurch werden die Inhalte verschlüsselt, vor unbemerkter Veränderung geschützt und mit einer Zertifikatsprüfung des Servers verbunden.
Was bedeutet das Schloss oder Verbindungssymbol im Browser?
Das Symbol weist je nach Browser auf den Zustand der Verbindung oder auf verfügbare Verbindungsinformationen hin. Es ist kein Gütesiegel für die Webseite. Manche Browser verwenden bewusst ein neutrales Regler- oder Einstellungssymbol, damit Nutzer eine HTTPS-Verbindung nicht mit geprüfter Seriosität verwechseln.
Ist jede HTTPS-Seite sicher und vertrauenswürdig?
Nein. HTTPS schützt die Verbindung zur angezeigten Domain. Auch Phishing-Seiten, betrügerische Shops und kompromittierte Webseiten können gültige Zertifikate verwenden. Prüfen Sie deshalb zusätzlich Domain, Betreiber, Anlass und Inhalt.
Was ist ein TLS-Zertifikat?
Ein TLS-Zertifikat verbindet einen öffentlichen Schlüssel mit bestimmten Hostnamen. Es enthält unter anderem die abgedeckten Domainnamen, einen Gültigkeitszeitraum und die digitale Signatur des Ausstellers. Der Browser nutzt diese Angaben, um die Verbindung zum Server zu prüfen.
Was bedeutet ein Zertifikatsfehler?
Ein Zertifikatsfehler bedeutet, dass der Browser mindestens einen entscheidenden Teil der Prüfung nicht erfolgreich abschließen konnte. Möglich sind ein falscher Hostname, ein abgelaufenes Zertifikat, eine nicht vertrauenswürdige Zertifikatskette, eine falsche Gerätezeit oder eine lokale Netzkonfiguration.
Sollten Sie eine Browserwarnung ignorieren?
Nein, insbesondere nicht bei Logins, Zahlungen, Webmail oder vertraulichen Formularen. Brechen Sie die Eingabe ab, prüfen Sie die Adresse unabhängig und klären Sie den Dienst über einen bekannten Kontaktweg. Bei internen Anwendungen sollte die zuständige IT die Verbindung prüfen.
Sind SSL und TLS dasselbe?
Nein. SSL ist der veraltete Vorgänger von TLS. Begriffe wie „SSL-Zertifikat“ werden im Alltag zwar weiterhin verwendet, moderne HTTPS-Verbindungen beruhen technisch jedoch auf TLS.
Macht HTTPS einen Webseitenaufruf anonym?
Nein. HTTPS verschlüsselt die übertragenen HTTP-Inhalte, doch Verbindungszeitpunkt, Datenmenge und Ziel-IP können weiterhin sichtbar sein. Ob auch der Domainname erkennbar bleibt, hängt von weiteren Verfahren ab. HTTPS ist daher Verbindungsschutz, keine vollständige Anonymisierung.
HTTPS richtig merken: Geschützte Verbindung, nicht automatisch sichere Webseite
HTTPS steht für „Hypertext Transfer Protocol Secure“ und bezeichnet HTTP innerhalb einer TLS-geschützten Verbindung. Diese Verbindung verschlüsselt die übertragenen Inhalte, schützt ihre Integrität und ermöglicht die technische Prüfung des angesprochenen Servers für die aufgerufene Domain.
Daraus folgt jedoch keine automatische Vertrauenswürdigkeit. Ein gültiges Zertifikat bestätigt nicht, dass ein Shop zuverlässig liefert, eine Nachricht wahr ist oder ein Formular rechtmäßig eingesetzt wird. Prüfen Sie deshalb stets die vollständige Domain, den Anlass des Seitenaufrufs und mögliche Browserwarnungen.
Der entscheidende Merksatz lautet: HTTPS schützt die Übertragung zur angezeigten Adresse. Ob diese Adresse wirklich zum gewünschten und vertrauenswürdigen Anbieter gehört, müssen Sie weiterhin selbst prüfen.
Meroth IT-Service ist Ihr lokaler IT-Dienstleister in Frankfurt am Main für kleine Unternehmen, Selbstständige und Privatkunden
Kostenfreie Ersteinschätzung Ihres Anliegens?
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten