HTTP und HTTPS sind zwei Varianten, wie Daten zwischen Ihrem Browser und einem Webserver übertragen werden. Der Unterschied liegt vor allem darin, ob die Verbindung verschlüsselt und vor Manipulation geschützt ist. HTTPS nutzt dazu zusätzliche Sicherheitsmechanismen, die HTTP standardmäßig nicht bereitstellt. Für Nutzerinnen und Nutzer wird dies unter anderem durch Warnhinweise im Browser oder die Kennzeichnung einer Verbindung als sicher sichtbar.
Im Folgenden erfahren Sie sachlich und praxisnah, was HTTP und HTTPS technisch unterscheidet, wie der Aufbau einer sicheren Verbindung funktioniert, welche typischen Fehler auftreten und wie Sie die Sicherheitseigenschaften einer Website prüfen können.
HTTP und HTTPS: Funktionsweise, Verschlüsselung und Zertifikate
HTTP ist das grundlegende Protokoll, mit dem Browser Anfragen an Server senden und Server darauf antworten. Dabei werden Inhalte wie HTML-Seiten, Bilder oder Formulardaten übertragen. HTTP ist jedoch nicht von sich aus dafür ausgelegt, die Übertragung zu verschlüsseln oder die Integrität der Daten sicherzustellen.
HTTPS ist im Kern HTTP über eine verschlüsselte Transportverbindung. Das bedeutet: Die Anwendung kommuniziert weiterhin über HTTP, während ein darunterliegendes Sicherheitsprotokoll für den Schutz der Verbindung sorgt. Dadurch können Dritte den Datenverkehr nicht ohne Weiteres mitlesen. Zudem werden Manipulationen an den übertragenen Daten erkannt und der Browser kann überprüfen, ob der Server tatsächlich die im Zertifikat angegebene Identität besitzt. HTTPS bietet somit nicht nur Verschlüsselung, sondern bildet einen umfassenden Sicherheitsrahmen für eine vertrauenswürdige Kommunikation.
Der wichtigste Unterschied zwischen HTTP und HTTPS ist die zusätzliche Sicherheitsebene. Diese Ebene basiert auf TLS (Transport Layer Security), das heute üblicherweise als Nachfolger von SSL eingesetzt wird. TLS verwendet Zertifikate, um die Identität des Servers zu belegen und die Verbindung zu verschlüsseln.
Ein TLS-Zertifikat enthält unter anderem:
- den Namen der Domain, für die das Zertifikat ausgestellt wurde, zum Beispiel
your-example-domain.com - den öffentlichen Schlüssel, der für den sicheren Verbindungsaufbau verwendet wird
- Informationen zum Aussteller, also zur Certificate Authority, kurz CA
- den Gültigkeitszeitraum des Zertifikats
Wenn Ihr Browser eine HTTPS-Verbindung aufbaut, prüft er zunächst, ob der Domainname im Zertifikat mit der von Ihnen aufgerufenen Adresse übereinstimmt und ob das Zertifikat noch gültig ist. Außerdem kontrolliert er, ob der Aussteller über eine Vertrauenskette bis zu einer im Browser hinterlegten Stammzertifizierungsstelle nachvollzogen werden kann. Abschließend prüft der Browser, ob das Zertifikat widerrufen oder anderweitig als unsicher eingestuft wurde. Wenn eine dieser Prüfungen fehlschlägt, zeigt der Browser in der Regel Warnhinweise an. Für Sie ist das ein Hinweis darauf, dass die Verbindung möglicherweise nicht sicher ist oder dass die Konfiguration fehlerhaft ist.
Ihr Browser vertraut nicht jedem Zertifikat automatisch. Stattdessen vertraut er bestimmten Zertifizierungsstellen und deren Fähigkeit, Zertifikate korrekt zu prüfen und auszustellen. Das Zertifikat des Servers wird über eine Kette von Zwischenzertifikaten bis zur Stammzertifizierungsstelle validiert. Das ist entscheidend, weil es verhindert, dass jede beliebige Partei einfach ein Zertifikat für eine fremde Domain ausstellen kann. HTTPS gilt daher nur dann als sicher, wenn die Zertifikatsprüfung erfolgreich abgeschlossen wurde.
So wird eine HTTPS-Verbindung aufgebaut und geschützt
Der Aufbau einer HTTPS-Verbindung umfasst zusätzliche technische Schritte im Vergleich zu HTTP. Zunächst stellt Ihr Browser eine Verbindung zum Server her. Anschließend übermittelt der Server sein Zertifikat. Der Browser prüft unter anderem, ob das Zertifikat zur aufgerufenen Domain gehört, noch gültig ist und von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde. Danach wird eine verschlüsselte Sitzung aufgebaut und das erforderliche Schlüsselmaterial vereinbart. Erst dann werden HTTP-Nachrichten innerhalb der verschlüsselten Verbindung übertragen.
Daraus ergeben sich zwei wichtige Konsequenzen: Die Daten werden erst nach erfolgreicher Aushandlung geschützt übertragen. Ein Fehler bei der Zertifikatsprüfung oder der TLS-Aushandlung kann dagegen dazu führen, dass der Browser die Verbindung blockiert oder eine Warnung anzeigt.
TLS schützt üblicherweise die Inhalte von Seitenaufrufen und Serverantworten, darunter HTML-, JSON- und Formulardaten. Dies gilt auch für Cookies, sofern sie mit den entsprechenden Sicherheitsattributen versehen wurden, sowie für Authentifizierungsdaten, sofern diese über HTTPS übertragen werden.
Wichtig ist jedoch: HTTPS schützt die Daten während der Übertragung. Es schützt nicht automatisch vor unsicheren Inhalten auf der Website selbst, beispielsweise vor schädlichen Skripten, und ersetzt keine sichere Anwendungslogik.
Für Nutzerinnen und Nutzer ist der Unterschied häufig an den Anzeigen des Browsers erkennbar. In der Adresszeile steht https:// statt http://. Zusätzlich zeigt der Browser ein Schlosssymbol oder eine andere Sicherheitsanzeige an. Bei Problemen erscheint in der Regel eine Warnseite oder ein entsprechender Hinweis.
Wenn eine Website nur HTTP anbietet, können Dritte die übertragenen Daten im Netzwerkverkehr unter Umständen mitlesen oder verändern. Das ist besonders kritisch bei Login-Formularen, Passwort- oder Token-Übertragungen, Formularen mit persönlichen Daten und API-Aufrufen mit sensiblen Parametern. Selbst wenn eine Website auf den ersten Blick harmlos erscheint, können Daten während der Übertragung abgefangen werden. HTTPS reduziert dieses Risiko erheblich.
Typische HTTPS-Fehler erkennen
Auch bei einer grundsätzlich korrekten Konfiguration kann es in der Praxis zu Problemen kommen. Viele davon lassen sich anhand von Browsermeldungen oder am Verhalten der Website erkennen.
Häufig entstehen Fehler, wenn ein Zertifikat für eine andere Domain ausgestellt wurde als die, die Sie aufrufen, das Zertifikat abgelaufen ist, die Zertifikatskette nicht validiert werden kann oder der Server ein unvollständiges beziehungsweise falsches Zertifikat liefert. Erkennbar ist das meist an Warnhinweisen wie „Zertifikat nicht gültig“ oder „Domain stimmt nicht überein“.
Ein weiterer typischer Fehler ist sogenannter Mixed Content. Dabei lädt eine HTTPS-Seite einzelne Ressourcen weiterhin über HTTP. Dazu können beispielsweise Bilder, Skripte, Stylesheets oder API-Aufrufe über unverschlüsselte Endpunkte gehören. Browser blockieren solche Inhalte häufig oder zeigen Warnungen an. Dies kann dazu führen, dass Teile der Website nicht funktionieren oder bestimmte Funktionen und Skripte nicht geladen werden.
Manchmal ist eine Website zwar über HTTPS erreichbar, leitet Zugriffe über HTTP jedoch nicht zuverlässig auf die sichere HTTPS-Version weiter. In diesem Fall können Nutzerinnen und Nutzer versehentlich eine HTTP-Adresse aufrufen und erhalten eine unverschlüsselte Verbindung. Auch wenn HTTPS grundsätzlich eingerichtet ist, sollten daher alle HTTP-Aufrufe automatisch auf HTTPS umgeleitet werden. So wird verhindert, dass unsichere Zugriffswege bestehen bleiben.
HTTPS-Verbindungen prüfen und richtig einsetzen
Sie können relativ einfach überprüfen, ob eine Website HTTPS korrekt verwendet. Öffnen Sie die Seite und achten Sie auf die Adresszeile. Prüfen Sie zunächst, ob die Adresse mit https:// beginnt. Klicken Sie anschließend je nach Browser auf das Schlosssymbol und kontrollieren Sie die Gültigkeit des Zertifikats, den Domainnamen und den Aussteller. Achten Sie außerdem auf Warnungen zu unsicheren Inhalten. Bei Bedarf können Sie die Entwicklerwerkzeuge des Browsers nutzen, um zu prüfen, ob einzelne Ressourcen noch über http:// geladen werden. Erscheint eine Zertifikatswarnung oder werden mehrere Ressourcen als unsicher gekennzeichnet, ist die HTTPS-Absicherung möglicherweise nicht vollständig oder fehlerhaft umgesetzt.
Der Unterschied zwischen HTTP und HTTPS ist besonders relevant, wenn sensible Daten über ein Netzwerk übertragen werden oder sichergestellt werden muss, dass die Daten unverändert beim Empfänger ankommen. Dazu gehören Login- und Passwortübertragungen, Formulare mit personenbezogenen Daten, Onlinebanking- und Zahlungsprozesse, API-Kommunikation mit Tokens sowie Bereiche, in denen die Identität der Kommunikationspartner und die Sicherheit einer Sitzung eine wichtige Rolle spielen. In solchen Fällen gilt HTTPS in der Praxis als Standard, da es die Datenübertragung schützt und eine Überprüfung der Serveridentität ermöglicht.
FAQ: Häufige Fragen zum Unterschied zwischen HTTP und HTTPS
Ist HTTPS nur Verschlüsselung oder steckt mehr dahinter?
HTTPS nutzt TLS und schützt damit nicht nur die Vertraulichkeit der übertragenen Daten durch Verschlüsselung. Es stellt außerdem deren Integrität sicher und ermöglicht mithilfe von Zertifikaten die Authentifizierung des Servers. Dadurch wird das Risiko reduziert, dass Verbindungen unbemerkt manipuliert oder Daten an einer falschen Stelle abgefangen werden.
Warum zeigt mein Browser eine Warnung an, obwohl die URL mit https:// beginnt?
Solche Warnungen treten meist auf, wenn ein Problem mit dem Zertifikat oder dem Verbindungsaufbau besteht. Das kann beispielsweise der Fall sein, wenn das Zertifikat abgelaufen ist, nicht zur aufgerufenen Domain passt, die Zertifikatskette nicht als vertrauenswürdig eingestuft wird oder die TLS-Aushandlung fehlschlägt. In solchen Fällen kann der Browser nicht sicherstellen, dass tatsächlich eine Verbindung mit dem erwarteten Server besteht.
Was bedeutet Mixed Content genau?
Mixed Content bedeutet, dass eine HTTPS-Seite gleichzeitig einzelne Inhalte über HTTP lädt. Diese Ressourcen werden nicht verschlüsselt übertragen und können dadurch die Sicherheit der Website beeinträchtigen. Browser blockieren solche Inhalte häufig oder zeigen Warnungen an, damit der Schutz der HTTPS-Verbindung möglichst erhalten bleibt.
Muss ich als Nutzerin oder Nutzer etwas einstellen, um HTTPS zu nutzen?
In der Regel nicht. Moderne Browser verwenden HTTPS automatisch, sofern eine Website entsprechend konfiguriert ist und HTTP-Anfragen korrekt auf HTTPS weitergeleitet werden. Funktioniert diese Weiterleitung nicht, können Sie versuchen, die URL manuell von http:// auf https:// zu ändern. Dies ist jedoch nur möglich, wenn die Website HTTPS unterstützt und entsprechend konfiguriert ist.
Verändert HTTPS die Inhalte der Website?
Nein. HTTPS verändert nicht den eigentlichen Inhalt einer Website, sondern schützt dessen Übertragung. Die Daten werden während des Transports verschlüsselt. Die Anwendung selbst arbeitet jedoch weiterhin mit HTTP-Nachrichten, die innerhalb der sicheren Verbindung übertragen werden.
Kann HTTPS vor Phishing schützen?
HTTPS reduziert das Risiko, dass Daten während der Übertragung abgefangen oder manipuliert werden. Es schützt jedoch nicht automatisch vor Phishing. Auch eine betrügerische Website kann ein gültiges Zertifikat für ihre eigene oder eine ähnlich aussehende Domain besitzen. Daher sollten Sie zusätzlich immer den Domainnamen sorgfältig prüfen und darauf achten, ob die Website vertrauenswürdig und plausibel wirkt.
Fazit: HTTPS schützt die Datenübertragung und schafft Vertrauen
HTTP und HTTPS unterscheiden sich vor allem hinsichtlich der Sicherheit der Datenübertragung. Während HTTP Daten unverschlüsselt überträgt, schützt HTTPS die Verbindung durch Verschlüsselung und ein digitales Zertifikat. Dadurch können Nutzerinnen und Nutzer besser überprüfen, ob sie mit der richtigen Website verbunden sind und ob die übertragenen Daten geschützt werden. Für moderne Websites gilt HTTPS als klarer Standard. Dies ist insbesondere bei Kontaktformularen, Logins, Zahlungsprozessen und allen anderen Bereichen wichtig, in denen persönliche oder sensible Daten übertragen werden.
Ähnliche Themen
Cookies sind kleine Textdateien, die ein Webbrowser beim Besuch einer Website speichert und bei späteren Aufrufen wieder an die Website sendet. Sie d...
Mit WordPress können Sie auch ohne Programmierkenntnisse eine eigene Website erstellen. Zuerst legen Sie eine Domain fest und definieren, welche Inha...