Was bedeutet HTTPS?

Ein kleines Schloss, ganz oben links neben der Internetadresse. Die meisten Menschen haben es schon einmal bemerkt, ohne genau zu wissen, was es bedeutet. Manchmal steht daneben auch noch „https“ statt „http“, und auch das wirft oft mehr Fragen auf, als es beantwortet.

Dabei ist die Idee dahinter gar nicht kompliziert. Frau Berger, eine unserer Leserinnen, hat neulich erzählt, dass sie sich beim Online-Einkauf immer unsicher fühlt, sobald ein Formular nach der Kreditkarte fragt. Das Schloss-Symbol kannte sie zwar, aber ob es wirklich etwas bedeutet oder nur Deko ist, konnte sie nicht sagen. Genau das klären wir in diesem Beitrag, Schritt für Schritt und ohne Fachchinesisch.

Am Ende werden Sie wissen, was HTTPS technisch bedeutet, warum es beim Online-Banking oder Einkauf wichtig ist, und warum ein Schloss im Browser trotzdem kein Freifahrtschein ist, um jeder Seite bedenkenlos zu vertrauen. Beide Seiten der Medaille gehören zu diesem Thema dazu.

Was bedeutet HTTPS?

HTTPS steht für „Hypertext Transfer Protocol Secure“. Das klingt zunächst sperrig, lässt sich aber gut übersetzen: Es ist die Sprache, mit der Ihr Browser und eine Website miteinander reden, nur eben in einer verschlüsselten, also abgesicherten Variante. Alles, was zwischen Ihrem Gerät und der Website hin- und hergeschickt wird, ist dabei so verschlüsselt, dass Außenstehende es nicht einfach mitlesen können.

Stellen Sie sich vor, Sie füllen zu Hause ein Formular aus und geben es persönlich am Schalter ab. Niemand auf dem Weg dorthin kann hineinschauen. Genau das leistet HTTPS für Ihre Daten im Internet: Passwörter, Adressen oder Zahlungsdaten werden so übertragen, dass sie unterwegs nicht einfach abgefangen und gelesen werden können.

Herr Wagner, ebenfalls Leser unseres Newsletters, hat einmal gefragt, ob HTTPS also eine Art Umschlag ist, in den die Daten gesteckt werden. Das trifft es ziemlich gut. Ohne HTTPS wäre es, als würden Sie eine Postkarte verschicken, die jeder auf dem Transportweg lesen kann. Mit HTTPS steckt die gleiche Nachricht in einem verschlossenen Umschlag.

Was ist der Unterschied zu HTTP?

HTTP ist die ältere, unverschlüsselte Version derselben Technik. Vor vielen Jahren, als das Internet noch weniger für Einkäufe, Bankgeschäfte oder persönliche Anmeldungen genutzt wurde, reichte das meist aus. Heute sieht das anders aus, denn über das Internet laufen inzwischen Rechnungen, Arzttermine, Bankdaten und vieles mehr.

Der technische Unterschied liegt in einem einzigen Buchstaben, das „S“ am Ende, aber dahinter steckt ein ganzes Verschlüsselungsverfahren. Bei HTTP reisen die Daten unverschlüsselt durchs Netz, bei HTTPS werden sie vor dem Versenden verschlüsselt und erst beim Empfänger wieder lesbar gemacht. Wer unterwegs mitlauscht, etwa in einem öffentlichen WLAN im Café oder am Flughafen, sieht bei HTTP im schlimmsten Fall Klartext. Bei HTTPS sieht er nur unlesbares Zeichenwirrwarr.

Fast alle seriösen Websites sind heute auf HTTPS umgestiegen, auch einfache Blogs oder Vereinsseiten ohne Formulare. Das liegt daran, dass Browser wie Chrome oder Safari inzwischen sogar warnen, wenn eine Seite noch über das alte HTTP läuft. Diese Warnung sollten Sie ernst nehmen, besonders wenn Sie dort etwas eingeben möchten.

Warum ist HTTPS wichtig?

Sobald Sie irgendwo im Internet etwas eingeben, sei es ein Passwort beim Online-Banking, Ihre Adresse in einem Bestellformular oder Ihre Kreditkartennummer beim Einkauf, sollten diese Daten geschützt übertragen werden. Genau dafür sorgt HTTPS. Ohne diesen Schutz könnten theoretisch Dritte, die im selben Netzwerk unterwegs sind, Ihre Eingaben mitlesen.

Besonders wichtig wird das in öffentlichen WLAN-Netzen, etwa im Hotel, im Zug oder im Café. Dort teilen sich viele Geräte dieselbe Verbindung, und technisch versierte Personen könnten versuchen, Daten mitzulesen. Mehr zum sicheren Umgang mit öffentlichen und privaten Netzwerken lesen Sie in unserem Beitrag WLAN sicher nutzen.

Auch für ganz normale Websites ohne Formular hat HTTPS einen Vorteil: Es verhindert, dass jemand unterwegs den Inhalt der Seite verändert, bevor er bei Ihnen ankommt. Das klingt nach einem Randfall, kommt aber durchaus vor, etwa in manipulierten WLAN-Netzen, die gezielt Werbung oder schädliche Inhalte einschleusen.

Wo sieht man HTTPS?

Am einfachsten erkennen Sie HTTPS an zwei Stellen direkt in der Adresszeile Ihres Browsers. Zum einen steht dort vor der eigentlichen Internetadresse „https://“ statt „http://“, auch wenn viele Browser diesen Teil heute nicht mehr vollständig anzeigen. Zum anderen sehen Sie meist ein kleines Schloss-Symbol links neben der Adresse.

Tippen Sie auf dieses Schloss, zeigt Ihnen der Browser weitere Informationen zur Verbindung an, etwa dass sie sicher ist oder von wem das entsprechende Sicherheitszertifikat ausgestellt wurde. Für den Alltag reicht es aber völlig aus, einfach auf das Schloss-Symbol selbst zu achten. Ist es geschlossen zu sehen, ist die Verbindung verschlüsselt.

Bedeutet HTTPS automatisch: Diese Seite ist sicher?

An dieser Stelle kommt der wichtigste Teil dieses Beitrags, und Frau Berger hatte mit ihrer Skepsis nicht ganz unrecht: Nein, ein Schloss-Symbol bedeutet nicht automatisch, dass eine Website vertrauenswürdig ist. HTTPS sagt nur etwas über die technische Verschlüsselung der Übertragung aus, nicht über die Absicht der Person oder Firma, die hinter der Seite steht.

Das mag zunächst verwirrend klingen, ist aber wichtig zu verstehen. Auch Betrüger können heute problemlos ein HTTPS-Zertifikat für ihre gefälschte Website bekommen, das ist inzwischen kostenlos und in wenigen Minuten erledigt. Ein gefälschter Online-Shop oder eine Phishing-Seite, die vorgibt, Ihre Bank zu sein, kann also genauso ein Schloss-Symbol zeigen wie die echte Bank-Website.

Deshalb reicht ein Blick auf das Schloss allein nicht aus, um eine Website als sicher einzustufen. Es ist eine notwendige Grundlage, aber eben nur ein Baustein von mehreren. Genau darum geht es im nächsten Abschnitt.

Worauf sollten Sie zusätzlich achten?

Neben dem Schloss-Symbol gibt es weitere Anhaltspunkte, die Ihnen helfen, eine Website besser einzuschätzen. Keiner davon ist für sich allein ein sicherer Beweis, zusammen ergeben sie aber ein deutlich klareres Bild.

Prüfen Sie zunächst, ob die Internetadresse zum erwarteten Anbieter passt. Bei einer angeblichen Bank-Website sollte der Name der Bank korrekt geschrieben sein, ohne merkwürdige Zusätze oder Zahlen. Werfen Sie außerdem einen Blick auf das Impressum: Seriöse Anbieter in Deutschland sind gesetzlich dazu verpflichtet, eines bereitzustellen, mit Namen, Anschrift und Kontaktmöglichkeit.

Ein gesunder Blick auf den Gesamteindruck hilft ebenfalls. Wirkt die Seite hastig zusammengebaut, gibt es viele Rechtschreibfehler, oder wird ungewöhnlicher Druck aufgebaut, etwa mit „Nur noch heute“ oder „Sofort handeln“, ist Vorsicht angebracht. Mehr dazu, wie Sie unseriöse Online-Shops erkennen, finden Sie in unserem Beitrag Fake-Shops erkennen.

Beispiele aus dem Alltag

Diese Regeln lassen sich am besten anhand konkreter Situationen verstehen, die im Alltag tatsächlich vorkommen können.

Beim Online-Banking geben Sie am besten nie den Link aus einer E-Mail ein, selbst wenn diese seriös wirkt und ein Schloss-Symbol angekündigt wird. Tippen Sie stattdessen die bekannte Adresse Ihrer Bank direkt in den Browser ein oder nutzen Sie ein gespeichertes Lesezeichen. So stellen Sie sicher, dass Sie wirklich bei Ihrer Bank landen und nicht bei einer geschickt nachgebauten Kopie. Mehr dazu in unserem Beitrag Online-Banking sicher nutzen.

Beim Einkauf in einem neuen, unbekannten Online-Shop hilft das Schloss-Symbol als erste Orientierung, ist aber nur der Anfang. Prüfen Sie zusätzlich das Impressum, suchen Sie nach Bewertungen anderer Kunden und schauen Sie, ob die Preise realistisch wirken. Ein Wintermantel für zehn Euro sollte auch bei vorhandenem Schloss-Symbol skeptisch machen.

Bei einem Formular, das eine angebliche Bank-E-Mail Ihnen verlinkt, gilt besondere Vorsicht. Selbst wenn die verlinkte Seite ein Schloss zeigt, kann es sich um eine Phishing-Seite handeln, die lediglich technisch verschlüsselt ist, aber inhaltlich betrügerisch. Mehr zum Erkennen solcher Nachrichten lesen Sie in unserem Beitrag Betrugsnachrichten erkennen.

Häufige Fehler vermeiden

Häufig gestellte Fragen