Lexikon

HTTPS

HTTPS ist die verschlüsselte Variante des Webprotokolls HTTP: Inhalte zwischen Browser und Website sind unterwegs vor Mitlesen und Veränderung geschützt.

Was ist HTTPS?

HTTPS steht für Hypertext Transfer Protocol Secure. Es ist das gewohnte Webprotokoll HTTP, das über eine mit TLS verschlüsselte Verbindung läuft. Du erkennst es an „https://“ am Anfang der Adresse; viele Browser zeigen zusätzlich ein Symbol in der Adresszeile. Weil HTTPS heute der Normalfall ist, warnen Browser eher vor Seiten, die noch unverschlüsselt über HTTP laufen.

Wie HTTPS funktioniert

Beim Verbindungsaufbau legt die Website ein Zertifikat vor, das eine anerkannte Zertifizierungsstelle ausgestellt hat. Der Browser prüft, ob es gültig ist und zur aufgerufenen Domain passt. Danach handeln beide Seiten Schlüssel aus und verschlüsseln den Datenverkehr. So können Dritte im Netz, etwa im öffentlichen WLAN, Inhalte wie Passwörter oder Nachrichten weder mitlesen noch unbemerkt verändern.

Was HTTPS nicht leistet

HTTPS sichert die Verbindung, sagt aber nichts über die Seriosität einer Website: Auch Phishing-Seiten haben häufig ein gültiges Zertifikat. Prüfe deshalb die genaue Domain. Erscheint eine Zertifikatswarnung, gib auf der Seite keine Daten ein. Viele Browser bieten einen Modus an, der Seiten nur noch verschlüsselt lädt. Mit HSTS kann eine Website den Browser zudem anweisen, sie nur noch über HTTPS aufzurufen.

Bei Friendstime

Verbindungen zur Friendstime-Website laufen verschlüsselt über HTTPS/TLS, und HSTS wird erzwungen: Der Browser merkt sich, dass er die Seite nur noch verschlüsselt aufrufen soll. Für den Text privater Chats kommt zusätzlich Ende-zu-Ende-Verschlüsselung hinzu, sodass der Server diesen Text nur verschlüsselt speichert.

Häufige Fragen

Ist HTTPS dasselbe wie TLS?

Nicht ganz. TLS ist das Verschlüsselungsprotokoll, HTTPS bezeichnet die Übertragung von Webseiten über eine TLS-Verbindung. TLS sichert auch andere Dienste ab, etwa den Versand von E-Mails.

Was bedeutet eine Zertifikatswarnung?

Der Browser konnte nicht bestätigen, dass die Verbindung wirklich zur angegebenen Domain führt, etwa weil das Zertifikat abgelaufen ist oder zu einer anderen Adresse gehört. Bei unbekannten Seiten solltest du die Warnung nicht übergehen.