Definition
HTTPS steht für Hypertext Transfer Protocol Secure und ist eine Erweiterung des HTTP-Protokolls. Es dient der sicheren Übertragung von Daten zwischen Webbrowsern und Webservern im Internet. Dabei wird die Kommunikation verschlüsselt, um die Vertraulichkeit und Integrität der übertragenen Informationen zu gewährleisten.
Das Protokoll wird vor allem bei Webseiten eingesetzt, die sensible Daten wie Passwörter, Kreditkarteninformationen oder persönliche Daten übertragen. HTTPS kombiniert HTTP mit dem Transport Layer Security (TLS)-Protokoll, das früher als Secure Sockets Layer (SSL) bekannt war.
Was bedeutet das für Ihr Unternehmen?
Ohne HTTPS markieren Browser Ihre Website als nicht sicher, Formulare und Logins sind dann angreifbar, und Suchmaschinen werten das negativ. Zertifikate gibt es heute kostenlos und mit automatischer Verlängerung, ein abgelaufenes Zertifikat ist trotzdem eine häufige Ursache für plötzlich nicht erreichbare Seiten. Achten Sie darauf, dass alle Varianten Ihrer Domain auf die verschlüsselte Adresse weiterleiten und dass Ihr Monitoring vor dem Ablauf warnt.
Geschichte und Standardisierung
Die Entwicklung von HTTPS begann in den 1990er Jahren, als die Notwendigkeit für sichere Datenübertragung im World Wide Web zunahm. Das SSL-Protokoll wurde ab 1994 von Netscape Communications entwickelt und 1995 mit SSL 2.0 erstmals veröffentlicht. Später wurde SSL durch das TLS-Protokoll ersetzt, das vom Internet Engineering Task Force (IETF) standardisiert wurde.
TLS ist heute der Standard für die Verschlüsselung bei HTTPS. Die aktuell verwendeten TLS-Versionen sind das Ergebnis mehrerer Updates und Verbesserungen, die Sicherheitslücken in früheren Versionen geschlossen haben. Die Standardisierung erfolgt durch RFC-Dokumente, beispielsweise RFC 5246 für TLS 1.2 und RFC 8446 für TLS 1.3.
Funktionsweise
Beim Aufbau einer HTTPS-Verbindung initiiert der Client eine TLS-Handschlagphase mit dem Server, in der kryptografische Parameter ausgehandelt werden. Dabei authentifiziert sich der Server mittels eines digitalen Zertifikats, das von einer vertrauenswürdigen Zertifizierungsstelle (Certificate Authority, CA) ausgestellt wurde.
Nach erfolgreicher Authentifizierung wird ein symmetrischer Sitzungsschlüssel erzeugt, mit dem die nachfolgende Kommunikation verschlüsselt wird. Dies schützt die übertragenen Daten vor Abhören und Manipulation durch Dritte. Zudem stellt HTTPS sicher, dass der Nutzer mit dem beabsichtigten Server kommuniziert und nicht mit einem Angreifer (Man-in-the-Middle-Angriff).
Einsatzgebiete
HTTPS wird vor allem bei Webseiten eingesetzt, die vertrauliche oder personenbezogene Daten verarbeiten. Dazu gehören Online-Shops, Banken, soziale Netzwerke und E-Mail-Dienste. Auch Suchmaschinen und viele öffentliche Webseiten verwenden HTTPS, um die Sicherheit und Privatsphäre der Nutzer zu verbessern.
Darüber hinaus ist HTTPS ein wichtiger Bestandteil moderner Webstandards. Suchmaschinen wie Google bevorzugen HTTPS-gesicherte Seiten in ihren Suchergebnissen, was zur breiten Verbreitung beiträgt. Browser kennzeichnen Seiten ohne HTTPS zunehmend als unsicher, was die Nutzererfahrung beeinflusst.
Abgrenzung zu verwandten Protokollen
HTTPS ist eine sichere Erweiterung von HTTP und darf nicht mit HTTP verwechselt werden, das keine Verschlüsselung bietet. Während HTTP alle Daten im Klartext überträgt, schützt HTTPS die Daten durch Verschlüsselung und Authentifizierung.
Alternativen zu HTTPS existieren im Bereich der sicheren Datenübertragung, etwa das Secure File Transfer Protocol (SFTP) oder Virtual Private Networks (VPN). Diese dienen jedoch anderen Zwecken und sind nicht direkt mit HTTPS vergleichbar, das speziell für die Übertragung von Webseiteninhalten entwickelt wurde.