Hinter dem Schloss stecken zwei verschiedene Mechanismen, und wer verstehen möchte, wie HTTPS funktioniert, hält sie am besten auseinander – denn sie zu verwechseln ist der Ursprung des verbreitetsten Missverständnisses im Web:
- die Verschlüsselung, die unlesbar macht, was Sie austauschen;
- das Sicherheitszertifikat, das festlegt, mit wem Sie es austauschen.
Das Erste schützt den Inhalt. Das Zweite schützt vor dem Irrtum, mit jemand anderem zu sprechen. Beides ist nötig, und zusammen reicht es immer noch nicht, um zu sagen, dass eine Website ehrlich ist – darauf kommen wir am Ende zurück.
Dieser Beitrag vertieft die Empfehlung nur über HTTPS verbinden.
Das Problem am Anfang
Zwei Seiten, die einander nie begegnet sind, sollen vertrauliche Angaben über einen öffentlichen Kanal austauschen, den jede und jeder beobachten kann.
Das wirkt unmöglich: Zum Verschlüsseln braucht es einen gemeinsamen Schlüssel, doch um den Schlüssel zu teilen, bräuchte es bereits einen sicheren Kanal. Das ist ein Zirkel, und in den Siebzigerjahren wurde er mit einem eleganten Gedanken aufgelöst.
Die Verschlüsselung mit öffentlichem Schlüssel (Public-Key-Kryptografie). Jede Seite hat zwei mathematisch verbundene Schlüssel: einen öffentlichen, den sie an alle weitergeben darf, und einen privaten, der geheim bleibt. Was mit dem öffentlichen Schlüssel verschlüsselt wurde, lässt sich nur mit dem privaten wieder lesbar machen.
Damit ist der Zirkel durchbrochen: Der öffentliche Schlüssel darf unverschlüsselt reisen, denn ihn zu kennen erlaubt es nicht, irgendetwas zu lesen.
Wie HTTPS funktioniert, wenn Sie eine Website öffnen
Vier Schritte, in einem Bruchteil einer Sekunde.
1. Der Browser grüßt. Er nimmt Verbindung zum Server auf und teilt mit, welche Verschlüsselungsverfahren er beherrscht.
2. Der Server stellt sich mit dem Zertifikat vor. Ein digitales Dokument mit dem Namen der Domain, dem öffentlichen Schlüssel des Servers, dem Ablaufdatum und der Unterschrift einer Zertifizierungsstelle.
3. Der Browser prüft das Zertifikat. Drei Fragen: Ist die Unterschrift der Stelle gültig und anerkannt? Ist das Zertifikat noch nicht abgelaufen? Stimmt der Name der Domain mit dem überein, was Sie eingetippt haben? Scheitert auch nur eine davon, erscheint eine Warnung.
4. Ein Sitzungsschlüssel wird vereinbart. Mithilfe der Verschlüsselung mit öffentlichem Schlüssel einigen sich beide Seiten auf einen gemeinsamen, vorübergehenden Schlüssel, der für den ganzen weiteren Austausch dient, weil er sehr viel schneller arbeitet.
Von da an ist der gesamte Datenverkehr mit einem Schlüssel verschlüsselt, den es nur für diese eine Sitzung gibt und den kein Beobachter je hat vorbeiziehen sehen.
Warum es eine Zertifizierungsstelle braucht
Schritt 3 trägt das ganze Gebäude und verdient eine Erklärung.
Ohne Prüfung könnte sich jede und jeder mit einem Zertifikat melden, auf dem steht „Ich bin Ihre Bank“. Es braucht also eine Stelle, die dafür einsteht – eine Stelle, die vor der Ausgabe eines Zertifikats für eine Domain nachweist, dass die antragstellende Seite diese Domain tatsächlich betreibt.
Die Vertrauenskette funktioniert so:
- Ihr Gerät enthält eine Liste von Stellen, die als vertrauenswürdig gelten, gepflegt über das Betriebssystem und den Browser;
- jedes Zertifikat ist von einer dieser Stellen unterschrieben, unmittelbar oder über Zwischenstellen;
- der Browser verfolgt die Kette zurück bis zu einer Stelle aus der Liste.
Reißt die Kette oder endet sie bei einer unbekannten Stelle, erscheint die Warnung. Deshalb erzeugen die Geräte im Haushalt immer eine Warnung: Ihr Zertifikat ist von niemandem unterschrieben – sie haben es sich selbst ausgestellt.
Was ein Zertifikat wirklich belegt
Das ist der Kern dieser ganzen Einheit.
Das Zertifikat bestätigt eine einzige Sache: dass die antwortende Seite tatsächlich die Domain betreibt, die in der Adresse steht. Es bestätigt nicht,
- dass die Seite, die diese Domain betreibt, ehrlich ist;
- dass die Website ordentlich mit den Daten umgeht;
- dass die Domain diejenige ist, die Sie erreichen wollten.
Der letzte Punkt wiegt am schwersten. Wenn Sie beispielbank-de.com eintippen statt beispielbank.de, dann ist das Zertifikat von beispielbank-de.com einwandfrei gültig – denn diese Domain wird wirklich von der Seite betrieben, die Ihnen antwortet. Das System hat richtig gearbeitet und Sie genau dorthin gebracht, wohin Sie wollten.
Ein Zertifikat zu bekommen ist heute kostenlos und läuft automatisch ab. Das war eine gute Entwicklung – sie hat das Web von sich aus verschlüsselt gemacht –, aber sie hat auch jede wirtschaftliche Hürde für alle beseitigt, die eine betrügerische Seite aufsetzen.
Praktischer Schluss daraus: Das Zertifikat löst das Problem des Abfangens, nicht das der Täuschung.
Wie eine Veränderung bemerkt wird
Ein weniger bekannter Zug der heutigen Verschlüsselung: Sie schützt nicht nur vor dem Mitlesen, sondern auch vor dem Verändern.
Jeder Datenblock reist mit einem Wert, der aus dem Inhalt und dem Sitzungsschlüssel berechnet wird. Wird unterwegs etwas verändert, passt der Wert nicht mehr, und der Browser weist die Daten zurück, statt sie anzuzeigen.
Das ist der technische Grund dafür, dass auf einer verschlüsselten Verbindung niemand Inhalte in die Seite einfügen oder eine heruntergeladene Datei austauschen kann. Nicht, weil das Mitlesen misslänge, sondern weil jede Veränderung auffällt.
Was für Beobachter sichtbar bleibt
Technische Redlichkeit: Die Verschlüsselung macht nicht alles unsichtbar.
| Was | Für Beobachter im Netz sichtbar? |
|---|---|
| Inhalt der Seiten | Nein |
| In Formulare eingetragene Angaben | Nein |
| Zugangsdaten | Nein |
| Welche Website Sie ansprechen | Weitgehend ja |
| Menge und Takt des Datenverkehrs | Ja |
| Dauer der Verbindung | Ja |
Die vierte Zeile verlangt eine Präzisierung: Die Auflösung des Namens der Website und einige Angaben aus der ersten Aushandlung können das Ziel verraten. Es gibt Techniken, die diese Sichtbarkeit verringern, aber sie sind noch nicht überall in Gebrauch.
Daraus folgt eine nützliche Unterscheidung: HTTPS schützt den Inhalt, nicht vollständig die Tatsache, dass Sie eine bestimmte Website besuchen. Genau diesen Zwischenraum behandeln die Empfehlungen zum VPN.
Die drei Arten von Zertifikaten, und warum sie nicht mehr zählen
Früher war diese Unterscheidung von Belang, und die Browser zeigten sie an. Heute nicht mehr, und den Grund zu kennen erspart die Suche nach Angaben, die es nicht mehr gibt.
| Art | Was die Stelle prüft | Kosten |
|---|---|---|
| Domain-Validierung | Nur, dass die antragstellende Seite die Domain betreibt | Kostenlos, automatisch |
| Organisations-Validierung | Zusätzlich die Existenz der Organisation | Kostenpflichtig |
| Erweiterte Validierung | Eingehende Prüfung anhand von Unterlagen | Kostenpflichtig, aufwendiger |
Bis vor einigen Jahren erzeugten Zertifikate mit erweiterter Validierung eine grüne Leiste mit dem Namen des Unternehmens. Diese Anzeige wurde aus allen verbreiteten Browsern entfernt, aus einem handfesten Grund: Untersuchungen zeigten, dass sie kaum jemandem auffiel und dass sie, wenn sie auffiel, falsch verstanden wurde.
Praktisch heißt das: Der Browser sagt Ihnen heute nichts über die Art des Zertifikats, und für das gewöhnliche Surfen ist das kein Problem, denn der technische Schutz – Verschlüsselung und Prüfung der Domain – ist in allen drei Fällen derselbe.
Im Gedächtnis behalten sollte man allerdings die Folge davon: Es gibt kein sichtbares Zeichen mehr für die Seriosität der betreibenden Seite. Das Urteil über die Vertrauenswürdigkeit stützt sich ausschließlich auf den Namen der Domain und den Zusammenhang.
Die Versionen, und warum sie zählen
Die Verschlüsselungsprotokolle wurden mehrfach erneuert, und die alten Fassungen haben bekannte Schwächen. Heutige Browser lehnen die überholten ab, und das führt bei betagten Websites gelegentlich zu Warnungen.
Einzurichten ist dafür nichts: Es genügt, den Browser aktuell zu halten, denn er weiß, welche Fassungen er annimmt und welche nicht. Das ist eine der Stellen, an denen die Empfehlung zu Updates diese hier trägt.
Was geschieht, wenn ein Zertifikat zurückgezogen wird
Ein selten besprochener Punkt, der einige scheinbar widersprüchliche Verhaltensweisen der Browser erklärt.
Ein Zertifikat hat ein Ablaufdatum, es kann aber auch vorher zurückgezogen werden, üblicherweise weil der private Schlüssel des Servers offengelegt wurde. Von da an sollte es nicht mehr angenommen werden.
Die Schwierigkeit ist die Prüfung: Der Browser müsste bei der Stelle nachfragen, ob dieses Zertifikat noch gilt, und das bedeutet eine zusätzliche Anfrage bei jeder Verbindung. Sie ist langsam, sie verrät, welche Websites Sie besuchen, und sie scheitert, wenn die Stelle nicht antwortet.
Heute werden zwei Wege beschritten, beide unvollständig:
- Widerrufslisten, die mit dem Browser verteilt werden, regelmäßig erneuert und auf die wichtigsten Fälle beschränkt;
- eine Bestätigung, die der Server selbst beilegt, indem er zusammen mit dem Zertifikat eine aktuelle Erklärung der Stelle vorlegt.
Das erklärt eine Entwurfsentscheidung mit praktischen Folgen: Zertifikate haben heute kurze Laufzeiten, oft nur wenige Monate. Das ist keine bürokratische Erschwernis – es ist der wirksamste Weg, den Schaden eines Widerrufs zu begrenzen, der nicht ankommt: Ein offengelegtes Zertifikat hört so oder so bald auf zu wirken.
Für alle, die einfach nur surfen, bleibt daraus eine einzige Folge: Warnungen wegen abgelaufener Zertifikate kommen häufiger vor als früher, und meist zeigen sie eine vergessene Erneuerung an, keinen Angriff.
Warum sich der Browser merkt, welche Websites Verschlüsselung verlangen
Ein wenig bekannter Mechanismus löst ein bestimmtes Problem: das Zeitfenster zwischen dem ersten Kontakt und dem Wechsel auf die verschlüsselte Verbindung.
Wenn Sie nur den Namen einer Website eintippen, versuchte der Browser zuerst eine unverschlüsselte Verbindung, und die Website antwortete mit einer Weiterleitung. Das dauert einen Bruchteil einer Sekunde, aber es ist ein unverschlüsselter Bruchteil – und genau dieses Fenster nutzt die Technik der Herabstufung.
Die gewählte Lösung wirkt auf zwei Ebenen.
Die Erklärung der Website. Eine Website kann dem Browser über eine Angabe in der Antwort mitteilen, dass sie von nun an nur verschlüsselt anzusprechen ist, für einen genannten Zeitraum. Der Browser merkt sich das und versucht ab dem nächsten Besuch keine unverschlüsselte Verbindung mehr.
Die vorgeladene Liste. Ungeschützt bleibt damit der allererste Besuch. Dafür gibt es eine Liste von Domains, die mit dem Browser ausgeliefert wird und jene Websites enthält, die schon beim ersten Kontakt so behandelt werden möchten. Die meisten großen Dienste stehen darauf.
Praktisch heißt das: Bei den wichtigen Websites gibt es das unverschlüsselte Fenster nicht mehr, auch nicht beim ersten Besuch. Und der Nur-HTTPS-Modus des Browsers dehnt dasselbe Verhalten auf alle Websites aus und schließt das Thema damit ab.
Es ist ein gutes Beispiel dafür, wie viel in diesem Bereich besser geworden ist: Ein Problem, das vor zehn Jahren Aufmerksamkeit verlangte, erledigt heute eine Voreinstellung.
Bezug zum Framework Cyber Welfare
Dieser Beitrag arbeitet an den Kompetenzen und stärkt dabei digitales Bewusstsein für das, was Technik leisten kann und was nicht.
| Säule | Beitrag dieses Inhalts |
|---|---|
| Kompetenzen | Verschlüsselung, Zertifikat und Identität der Website auseinanderhalten |
| Bewusstsein | Verstehen, warum das Zertifikat nicht die Ehrlichkeit belegt |
| Sicheres Verhalten | Den Browser aktuell halten, von dem die Prüfung abhängt |
Referenzstufe: FL3 – Selbstständig.
Zusammenfassung
- Es sind zwei Mechanismen: Die Verschlüsselung schützt den Inhalt, das Zertifikat bestimmt das Gegenüber.
- Das Zertifikat belegt nur, dass die antwortende Seite diese Domain betreibt.
- Jede Veränderung unterwegs fällt auf, und der Browser weist die Daten zurück.
- Der Inhalt ist geschützt; das Ziel bleibt weitgehend sichtbar.
Empfohlener erster Schritt. Klicken Sie auf das Schloss der Seite, die Sie gerade lesen, und öffnen Sie die Einzelheiten des Zertifikats. Sehen Sie sich das Feld mit der Domain an: Das ist es, und nur das, wofür das System einsteht. Wo Sie insgesamt stehen, zeigt Ihnen die Selbstbewertung der digitalen Resilienz.
Verwandte Inhalte
- nur über HTTPS verbinden – die Empfehlung, aus der diese Vertiefung hervorgeht
- prüfen, ob eine Website sicher ist – das praktische Vorgehen
- Abfangen des Datenverkehrs – was dieser Mechanismus verhindert
- Anzeichen einer ungeschützten Verbindung – warum bestimmte Warnungen erscheinen
Einen Begriff nachschlagen
Kurze Einträge aus dem Cyber-Welfare-Glossar, für alle, die bei einem einzelnen Begriff verweilen möchten:
Machen Sie den ersten Schritt: Das Programm „Schützen Sie Ihre digitale Privatsphäre“ begleitet Sie kostenlos, eine Empfehlung nach der anderen.
