Unterschied zwischen HTTP und HTTPS – und warum es zählt

Der Unterschied zwischen HTTP und HTTPS ist für den durchschnittlichen Internetnutzer nur eine kleine Änderung in der Adressleiste des Browsers, für die Sicherheit seiner Daten jedoch von entscheidender Bedeutung. Im Folgenden erklären wir Ihnen, was HTTP ist, welche Unterschiede zwischen HTTP und HTTPS bestehen, wie sie heute verwendet werden und wie sie in Zukunft eingesetzt werden könnten.

Was ist HTTP?

Jeder URL-Link, der mit HTTP beginnt, verwendet ein grundlegendes Protokoll namens „Hypertext Transfer Protocol“. Dieser Netzwerkprotokollstandard ermöglicht es Webbrowsern und Servern, über eine TCP-Verbindung (Transmission Control Protocol) Daten auszutauschen und so miteinander zu kommunizieren.

HTTP ist ein sogenanntes „zustandsloses System“, was bedeutet, dass es eine Verbindung auf Abruf ermöglicht und keine ständige Verbindung erfordert. Wenn ein Nutzer auf einen Link klickt, sendet sein System eine Anfrage für eine Verbindung zu einem Server. Sobald der Server antwortet, werden die Daten dem Nutzer in seinem Webbrowser angezeigt. Die Geschwindigkeit dieser Verbindung wird durch die Verbindung zwischen dem Server und dem System bestimmt.

HTTP ist auch ein „Anwendungsschichtprotokoll“, was bedeutet, dass es darauf ausgerichtet ist, die Klarheit der Informationen zu gewährleisten, die über seine Verbindungen übertragen werden. Dies ist eine zuverlässige Methode, um eine Verbindung zu Servern herzustellen, öffnet jedoch auch böswilligen Akteuren die Tür, um die Daten abzufangen und während der Übertragung zu lesen und zu verändern. Dies wird als „Man-in-the-Middle-Angriff“ bezeichnet und erfordert eine sichere Methode für die Kommunikation über das Internet. Hier kommt das HTTPS-Protokoll ins Spiel.

HTTP vs. HTTPS – warum ist das wichtig?

Das HTTPS-Protokoll ist eine Erweiterung von HTTP. Einfach ausgedrückt ist HTTPS HTTP mit Verschlüsselung. Es steht für „Hypertext Transfer Protocol Secure“ und der Hauptunterschied besteht darin, dass es mit Transport Layer Security (TLS) und Secure Sockets Layer (SSL)-Zertifikaten ausgeführt wird. Es wurde speziell entwickelt, um den Schwachstellen von HTTP gegenüber Man-in-the-Middle-Angriffen entgegenzuwirken. HTTPS bietet mehrere Vorteile für diejenigen, die es nutzen. Es erhöht die Datensicherheit bei der Übertragung von Daten zwischen einem System und einem Server, indem es diese vollständig verschlüsselt. Darüber hinaus verwendet der SSL/TLS-Prozess SSL-Zertifikate, um eine zusätzliche Authentifizierungsebene hinzuzufügen, sodass moderne Webbrowser den Webserver identifizieren können, mit dem eine Verbindung hergestellt wird.

SSL-Zertifikate identifizieren Server gegenüber den Webbrowsern der Besucher und werden von vertrauenswürdigen Zertifizierungsstellen (CAs) wie Sectigo ausgestellt. Um ein Zertifikat zu erhalten, muss jemand mindestens nachweisen, dass er die Kontrolle über den mit dem Server verbundenen Domainnamen hat. CAs stellen dann digitale Zertifikate aus, die den Server auf der Grundlage der Public-Key-Infrastruktur (PKI), dem Goldstandard für Authentifizierung und Verschlüsselung, sichern.

All dies verhindert, dass Hacker auf sensible Daten zugreifen können, die zwischen einer Webseite und einem Browser übertragen werden.

So funktioniert HTTPS

Ohne HTTPS werden alle Daten, die Sie auf der Website eingeben (z. B. Ihr Benutzername/Passwort, Kreditkarten- oder Bankdaten, alle anderen Daten aus Formularen usw.), als unverschlüsselter Klartext gesendet und können daher abgefangen oder abgehört werden. Aus diesem Grund sollten Sie immer überprüfen, ob eine Website HTTPS verwendet, bevor Sie Informationen eingeben, insbesondere wenn es sich um eine E-Commerce-Website handelt oder Sie finanzielle Daten eingeben.

Für den durchschnittlichen Nutzer ändert sich praktisch nichts, wenn die Verbindung von HTTP auf HTTPS umgestellt wird. Der einzige wirkliche Unterschied besteht darin, dass in der Adressleiste des Browsers ein Vorhängeschloss angezeigt wird, das darauf hinweist, dass es sich um eine sichere HTTPS-Verbindung handelt.

Bedeutet HTTPS, dass eine Website sicher ist?

HTTPS bedeutet, dass die Identität des Servers authentifiziert wurde und dass eine sichere Verbindung mit Datenverschlüsselung für alle übertragenen Informationen besteht. Dies ist ein Muss für jede Website oder Organisation, die Wert auf Cybersicherheit legt, aber es ist nur ein Teil eines größeren Rahmens, der eine Website sicher macht. HTTPS funktioniert nicht als Firewall, die verhindert, dass bösartiger Code von einem Gerät zum anderen gesendet wird, sondern stellt eine verschlüsselte Verbindung zwischen einer authentifizierten Quelle und dem Benutzer her. Entwickler unternehmen viele weitere Schritte, um die Sicherheit ihrer Benutzer zu gewährleisten.

Was ist schneller?

In den meisten Fällen ist HTTP immer schneller als HTTPS. Einer der Nachteile der zusätzlichen Sicherheit ist, dass der gesamte Prozess länger dauert. HTTP erfordert keine SSL-Zertifikate, sodass der zusätzliche Validierungsschritt zur Gewährleistung einer sicheren Verbindung entfällt. Die Anfragen erfordern keine Identifizierung, Authentifizierung oder Verschlüsselung, sodass die Daten aufgrund des zustandslosen Systemdesigns sofort nach Eingang der Anfrage gesendet werden.

Im Gegensatz dazu erfordern HTTPS-Verbindungen einen SSL-Handshake, bevor Daten übertragen werden. Dieser Handshake-Schritt verlängert den Kommunikationsprozess jedoch nur um wenige Millisekunden. Obwohl die Verzögerung unerheblich ist und vom Benutzer wahrscheinlich nicht wahrgenommen wird, kann sie durch verschiedene Faktoren wie Browser-Caching beeinflusst werden.

HTTPS-Nutzung heute

HTTPS ist heute aus der Cybersicherheit nicht mehr wegzudenken. Die meisten Entwickler verwenden es für jede Website, unabhängig vom erforderlichen Sicherheitsniveau. Dies ist nicht nur auf Best Practices zurückzuführen, sondern wurde auch von vielen der größten Browser und Betriebssysteme der Welt vorgeschrieben. Die Verwendung von HTTPS ist für sie eine einfache Möglichkeit, die Daten ihrer Kunden zu schützen, ohne ihnen zusätzliche Arbeit aufzubürden. Viele Entwickler setzen es gerne ein, da sie die Sicherheitsrisiken der weniger sicheren Version kennen.

Google, SEO und HTTPS

Google ist einer der lautesten Befürworter einer vollständigen Umstellung auf HTTPS. Das Unternehmen ist der Meinung, dass jeder Nutzer bei jedem Besuch einer Website ein gewisses Maß an Sicherheit erwarten können sollte.

Im Jahr 2014 kündigte Google erstmals an, dass HTTPS als Ranking-Faktor für organische Suchergebnisse berücksichtigt wird – und machte es damit zu einer SEO-Maßnahme (Suchmaschinenoptimierung). Unternehmen, die auf HTTPS umgestellt haben, erzielen durchweg höhere SEO-Rankings und generieren insgesamt mehr Seitenaufrufe über Suchmaschinen als Unternehmen, die nicht umgestellt haben.

Im Juli 2018 hat Google Chrome seine Benutzeroberfläche in einem weiteren Schritt geändert, um Entwickler zur Umstellung zu zwingen. Alle HTTP-Seiten werden nun als unsicher gekennzeichnet. Das leuchtend rote Symbol vermittelt den Eindruck, dass die Seite für den Nutzer nicht sicher ist. Zusätzlich wird standardmäßig „https://“ in die Adressleiste eingefügt, sodass Websites gezwungen sind, nach Möglichkeit die sicherere Version ihrer Seite anzuzeigen.

In Kürze wird eine sogenannte „HTTPS-first“-Option eingeführt, die Websites dazu zwingt, ihre HTTPS-Version anzuzeigen und eine ganzseitige Warnmeldung anzuzeigen, wenn HTTPS nicht verfügbar ist. Derzeit wird dies als Einstellung für besonders sicherheitsbewusste Nutzer beworben, aber letztendlich plant das Unternehmen, dies zur Standardoption zu machen.

HTTPS in der Zukunft

HTTPS-Websites sind heute bereits Realität. Alle Websites mit sensiblen Informationen haben wahrscheinlich schon vor Jahren von einfachem HTTP umgestellt, und alle anderen haben diese Entwicklung im Laufe der Zeit vollzogen. Letztendlich wird der Druck durch die Browser alle Websites dazu zwingen, umzustellen, und sogar die Anzeige von Nicht-HTTPS-Websites stark einschränken. Allerdings sollte man nicht davon ausgehen, dass HTTPS die endgültige Lösung für Datenübertragungsprotokolle im Internet ist. HTTPS steht heute über HTTP, aber eines Tages könnte es durch ein anderes Protokoll verbessert oder ersetzt werden. Die Cybersicherheit entwickelt sich ständig weiter und schreitet voran, da neue Probleme im Bereich der Datensicherheit auftreten oder Einschränkungen entdeckt werden.

Verwandte Beiträge:

Was ist ein SSL-Zertifikat und wie funktioniert es?

Was ist PKI? Umfassender Leitfaden zur Public Key Infrastructure