SSL und TLS: wie HTTPS die Besucher deiner Website schützt

SSL bleibt ein vertrauter Begriff, moderne HTTPS-Verbindungen beruhen jedoch auf TLS. Geschützt wird die Übertragung zwischen Browser und Server: Mitlesen und unbemerkte Änderungen unterwegs werden erschwert, während das Zertifikat die Identifizierung des Servers unterstützt. Das betrifft nicht nur Onlineshops. Auch das Kontaktformular einer Unternehmenswebsite oder ein Kundenportal kann Daten übertragen, die eine geschützte Verbindung benötigen.

Wie beginnt eine HTTPS-Verbindung?

Browser und Server stimmen zunächst die Sicherheitsparameter ab. Der Browser prüft, ob das Zertifikat zum aufgerufenen Domainnamen passt, gültig ist und zu einer vertrauenswürdigen Zertifikatskette gehört. Anschließend verschlüsseln beide den Verkehr mit Sitzungsschlüsseln, die beim Verbindungsaufbau vereinbart werden. Besucher müssen diesen Ablauf nicht manuell ausführen: Browser und korrekt konfigurierter Server erledigen ihn gemeinsam.

Ein praktisches Beispiel ist ein Anfrageformular in einem öffentlichen WLAN. Seine Angaben werden mit HTTPS nicht als unmittelbar lesbare HTTP-Daten übertragen. Vollständig unsichtbar wird die Verbindung dadurch allerdings nicht. Bestimmte Informationen über das Verbindungsziel oder den Umfang des Datenverkehrs können weiterhin beobachtbar sein.

Illustration: generiertes Bild eines Serverraums, keine Aufnahme der Infrastruktur eines benannten Hostinganbieters.

Was bestätigt ein Zertifikat?

Das Zertifikat unterstützt die Prüfung der Verbindung zwischen einem Domainnamen und der kryptografischen Identität des Servers. Es ist kein allgemeines Gütesiegel und beweist weder die Seriosität eines Unternehmens noch die Ehrlichkeit eines Angebots. Auch eine Phishingwebsite kann eine gültige HTTPS-Verbindung besitzen. Die genaue Adresse muss deshalb weiterhin geprüft werden, besonders vor Anmeldung oder Zahlung.

TLS schützt die Übertragung. Gespeicherte Daten, fehlerhafte Berechtigungen und veraltete Anwendungen brauchen zusätzliche Schutzmaßnahmen. Updates, starke Passwörter, angemessene Zugriffsrechte und Backups bleiben notwendig. HTTPS allein bedeutet weder vollständige Datenschutzkonformität noch umfassende Zahlungssicherheit. Für eine sichere Website müssen mehrere Maßnahmen sinnvoll zusammenwirken.

Was HTTPS schützt und was separat bleibt.

• Übertragung: TLS schützt die über die Verbindung gesendeten Daten.
• Anwendung: Berechtigungen und Eingaben gesondert prüfen.
• Betrieb: Updates, Verlängerung und Backups bleiben notwendig.

Die ganze Website konsequent absichern

Nicht nur das Dokument selbst, sondern auch Bilder, Schriften, Stylesheets und Skripte sollten über HTTPS geladen werden. Fordert eine sichere Seite HTTP-Ressourcen an, entsteht gemischter Inhalt. Je nach Ressourcentyp stellt der Browser auf HTTPS um oder blockiert die Anfrage. Eine alte Bildadresse kann dadurch Darstellungsfehler verursachen, ein blockiertes Skript ein Formular außer Funktion setzen.

HTTP-Adressen sollten auf ihre HTTPS-Entsprechung weiterleiten; auch das Versandziel eines Formulars muss sicher erreichbar sein. Bei Sitzungscookies begrenzt Secure die Übertragung auf HTTPS. HttpOnly und passende SameSite-Einstellungen behandeln andere Risiken. Keines dieser Merkmale ersetzt die Berechtigungsprüfung oder die Prüfung eingegebener Daten innerhalb der Anwendung.

Erneuerung und laufende Kontrolle

Zertifikate können ablaufen. Neben der Ausstellung gehören deshalb Erneuerung und Kontrolle zum Betrieb der Website. Auch automatisierte Prozesse brauchen Überwachung: geänderte DNS-Einstellungen oder eine fehlerhafte Prüfadresse können die Erneuerung verhindern. Ablaufwarnungen, die Kontrolle aller verwendeten Domainvarianten und die Prüfung der vollständigen Zertifikatskette helfen, Probleme rechtzeitig zu erkennen.

Ein kostenloses Zertifikat kann bei korrekter Verwendung angemessenen Schutz bieten. Die frühere Zusage kostenloser Sicherheit für 25 Jahre ist dagegen keine belastbare Garantie. Sicherheit bleibt eine laufende Aufgabe: Neben einem aktiven Zertifikat müssen auch Konfiguration und Zustand der Anwendung überprüft werden. Ein Test nach Änderungen am Hosting ist daher ebenso sinnvoll wie eine regelmäßige Kontrolle im laufenden Betrieb.

Weiterlesen

Cookies und Einwilligung: wann braucht es eine echte Wahl?

MDN: Funktionsweise von TLS · MDN: gemischte Inhalte · Let's Encrypt: Zertifikate und Erneuerung