Das kleine Schloss in der Adresszeile: Was HTTPS wirklich schützt
Ein Schloss oder ein ähnliches Symbol neben einer Webadresse sieht nach einem Vertrauensurteil aus. Es sagt aber vor allem etwas über die Verbindung zwischen deinem Browser und der Website aus. HTTPS schützt diesen Weg. Es bewertet nicht die Absichten des Menschen oder Unternehmens am anderen Ende.
HTTPS schützt Daten auf dem Weg zum Server
HTTPS ist HTTP über TLS. HTTP ist die Sprache, mit der Browser und Webserver Anfragen und Antworten austauschen. TLS ist ein Schutzprotokoll, das einen geschützten Kanal zwischen Browser und Server aufbaut.
TLS schützt drei Eigenschaften: Vertraulichkeit gegen Mitlesen, Integrität gegen unbemerkte Veränderung und Authentifizierung des Kommunikationspartners. Integrität bedeutet hier: Änderungen sollen nicht unbemerkt bleiben.
Vor den geschützten Daten steht ein kurzer Austausch. Beim TLS-Handshake handeln Browser und Server Protokollversion und Verschlüsselungsverfahren aus. Sie erzeugen gemeinsames geheimes Schlüsselmaterial, bevor geschützte Anwendungsdaten fließen.
Auf normalen Websites weist sich üblicherweise der Server gegenüber dem Browser aus. Der Browser muss sich dagegen selten mit einem eigenen TLS-Zertifikat beim Server authentifizieren.
Zertifizierungsstellen prüfen nicht die ganze Website
Ein Website-Zertifikat ist ein digitaler Nachweis für die Verbindung zwischen einer Domain und einem öffentlichen Schlüssel. Ein öffentlicher Schlüssel ist ein Teil der Technik, mit der TLS geschützte Kommunikation ermöglicht. Der Browser prüft unter anderem, ob die aufgerufene Adresse zum Zertifikat passt, ob eine anerkannte Zertifizierungsstelle unterschrieben hat und ob die Gültigkeitszeit stimmt.
Eine Zertifizierungsstelle heißt auf Englisch Certificate Authority oder kurz CA. Sie bestätigt mit ihrer Signatur die Bindung zwischen Domain und öffentlichem Schlüssel. Der Browser vertraut dieser Aussage über eine hinterlegte Vertrauenskette, also eine Kette von anerkannten Bestätigungen.
Bei einem Domain-Validation-Zertifikat von Let's Encrypt weist der Antragsteller automatisiert nach, dass er die Domain kontrolliert. Let's Encrypt bietet dabei keine Organisations- oder erweiterte Identitätsprüfung an.
Let's Encrypt stellt TLS-Zertifikate kostenlos bereit und kann sie ohne menschlichen Eingriff automatisch ausstellen. Das hilft beim Verbreiten von HTTPS, ist aber kein Urteil über die Seriosität einer Website.
Eine betrügerische Website kann HTTPS genauso nutzen
Ein gültiges HTTPS-Zertifikat beweist nicht, dass Angebote, Inhalte oder Absichten eines Website-Betreibers seriös sind. Die Verschlüsselung schützt auch die Verbindung zu einer betrügerischen Seite. HTTPS beantwortet die Frage: Ist der Transportweg geschützt? Es beantwortet nicht die Frage: Ist das Angebot vertrauenswürdig?
Eine Untersuchung zu Chrome zeigte, dass die meisten Teilnehmenden die genaue Bedeutung des Schlosses nicht verstanden. Der Chromium-Beitrag dazu erklärt zugleich, dass nahezu alle Phishing-Seiten HTTPS nutzten und deshalb ebenfalls ein Schloss zeigten. Phishing-Seiten versuchen, Menschen mit täuschend echten Auftritten zur Preisgabe von Daten zu bringen.
Deshalb rücken Browser vom Schloss als vertrautem Symbol ab und verwenden neutralere Zeichen. Auch andere Browser können andere Zeichen verwenden. Ein browserübergreifend einheitliches aktuelles Symbol für HTTPS gibt es nicht.
TLS verbirgt nicht jede Information und bestimmt nicht den Umgang mit Daten
TLS verschleiert nicht automatisch die Länge der übertragenen Daten. Die Endpunkte können Daten zusätzlich auffüllen, um Rückschlüsse aus Längen zu erschweren. Endpunkte sind in diesem Fall Browser und Server, also die beiden Seiten der Verbindung.
HTTPS schützt Daten auf dem Transportweg. Es bestimmt aber nicht, was der Website-Betreiber nach dem Entschlüsseln mit den Daten macht.
Ein weiterer Sonderfall sind gemischte Inhalte. Eine HTTPS-Seite kann Ressourcen über ungeschütztes HTTP einbinden. Ressourcen sind Bestandteile wie Bilder, Audio, Video oder Skripte. Browser aktualisieren bestimmte Bild-, Audio- und Videoanfragen auf HTTPS und blockieren andere gemischte Inhalte wie unsichere Skripte.
Ungeschützt geladene Bestandteile können mitgelesen oder verändert werden. Ein verändertes Skript kann jeden Teil der Seite beeinflussen.
Prüfe die Verbindung, bewerte die Website getrennt davon
Das Symbol in der Adresszeile ist nützlich, wenn es richtig gelesen wird. Es weist auf eine geschützte Verbindung hin, nicht auf ein geprüftes Geschäftsmodell oder gute Absichten. Für die Verbindung ist HTTPS wichtig. Für die Einschätzung einer Website braucht es weitere Prüfung, die nicht aus dem Symbol allein folgen kann.
Genau diese Trennung macht die Anzeige verständlich: TLS schützt die Übertragung; Zertifikate stützen die technische Zuordnung von Domain und Schlüssel; die Seriosität einer Seite ist eine andere Frage. Ein geschützter Weg und eine vertrauenswürdige Absicht sind zwei verschiedene Dinge.
Häufige Fragen zu HTTPS
Bedeutet HTTPS, dass eine Website seriös ist?
Nein. Ein gültiges HTTPS-Zertifikat schützt die Verbindung, belegt aber nicht die Seriosität von Angeboten, Inhalten oder Absichten des Betreibers.
Was prüft der Browser bei einem Zertifikat?
Er prüft unter anderem, ob die Adresse zum Zertifikat passt, ob eine anerkannte Zertifizierungsstelle unterschrieben hat und ob die Gültigkeitszeit stimmt.
Warum sehe ich nicht immer ein Schloss?
Die Anzeige ist browser- und versionsabhängig. Deshalb gibt es kein einheitliches Symbol: Je nach Browser erscheinen etwa ein Schloss, ein Schild oder ein neutrales Zeichen.