Was ist HTTPS und wie unterscheidet es sich von HTTP? Einfache Erklärung

Was ist HTTPS?

HTTPS ist ein Internetprotokoll, das Daten zwischen deinem Gerät und einer Website verschlüsselt. Es verwendet Transport Layer Security (TLS), früher bekannt als Secure Sockets Layer (SSL), um Daten vor Abhören und Manipulation zu schützen. Ein Vorhängeschloss-Symbol in der Adressleiste deines Browsers zeigt eine sichere HTTPS-Verbindung an.

Das HTTPS Protokoll wurde ursprünglich von Netscape entwickelt und veröffentlicht. Um Vertraulichkeit und Sicherheit für die Internetznutzer zu bieten, verwendet das Protokoll eine Ende-zu-Ende-Verschlüsselung und eine Authentifizierung. Das HTTPS benutzt als Standard den Port 443.

Was ist der Unterschied zwischen HTTP und HTTPS?

Der Hauptunterschied zwischen HTTP und HTTPS besteht im Sicherheitsaspekt. HTTP bedeutet Hypertext Transfer Protocol. Es handelt sich hierbei also um ein Protokoll, mit dem Informationen vom Server in euren Webbrowser geladen werden. Allerdings wird dazu keinerlei Verschlüsselung verwendet. Das heißt jeder ist dazu in der Lage, deine Aktivtäten auf Webseiten, deren URL mit HTTP beginnt, zu überwachen.

Das HTTPS Protokoll übernimmt dieselbe Aufgabe wie das HTTP Protokoll, allerdings fügt es noch eine Verschlüsselung hinzu, das S für Secure drückt den Sicherheitsaspekt aus. So bleibt die Verbindung zwischen dem jeweiligen Server und eurem Browser sicher. Da alle gängigen Browser HTTPS unterstützen, ist dafür keine extra Installation nötig.

Hier ein kurzer Überblick, worin sich HTTP und HTTPS im Detail unterscheiden:

Wie funktioniert HTTPS?

Technisch betrachtet macht das HTTPS Protokoll nichts anderes, als zwischen dem Hypertext Transfer Protocol (HTTP) und dem Transmission Control Protocol (TCP) noch eine Schicht einzufügen. Bei dieser Schicht handelt es sich um SSL/TLS, welches für die Verschlüsselung und Authentifizierung verantwortlich ist.

Unter der Authentifizierung versteht man, dass sich der Webserver dem Nutzer gegenüber authentisieren muss. Das heißt, er muss so quasi beweisen, dass er wirklich der Webserver ist, der zur eingegebenen Adresse gehört. Auch eine Client-Authentifizierung ist auf diesem Wege möglich. Sie wird aber nur selten genutzt.

Die Ende-zu-Ende-Verschlüsselung gewährleistet, dass Stationen, die zwischen Client und Server liegen, die ausgetauschten Daten nicht entschlüsseln können.

SSL/TLS wird auch von anderen Anwendungsprotokollen verwendet. Es arbeitet so, dass es vom Anwender so gut wie nie bemerkt wird.

Das HTTPS Zertifikat und seine Funktionsweise erklärt

Für ein besseres Verständnis, geben wir dir hier eine Schritt-für-Schritt-Erklärung, wie das HTTPS-Zertifikat funktioniert:

1. 1.Client Hello: Der Client, also der Webbrowser, nimmt über ein Protokoll mit Verschlüsselungsoptionen mit einem Server Kontakt auf.
2. 2.Server Hello: Der Server reagiert auf die Kontaktaufnahme und akzeptiert die Verbindung. Daraufhin schickt er, um sich zu authentifizieren, sein Zertifikat mit dem öffentlichen Schlüssel an den Client.
3. 3.Validierung: Das Server-Zertifikat wird vom Client überprüft. Erkennt er seine Gültigkeit an, erzeugt er den symmetrischen Sitzungsschlüssel. Andernfalls wird die Verbindung sofort abgebrochen.
4. 4.Verschlüsselte TLS-Handshake Nachricht: Durch den öffentlichen Server-Schlüssel verschlüsselt der Client den Sitzungsschlüssel und schickt diesen an den Server. Nun kann der Server mit seinem privaten Schlüssel den Sitzungsschlüssel entschlüsseln.
5. 5.Ist dies geschehen, bestätigt der Server den geheimen Sitzungsschlüssel.
6. 6.Ab diesem Zeitpunkt wird die komplette Kommunikation von Client zu Server und umgekehrt verschlüsselt, und zwar so lange, bis die Verbindung unterbrochen wird.

Warum ist HTTPS-Verschlüsselung wichtig?

Im Internet gibt es viele verschiedene Webseiten. Manche besuchst du nur, um einen interessanten Artikel zu lesen, andere nutzt du, um einzukaufen oder deine Bankgeschäfte zu erledigen. Gerade bei letzteren gibst du oft persönliche Daten wie Namen, Adressen, Passwörter oder Zahlungsinformationen ein. Umso wichtiger ist es, dass diese sensiblen Informationen geschützt sind. Hier kommt die HTTPS-Verschlüsselung ins Spiel, das zwei wichtige Aufgaben erfüllt:

• Verschlüsselung deiner Daten: Deine Daten werden beim Übertragen zwischen deinem Browser und dem Webserver verschlüsselt. So können Dritte – wie Hacker, Internetanbieter oder neugierige Dritte – nicht einfach mitlesen oder die übertragenen Informationen abfangen.

• Authentifizierung des Webservers: HTTPS bestätigt, dass du tatsächlich mit der echten Website verbunden bist und nicht mit einer gefälschten Seite eines Angreifers. Das schützt dich vor sogenannten Man-in-the-Middle-Angriffen und Phishing.

Ohne HTTPS werden alle Daten, die du eingibst, unverschlüsselt, also im Klartext, übertragen. Angreifer könnten diese Informationen problemlos mitlesen, abfangen oder sogar manipulieren. Deshalb solltest du auf Webseiten, die kein HTTPS verwenden, nie sensible Daten wie Passwörter oder Zahlungsinformationen eingeben. Vertrauliche Online-Angebote wie Shops oder Banken verwenden heutzutage immer HTTPS, um deine Daten zuverlässig zu schützen.

Ist HTTPS wirklich sicher?

Nein, nur weil eine Webseite HTTPS nutzt, heißt das nicht automatisch, dass du garantiert sicher bist, aber es ist auf jeden Fall sicherer als HTTP, da deine Übertragungen durch Verschlüsselung geschützt sind. Das HTTPS hat auch Schwachstellen, die den Sicherheitsvorteilen wie folgt gegenüberstehen:

Vorteile und Sicherheitsmechanismen von HTTPS:

• HTTPS setzt auf die Überprüfung eines SSL-Zertifikats durch den Client, um sicherzustellen, dass die Verbindung zum korrekten Server hergestellt wird und das Zertifikat gültig ist (Validierung über OCSP).
• Zur weiteren Absicherung wird eine Kombination aus PFS (Perfect Forward Secrecy) mit Diffie-Hellman, einem Protokoll zur Schlüsselvereinbarung, eingesetzt.

Schwachstellen von HTTPS:

• OCSP-Schwachstelle: Wenn der Browser keine rechtzeitige Antwort von der Certificate Authority erhält, muss er das Zertifikat ungeprüft akzeptieren. Dies ermöglicht Angreifern, die Validierung zu behindern und sich trotz Verschlüsselung in die Verbindung einzuhacken.
• Sitzungsschlüssel-Risiko: Der Sitzungsschlüssel kann übertragen werden oder der geheime Schlüssel wird bekannt. Dies ermöglicht Unbefugten, auf Sitzungsschlüssel zu schließen und aufgezeichnete, ursprünglich verschlüsselte Übertragungen nachträglich zu entschlüsseln.
• Annahme von Zertifikaten: Das grundlegende Problem, dass Zertifikate unter bestimmten Umständen ungeprüft angenommen werden müssen, bleibt auch mit zusätzlichen Protokollen wie PFS bestehen.

Sich einzig und allein auf HTTPS zu verlassen, kann also auch nach hinten losgehen. Es empfiehlt sich, zusätzlich ein VPN zum HTTPS zu nutzen. Das VPN bietet eine weitere Sicherheitsebene und viele zusätzliche Funktionen.