HTTP vs. HTTPS: Was eine sichere Verbindung schützt
HTTP definiert Anfragen und Antworten zwischen einem Client und einem Webserver. HTTPS verwendet dieselbe Web-Semantik über eine geschützte Verbindung: Die Daten werden verschlüsselt, und der Client prüft, ob der Server für den Namen in der Adressleiste autorisiert ist. Das schützt den Austausch während der Übertragung, nicht die Ehrlichkeit des Website-Betreibers.
Was HTTPS ändert
Bei gewöhnlichem HTTP kann eine andere Partei auf dem Netzwerkpfad Inhalte möglicherweise mitlesen oder verändern. HTTPS handelt einen sicheren Kanal aus und prüft ein Zertifikat für den angefragten Hostnamen. Moderne Websites können TLS über TCP für HTTP/1.1 oder HTTP/2 oder QUIC für HTTP/3 verwenden. HTTPS ist daher nicht an eine einzige HTTP-Version gebunden. Es schützt Vertraulichkeit und Integrität der Daten zwischen dem Browser und dem Endpunkt dieser gesicherten Verbindung.
Manche Angaben zu einer Verbindung können für das Netzwerk sichtbar bleiben, etwa die entfernte IP-Adresse und die ungefähre übertragene Datenmenge. Proxys, Inspektion in Unternehmensnetzen und Ressourcen von Drittanbietern können zudem verschieben, wo die Vertrauensgrenzen liegen. HTTPS macht nicht jede Aktion privat und ersetzt auch nicht die Sicherheit Ihres Kontos.
Was ein Zertifikat beweist
Der Browser prüft, ob das Zertifikat den angefragten Namen abdeckt, eine akzeptable Vertrauenskette hat und seinen Sicherheitsrichtlinien entspricht. Eine Warnung wegen eines falschen Hostnamens, eines Ablaufs oder eines nicht vertrauenswürdigen Ausstellers sollte nicht durch das Abschalten der Prüfung gelöst werden. Lesen Sie die genaue Fehlermeldung: Auch eine falsch eingestellte Geräteuhr kann Daten ungültig erscheinen lassen.
Ein gültiges Zertifikat für example.org verbindet den Browser mit diesem Namen; es belegt nicht, dass die Website echte Waren verkauft oder die Wahrheit sagt. Eine Phishing-Website kann ein gültiges Zertifikat für ihre eigene irreführende Domain erhalten. Prüfen Sie den gesamten Hostnamen, bevor Sie ein Passwort eingeben, besonders nachdem Sie einer Nachricht oder Werbung gefolgt sind. Den Server selbst können Sie zusätzlich mit der Serverdienst-Prüfung von 2IP testen.
Was Nutzer und Betreiber tun sollten
Nutzer sollten keine Passwörter oder Zahlungsdaten über HTTP senden. Zeigt HTTPS eine Warnung, umgehen Sie sie bei sensiblen Aktionen nicht. Betreiber sollten HTTP-Anfragen auf HTTPS umleiten, Zertifikate für jeden verwendeten Hostnamen pflegen und keine sensiblen Seitenressourcen über HTTP laden. Testen Sie nach einer Umstellung neben der Startseite auch Formulare, eingebettete Ressourcen und kanonische URLs.
RFC 9110 definiert die Schemata HTTP und HTTPS sowie ihre gemeinsame Semantik. Die Website-Informationsabfrage von 2IP kann technische Details anzeigen, doch diese Details bewerten nicht die Ehrlichkeit des Betreibers. Ein separater Leitfaden erklärt, wie Sie TLS-Zertifikatsfehler deuten.