Wenn du eine Webseite besuchst, siehst du in den allermeisten Fällen ein kleines Schloss-Symbol in der Adressleiste des Browsers. Des Weiteren beginnt die Internetadresse mit https://. Doch was steckt hinter dem „https“ und dem kleinen Schloss? Welche Funktion hat das HTTPS-Protokoll und ist die Seite die du aufgerufen hast wirklich sicher? Diesen Fragen gehen wir in diesem Artikel auf den Grund.
Was ist ein Protokoll und wofür wird es verwendet?
Protokolle begegnen uns im Internet ständig. FTP, HTTP oder HTTPS sind nur einige Beispiele. Man kann sie sich wie eine gemeinsame Sprache vorstellen: Sie legen fest, nach welchen Regeln zwei Geräte miteinander reden und Daten austauschen.
Die zwei Gesprächspartner sind dabei immer ein Server und ein Client. Dein Computer, Smartphone oder Tablet ist der Client. Der Server ist der Rechner, auf dem die Webseite gespeichert ist und der sie auf Anfrage ausliefert. Damit man ihn im Internet findet, ist er über eine Adresse erreichbar – die sogenannte Domain. Unsere lautet zum Beispiel ps-public-relations.com.
Rufst du eine Webseite auf, schickt dein Gerät also eine Anfrage an diesen Server: „Schick mir bitte die Seite.“ Damit beide wissen, nach welchen Regeln dieses Gespräch ablaufen soll, stellt dein Browser der Adresse automatisch ein „https://“ voran. Das ist quasi die Ansage: „Wir reden jetzt verschlüsselt miteinander.“ Ein anderes Protokoll wäre zum Beispiel FTP, das speziell fürs Übertragen von Dateien gedacht ist, oder SSH für den sicheren Fernzugriff auf einen Server.
Nachrichten über HTTPS sind verschlüsselt
Das „S“ in HTTPS steht für Secure, also „sicher“. Der Unterschied zum normalen HTTP: alle Daten, die du mit der Webseite austauschst, wie etwa dein Passwort beim Login oder deine Kreditkartennummer im Online-Shop, werden verschlüsselt übertragen. Selbst wenn jemand diese Daten unterwegs abfängt, sieht er nur unlesbaren Buchstabensalat.
So funktioniert die Verschlüsselung
Damit das klappt, müssen sich dein Gerät und der Server zuerst auf einen gemeinsamen geheimen Schlüssel einigen. Das Knifflige dabei: wie tauscht man einen geheimen Schlüssel über eine offene Leitung aus, ohne dass ihn jemand mitliest? Hier kommt ein cleverer Trick zum Einsatz, die sogenannte asymmetrische Verschlüsselung.
Stell dir einen Briefkasten mit Schlitz vor: jeder kann von außen einen Brief einwerfen, aber nur der Besitzer mit dem passenden Schlüssel kann den Kasten öffnen und die Briefe herausnehmen.
Genau nach diesem Prinzip arbeiten zwei zusammengehörige Schlüssel:
- Der öffentliche Schlüssel ist der Briefschlitz. Er darf jedem bekannt sein. Mit ihm kann man Nachrichten verschließen (verschlüsseln), aber nicht mehr öffnen.
- Der private Schlüssel ist der echte Schlüssel zum Kasten. Er bleibt geheim beim Besitzer. Nur mit ihm lassen sich die Nachrichten wieder öffnen (entschlüsseln).
Will dein Browser dem Server etwas Geheimes schicken, verschließt er es mit dem öffentlichen Schlüssel des Servers. Ab diesem Moment kann nur noch der Server selbst die Nachricht öffnen. Denn nur er besitzt den passenden privaten Schlüssel. Würde die Nachricht unterwegs abgefangen, nützt das niemandem etwas.
Auf diese sichere Weise handeln beide Seiten einmalig einen gemeinsamen Schlüssel aus. Die weitere Kommunikation läuft dann verschlüsselt und schnell über diesen gemeinsamen Schlüssel ab.
Woher weiß ich, dass die Seite auch echt ist?
Verschlüsselung allein sorgt nur dafür, dass niemand mitlesen kann. Sie garantiert aber noch nicht, dass du wirklich mit dem richtigen Server sprichst und nicht mit einem Betrüger. Dafür sorgt das Zertifikat hinter dem Schloss-Symbol: es wird von einer unabhängigen, vertrauenswürdigen Stelle (einer Zertifizierungsstelle) ausgestellt und bestätigt, dass die Seite wirklich zu dem Betreiber gehört, der sie vorgibt zu sein. Klickst du auf das Schloss, kannst du dir dieses Zertifikat sogar selbst ansehen.
Sind HTTPS-Seiten also immer sicher?
Wichtig zu wissen: Das Schloss bedeutet „die Verbindung ist verschlüsselt und die Seite ist die, für die sie sich ausgibt“ – nicht automatisch „diese Seite ist seriös“. Auch betrügerische Webseiten können ein gültiges Schloss haben. Das Schloss schützt also den Transportweg deiner Daten, ersetzt aber nicht deinen gesunden Menschenverstand, wem du diese Daten anvertraust.