Was ist HTTPS?

Einfach erklärt

HTTPS ist die verschlüsselte Verbindung zwischen dem Browser Ihrer Besucher und Ihrer Website. Sie erkennen sie am „https://“ am Anfang der Adresse. Ohne HTTPS reist alles, was ein Besucher eingibt, wie eine Postkarte durchs Netz: Wer unterwegs Zugriff auf die Leitung hat, etwa im offenen WLAN eines Cafés, kann mitlesen und sogar Inhalte verändern. Mit HTTPS steckt dieselbe Nachricht in einem versiegelten Umschlag. Vorher prüft der Browser den Ausweis des Empfängers, das Zertifikat.

Warum das für Ihren Betrieb zählt

• Kontaktformulare, Anmeldungen und Bestellungen enthalten Namen, Adressen und manchmal Passwörter. Ohne Verschlüsselung können Dritte sie mitlesen.
• Browser kennzeichnen unverschlüsselte Seiten. Chrome zeigt seit Juli 2018 bei jeder Seite ohne HTTPS „Nicht sicher“ an. Google hat außerdem angekündigt, dass Chrome ab Version 154 im Oktober 2026 standardmäßig vor dem ersten Aufruf einer öffentlichen Seite ohne HTTPS warnt.
• Ohne HTTPS fehlt die Grundlage für weitere Schutzmaßnahmen wie HSTS oder geschützte Cookies.

Was Sie tun können

Um HTTPS kümmert sich die Firma, die Ihre Website betreut, oder Ihr Hoster. Das nötige Zertifikat gibt es kostenlos, etwa von Let's Encrypt. Achten Sie auf zwei Dinge:

• Wer die Adresse ohne „https://“ eintippt, muss automatisch auf die verschlüsselte Seite weitergeleitet werden.
• Das Zertifikat muss sich von selbst verlängern. Sonst steht eines Morgens eine Warnung statt Ihrer Startseite im Browser.

Was HTTPS nicht leistet

HTTPS schützt den Weg, nicht das Ziel. Das „https://“ sagt nichts darüber, ob eine Website seriös ist. Auch Betrüger betreiben verschlüsselte Seiten, etwa für Phishing. Und HTTPS schließt keine Lücken in der Website-Software. Dafür braucht es Updates.

Aufbau

HTTPS ist HTTP über eine TLS-Verbindung, aktuell TLS 1.3 nach RFC 9846 oder TLS 1.2. Das URI-Schema https definiert RFC 9110 in Abschnitt 4.2.2, Standardport ist 443. RFC 9110 hat 2022 RFC 2818 abgelöst, das HTTP über TLS bis dahin beschrieb.

Der Client baut zuerst die TLS-Verbindung auf, nennt dabei per Server Name Indication (SNI) den gewünschten Host und prüft das Zertifikat gegen diesen Namen. Erst danach geht die HTTP-Anfrage hinaus. Pfad, Parameter, Header, Cookies und Inhalt sind verschlüsselt. Für Dritte sichtbar bleiben IP-Adressen, Port und in der Regel der Hostname aus SNI.

Vollständig umgestellt ist eine Website, wenn diese Punkte zusammenkommen:

1. gültiges Zertifikat für alle verwendeten Namen, etwa ihre-firma.de und www.ihre-firma.de,
2. dauerhafte Weiterleitung von http:// auf https://,
3. HSTS, damit der Browser http:// gar nicht erst anfragt,
4. alle Inhalte per HTTPS geladen, ohne Mixed Content.

Das BSI verlangt im IT-Grundschutz-Baustein APP.3.2 Webserver (Anforderung A11), dass ein Webserver für alle Verbindungen durch nicht vertrauenswürdige Netze TLS anbietet und alle Inhalte über HTTPS ausliefert.

Typische Fehler

• Keine Umleitung von http://. Die verschlüsselte Seite existiert, wird aber nicht erzwungen. Alte Links und Lesezeichen führen weiter auf die unverschlüsselte Fassung.
• Zertifikat nur für einen Namen. www.ihre-firma.de ist abgedeckt, ihre-firma.de nicht oder umgekehrt.
• Umweg über HTTP. http://ihre-firma.de leitet erst auf http://www.ihre-firma.de und dann auf HTTPS. Der mittlere Sprung läuft unverschlüsselt.
• Formularziel mit http://. Die Seite ist verschlüsselt, die Eingaben gehen trotzdem im Klartext hinaus.

Prüfen

curl -sI http://ihre-firma.de/ | grep -i -E '^(HTTP|location)'
curl -sI https://ihre-firma.de/ | grep -i '^strict-transport-security'

Die erste Abfrage sollte 301 oder 308 mit einer Location auf https:// zeigen, die zweite den HSTS-Header.