„Wenn es HTTPS ist, ist es sicher“ ── diesen Satz hört man überall, sobald man anfängt zu lernen, wie das Internet funktioniert. Aber wie wahr ist er wirklich? Und der umgekehrte Fall: diese Warnung, die manchmal auftaucht, „Ihre Verbindung zu dieser Website ist nicht sicher“ ── was genau ist daran nicht sicher? Diese beiden Fragen sind in Wahrheit zwei Seiten desselben Mechanismus. Wenn dir etwas davon bekannt vorkommt, lies weiter.
- Du hast gehört, dass „HTTPS sicher bedeutet„, weißt aber nicht, wie weit du dem trauen kannst
- Du hast die Warnung „Nicht sicher“ schon gesehen, könntest aber nicht erklären, worin die Gefahr eigentlich besteht
- Du siehst das Schloss-Symbol in der Adressleiste jeden Tag, würdest aber ins Stocken geraten, wenn man dich fragt, was es bedeutet
- Verschlüsselung, Zertifikate, Zertifizierungsstellen… die Wörter kennst du, aber nicht, wofür jedes einzelne da ist
Dieser Artikel gibt zwei Versprechen. ① Keine Mathematik ── die einzigen Werkzeuge, die wir benutzen, sind eine „geheime Kiste“, ein „Vorhängeschloss“ und ein „Ausweis“. ② Wir hören nicht bei der Funktionsweise auf: Wir ziehen die genaue Grenze zwischen dem, was das Schloss-Symbol schützt, und dem, was nicht.
| Frage | Antwort in |
|---|---|
| Was macht HTTP gefährlich? | §1 |
| Wie baut man eine Kiste, die niemand lesen kann? | §2 |
| Woher weißt du, dass die Gegenseite echt ist? | §3 |
| Was passiert hinter den Kulissen im Moment des Verbindens? | §4 |
| Wie wahr ist „HTTPS bedeutet sicher“? | §5 |
| Was tun, wenn eine Warnseite erscheint? | FAQ Q2 |
Im Recap unserer Serie, Was passiert zwischen dem Eintippen einer URL und dem Erscheinen der Seite?, haben wir HTTPS-Verkehr als „versiegelten, verschlüsselten Umschlag“ beschrieben. In diesem Artikel finden wir heraus, was dieses Siegel wirklich ist.
1. Was genau ist bei einer „nicht sicheren“ Verbindung nicht geschützt? ── Dein Passwort, verschickt in einer Form, die jeder lesen kann
1-1. Ein HTTP-Paket ist eine Postkarte, und jeder auf der Strecke kann sie lesen
Wie wir im Serien-Recap gesehen haben, verlässt eine Anfrage, die du an eine Website schickst, deinen Heimrouter, verlässt deine Stadt (dein Netzwerk) und wird Dutzende Male von Stadt zu Stadt weitergereicht, bevor sie den Server erreicht (→ Was passiert zwischen dem Eintippen einer URL und dem Erscheinen der Seite?).
Und hier kommt der entscheidende Punkt: Du und die Website seid nicht die einzigen beiden Teilnehmer dieser Reise. Wer im selben WLAN hängt wie du, der Betreiber des kostenlosen Hotspots im Café, die Router jeder Stadt auf dem Weg ── dein Paket geht durch viele Hände und viele Maschinen.
Eine http://-Verbindung (ohne S) macht diese Reise auf einer Postkarte. Empfänger, Absender und Nachricht stehen offen darauf. Das heißt: Jeder auf der Strecke, der hinschauen will, kann das Passwort lesen, das du eingetippt hast, und den Inhalt der Seiten, die du ansiehst ── genau so, wie sie sind. Die Warnung „Nicht sicher“ bedeutet exakt das: „Du bist dabei, eine Postkarte zu verschicken. Bist du sicher?“
1-2. Mitlesen ist nur ein Teil ── die drei Bedrohungen
Sortiert man, was an einer Postkarte problematisch ist, kommt die Gefahr in drei Formen.
- Mitlesen (Abhören) ── jemand auf der Strecke liest den Inhalt. Passwörter, Kartennummern und Surfdetails sickern durch
- Identitätsbetrug ── eine gefälschte Website behauptet „wir sind deine Bank“, und du schickst deine Daten im Glauben, sie sei echt
- Manipulation ── jemand auf der Strecke tauscht den Inhalt aus. Wird „das Konto für die Überweisung“ umgeschrieben, würdest du es nie bemerken
Postkarte (HTTP) vs geheime Kiste (HTTPS) ── was die Strecke sehen kann
HTTP (Postkarte)
Du ── Postkarte ──> WLAN-Nachbarn, Stadt-Router, Kontrollpunkte… ──> Website
△ Jeder kann mitlesen / austauschbar / kein Beweis, wer am anderen Ende sitzt
HTTPS (geheime Kiste)
Du ── [Kiste] ─────> WLAN-Nachbarn, Stadt-Router, Kontrollpunkte… ──> Website
△ Nur der „Empfänger" ist sichtbar
Inhalt unlesbar / Austausch bricht das Siegel / Identität per Ausweis geprüft
Das S in HTTPS (Secure) ist ein Dienst, der alle drei auf einmal blockiert. Er steckt das Gespräch in eine geheime Kiste (gegen Mitlesen), prüft den Ausweis der Gegenseite (gegen Identitätsbetrug) und bringt ein Siegel an, das jeden Austausch unterwegs verrät (gegen Manipulation). Ab §2 sehen wir, wie die Kiste gebaut wird ── aber gleich am Anfang versteckt sich ein Rätsel: Wie teilst du den Schlüssel zur Kiste überhaupt erst mit der Gegenseite?
2. Wie man die geheime Kiste baut ── Offene Vorhängeschlösser verteilen (Public-Key-Kryptografie)
2-1. Das Schlüsselverteilungsproblem ── du brauchst einen Schlüssel, um einen Schlüssel zu schicken
„Schließ die Kiste ab und schick sie los“ ── leicht gesagt. Aber überleg mal: Du und die Website seid euch nie begegnet. Wie teilt ihr den Schlüssel zur Kiste (den Geheimcode der Verschlüsselung)?
Den Schlüssel selbst schicken? ── Reist der Schlüssel per Postkarte, kann ihn jeder auf der Strecke kopieren. Und ein kopierter Schlüssel öffnet die Kiste, was den ganzen Plan ruiniert. „Um einen Schlüssel sicher zu verschicken, brauchst du erst einen sicheren Kanal. Um einen sicheren Kanal zu bauen, brauchst du einen Schlüssel.“ Diese Zirkelfalle heißt das Schlüsselverteilungsproblem, und sie hielt die Kryptografen sehr lange in Schach.
2-2. Die Erfindung: offene Vorhängeschlösser verteilen ── jeder darf sie zuschnappen lassen, aber nur der Besitzer kann sie öffnen
Die Erfindung, die den Kreis durchbrach, ist die Public-Key-Kryptografie. Als Metapher funktioniert sie so.
Die Website verteilt offene Vorhängeschlösser an alle, die eines wollen. Jeder kann ein Vorhängeschloss zuschnappen lassen ── aber sobald es klickt, kann nur die Website, die den passenden Schlüssel (den privaten Schlüssel) besitzt, es wieder öffnen. Es macht nichts, wenn das Vorhängeschloss kopiert wird: Aus einem Vorhängeschloss lässt sich kein Schlüssel bauen.
Du nimmst das Vorhängeschloss, das dir die Website gegeben hat, lässt es an deiner Kiste zuschnappen und schickst sie zurück. Wer auch immer diese Kiste unterwegs in die Hand bekommt ── öffnen kann er sie nicht. Der Schlüssel hat das Netzwerk nie durchquert, und trotzdem existiert jetzt eine sichere Kiste ── das Schlüsselverteilungsproblem, gelöst.
Die Hin- und Rückreise des Vorhängeschlosses ── eine geheime Kiste, ohne je einen Schlüssel zu schicken
1. Website ──verteilt ein „offenes Vorhängeschloss"──> Du △ Das Schloss darf jeder sehen
2. Du ── legst einen Geheimcode in die Kiste, lässt das Schloss zuschnappen ──> Website
△ Niemand unterwegs kann sie öffnen (nur die Website hat den Schlüssel)
3. Website ── öffnet sie mit dem privaten Schlüssel und entnimmt den Geheimcode
4. Danach ── beide Seiten nutzen den geteilten Code für schnelle Kisten, hin und her △ Hier beginnt das eigentliche Gespräch
Eine praktische Anmerkung: Die Vorhängeschloss-Methode (Public-Key-Kryptografie) ist sicher, aber die Berechnung ist schwer und langsam. Echtes HTTPS arbeitet deshalb in zwei Stufen ── das Vorhängeschloss wird für genau eine Hin- und Rückreise benutzt, nur um einen „Geheimcode (gemeinsamen Schlüssel)“ zu liefern, und ab dann wechselt das Gespräch zu schnellen Kisten, die mit diesem Code verschlossen werden (symmetrische Verschlüsselung). Ein schwerer Tresor, um einen einzigen Schlüssel zu liefern, danach gewöhnliche Schließfächer in vollem Tempo ── Arbeitsteilung.
„Verschlüsselung allein bedeutet sicher“ ── nicht ganz. Alles bisher garantiert, dass nur derjenige, der das Vorhängeschloss verteilt hat, die Kiste öffnen kann. Aber ob dieser Jemand deine echte Bank ist oder ein Betrüger, der sich als deine Bank ausgibt ── das kann der Kisten-Mechanismus allein dir nicht sagen. Auch Betrüger können Vorhängeschlösser verteilen ── und das ist §3, die andere Hälfte dessen, was das Schloss-Symbol bedeutet.
3. Ist die Gegenseite echt? ── Ausweise (Zertifikate) und die Ausstellungsbehörde (Zertifizierungsstelle)
3-1. Auch gefälschte Websites können Vorhängeschlösser verteilen
Erinnere dich an Bedrohung ② aus §1, den Identitätsbetrug. Wenn eine täuschend echte Fälschung sagt „Wir sind deine Bank ── hier ist unser Vorhängeschloss“, lässt du das Schloss des Betrügers an deiner Kiste zuschnappen und schickst deinen kostbaren Geheimcode direkt an den Betrüger. Die Kiste funktioniert perfekt ── und liefert perfekt an die falsche Person. Verschlüsselung allein ist gegen Identitätsbetrug machtlos.
3-2. Das Serverzertifikat ── ein Ausweis mit dem Stempel der Ausstellungsbehörde
Also machte HTTPS eine weitere Sache zur Pflicht: Jedes Vorhängeschloss muss mit einem Ausweis kommen. Das ist das Serverzertifikat. Das Zertifikat sagt „dieses Vorhängeschloss gehört dem Inhaber von example.com“ und trägt den Stempel einer Ausstellungsbehörde (einer Zertifizierungsstelle, CA). Eine CA ist eine der wenigen vertrauenswürdigen Organisationen weltweit, die prüfen, dass „diese Partei diese Domain wirklich besitzt“, bevor sie ein Zertifikat ausstellen.
Dein Browser bringt ab Werk eine Liste von Stempeln vertrauenswürdiger Ausstellungsbehörden mit. Verbindest du dich mit einer Website, empfängt der Browser zuerst den Ausweis und prüft ihn: Ist der Stempel echt, ist er abgelaufen, und stimmt der eingetragene Domainname mit der Website überein, die du erreichen willst? Erst wenn alles besteht, nimmt der Browser das Vorhängeschloss an und beginnt den Kistenaustausch ── das Schloss-Symbol in deiner Adressleiste ist das Zeichen, dass beides vorliegt: „geheime Kiste“ plus „Identität geprüft“.
Wenn dein Browser dich mit einer bildschirmfüllenden roten Warnung stoppt, ist genau diese Prüfung fehlgeschlagen. Der Ausweis ist abgelaufen, der Stempel nicht vertrauenswürdig, der Name stimmt nicht ── die Gründe variieren, aber die Bedeutung ist immer dieselbe: „Ich kann nicht bestätigen, wer das ist ── also sollte keine Kiste gebaut werden.„
Ein Ausweis beweist, dass „diese Partei diese Domain besitzt“ ── und nicht mehr. Er beweist nicht, dass „diese Partei ehrlich ist„. Ein Betrüger kann problemlos ein legitimes Zertifikat für eine auf seinen Namen registrierte Domain bekommen ── und diese eine Tatsache führt geradewegs zu §5, den Dingen, die das Schloss-Symbol nicht schützt.
4. Was im Augenblick des Verbindens passiert ── Vom Handschlag zum Kistenaustausch
4-1. Wo es sich in die Reise einfügt ── der Handschlag (Handshake)
Legen wir den Werkzeugkasten dieses Artikels über die Reise aus dem Recap. Du tippst eine URL, das Telefonbuch (DNS) schlägt die Adresse nach, und eine Route entsteht, auf der dein Paket die Stadt verlässt und den Server erreicht. HTTPS tritt direkt danach auf ── bevor das erste richtige Paket verschickt wird, durchlaufen beide Seiten ein kurzes Ritual namens Handschlag (Handshake).
- 1BegrüßungBrowser: „Ich möchte in geheimen Kisten sprechen. Diese Schlosstypen kann ich benutzen.“
- 2AusweiskontrolleDie Website legt Zertifikat und Vorhängeschloss vor. Der Browser prüft den Stempel der Ausstellungsbehörde, das Ablaufdatum und den Namen (§3).
- 3Geheimcode teilenDie verschlossene Kiste liefert den Geheimcode (den gemeinsamen Schlüssel) sicher aus (§2).
- 4Die Kisten beginnen zu fließenAb jetzt reist jede Anfrage und jede Antwort in schnellen Kisten, verschlossen mit dem gemeinsamen Code.
Diese vier Schritte sind in einem Augenblick vorbei, den du nicht einmal spüren kannst ── ungefähr eine Zehntelsekunde oder weniger. Alles, was du beim Lesen der Seite tust, passiert in den Kisten von Schritt 4.
4-2. Was Kontrollpunkte sehen können und was nicht ── die Antwort auf die FAQ des Recaps
Die FAQ des Recaps fragte: „Kann unterwegs jemand den Inhalt des Pakets mitlesen?“ und antwortete: „lesbar ist nur die Adresse“. Jetzt können wir erklären, warum.
Die Router jeder Stadt, der Kontrollpunkt (Firewall), der Übersetzungsschalter (NAT) ── sie alle lesen das Adressetikett außen, weil die Zustellung des Pakets es verlangt; sie könnten es sonst buchstäblich nicht zustellen (→ Was passiert ohne Firewall?). Aber der Inhalt bleibt in der geheimen Kiste. „Mit wem du sprichst“ ist als Teil der Paketzustellung sichtbar; „was du sagst“ sieht niemand ── das ist das präzise Bild von HTTPS. Der Einzige, der die Kiste öffnen kann, ist der Server am Ende der Reise. Was genau dieser Server ist, ist übrigens ein faszinierendes Thema für sich ── das heben wir uns für einen eigenen Artikel auf.
5. Es gibt Dinge, die das Schloss-Symbol nicht schützt ── HTTPS bedeutet nicht „sichere Website“
5-1. Was es genau schützt ── den Kanal zwischen dir und der Website
Alles zusammengenommen: Was HTTPS schützt, ist der Kanal zwischen dir und der Website. Die drei Bedrohungen aus §1 ── Mitlesen, Identitätsbetrug und Manipulation auf der Strecke ── werden durch die Kombination aus geheimer Kiste und Ausweis tatsächlich blockiert. Selbst im Café-WLAN ist die Wahrscheinlichkeit, dass dein Passwort unterwegs abgegriffen wird, heute nahe null.
5-2. Was es nicht schützt ── jenseits des Kanals und außerhalb davon
Wie wahr ist also „HTTPS bedeutet sicher“? Die Grenze verläuft hier: Der Kanal ist geschützt. Was jenseits des Kanals liegt (die Gegenseite selbst) und außerhalb davon (die Zielinformation), ist es nicht.
| Geschützt ✅ | Nicht geschützt ❌ | |
|---|---|---|
| Mitlesen auf der Strecke | Der Inhalt bleibt in der Kiste ── unlesbar selbst im geteilten WLAN | ── |
| Manipulation auf der Strecke | Das Siegel verrät jeden Austausch | ── |
| Identitätsbetrug der Website | Der Ausweis bestätigt, wem die Domain gehört | ── |
| Die Ehrlichkeit der Website | ── | Auch Betrugsseiten bekommen legitime Zertifikate. Phishing mit Schloss-Symbol ist völlig alltäglich |
| Das Ziel verbergen | ── | „Mit welcher Website du sprichst“ bleibt auf der Strecke sichtbar |
| Deine Daten nach der Zustellung | ── | Wie die Website deine Informationen behandelt, liegt außerhalb der Zuständigkeit der Kiste |
Die vierte Zeile ist die wichtigste. „Da ist ein Schloss-Symbol, also muss es meine echte Bank sein“ ist falsch. Das Schloss-Symbol garantiert genau eine Sache: „Du hast einen Geheime-Kiste-Kanal mit dem Inhaber der Domain, die in der Adressleiste steht.“ Wenn der Domainname selbst gefälscht ist (etwa eine fast identische Schreibvariante des echten), funktioniert die Kiste tadellos ── und verbindet dich direkt mit einem Betrüger. Prüfen solltest du nicht, ob das Schloss-Symbol da ist, sondern ob der Domainname wirklich der ist, den du besuchen wolltest.
5-3. Abdeckung im Vergleich ── wie VPN und DoH dazu passen
Für Leser, die der Serie folgen: So liegen die Abdeckungskarten übereinander. Der VPN-Artikel hat in einem Tipp die Frage gestreift „wenn es HTTPS gibt, wozu brauchen wir dann VPNs?“ ── HTTPS umhüllt „einen Kanal zwischen deinem Browser und einer Website“, ein VPN umhüllt „den gesamten Verkehr, der deinen PC verlässt, Zielinformation eingeschlossen“. Die Abdeckung ist eine Stufe breiter. Und eine Sache hat die Reise in §4 noch außerhalb der Kiste gelassen ── die Anfrage ans Telefonbuch (DNS). „Welchen Namen du nachgeschlagen hast“ reiste traditionell offen, und der Mechanismus, der auch das in eine Kiste steckt, ist DoH, vorgestellt in §6 des DNS-Artikels.
Zusammenfassung ── die Essenz in 4 Zeilen
- HTTP ist eine Postkarte: Jeder auf der Strecke kann sie lesen, austauschen oder sich als Empfänger ausgeben ── das bedeutet „Nicht sicher“
- Die geheime Kiste (Verschlüsselung): Offene Vorhängeschlösser zu verteilen erzeugt eine „Kiste, die nur der Besitzer öffnen kann“, ohne je einen Schlüssel zu verschicken
- Der Ausweis (Zertifikat): Der Stempel der Ausstellungsbehörde (CA) bestätigt „diese Partei besitzt diese Domain“, bevor irgendein Austausch beginnt ── Schloss-Symbol = Kiste + Ausweis
- Die Grenze: Nur der Kanal ist geschützt. Die Ehrlichkeit der Website, das Ziel und deine Daten nach der Zustellung sind es nicht ── prüfe den Domainnamen, nicht nur das Schloss-Symbol
Um die Karte der unsichtbaren Maschinerie weiter zu füllen: Die ganze Reise steht im Serien-Recap, der Kontrollpunkt auf der Strecke im Firewall-Artikel, die größere Kiste im VPN-Artikel und das Nachschlagen der Namen im DNS-Artikel. Und die „Mitgliedskarte“, die in der Kiste reist, ist das Thema des Cookie-Artikels.
FAQ
Q1. Wenn das Schloss-Symbol da ist, kann ich gefahrlos persönliche Daten eingeben?
A. Die präzise Antwort lautet: „Der Kanal ist sicher; die Gegenseite ist eine andere Frage“ (§5). Dass deine eingegebenen Daten unterwegs abgegriffen werden, ist sehr unwahrscheinlich. Aber wenn die Website, die sie empfängt, selbst ein Betrug ist, kann die Kiste dir nicht helfen. Bevor du etwas eingibst, prüfe nicht das Schloss-Symbol, sondern ob der Domainname in der Adressleiste wirklich der beabsichtigte ist (und keine fast identische Schreibvariante). Websites über die eigenen Lesezeichen oder die offizielle App zu öffnen ist die stärkste Gewohnheit, die du dir aufbauen kannst.
Q2. Ist eine Website mit „Nicht sicher“ schon beim bloßen Ansehen gefährlich?
A. Wenn du nur liest, ist der praktische Schaden begrenzt ── was du angesehen hast, ist auf der Strecke sichtbar, und der angezeigte Inhalt könnte im Prinzip ausgetauscht werden. Aber gib dort niemals etwas ein: Das wäre, als würdest du dein Passwort auf eine Postkarte schreiben (§1). Für eine alte Informationsseite, die die Warnung auslöst, ist „nur lesen, nichts eingeben, nichts herunterladen“ eine völlig vernünftige Regel ── kein Grund zur Panik.
Q3. Früher war das Web voller HTTP-Seiten ── warum ist heute fast alles HTTPS?
A. Zwei Kräfte wirkten gleichzeitig. ① Die kostenlose Zertifikatsausstellung kam auf, und die Kosten des Ausweises (Geld und Aufwand) brachen ein. ② Die Browser änderten ihre Politik und begannen, Besucher vor Nicht-HTTPS-Seiten zu warnen ── bei HTTP zu bleiben hieß, dass deine Besucher „Nicht sicher“ neben deinem Namen sahen. Weniger das Web wurde sicherer ── vielmehr hörten Postkarten auf, akzeptabel zu sein.
Q4. Kann der Netzwerkadministrator meiner Firma oder ein VPN-Anbieter in meinen HTTPS-Verkehr hineinsehen?
A. In der Regel nein ── nur der Zielserver kann die Kiste öffnen, und das gilt im Firmennetz genauso wie im VPN-Tunnel. Was Administratoren sehen, ist die Zielinformation: „wer wann mit welcher Website gesprochen hat“ (§4-2). Es gibt eine Ausnahme: Auf einem Firmen-PC kann der Verkehr durch eine Inspektions-Zwischenstelle laufen, die jede Kiste öffnet und wieder verschließt (möglich, weil die Firma ihren eigenen „Ausstellungsbehörden-Stempel“ auf dem Gerät vorinstalliert). Auf Firmengeräten ist die sichere Annahme, dass auch der Inhalt gesehen werden kann.
Q5. Was ist „Port 443″, der rund um HTTPS ständig auftaucht?
A. Das ist eine „Schalternummer“ im Gebäude des Servers. Postkarten (HTTP) gehen zu Schalter 80, geheime Kisten (HTTPS) zu Schalter 443 ── getrennte Empfangstresen. Wenn der Kontrollpunkt (Firewall) Regeln durchsetzt wie „nur Verkehr für Schalter 443 durchlassen“, schaut er genau auf diese Nummer. Schalternummern (Portnummern) geben genug für einen eigenen Artikel her, den wir in Zukunft schreiben wollen.
Schreibe einen Kommentar