HTTPS
Inhaltsverzeichnis
Definition und Entwicklung
Das Hypertext Transfer Protocol Secure (kurz HTTPS) bezeichnet ein Übertragungsprotokoll für Webseiten, bei dem das Sicherheitszertifikat SSL (Secure Sockets Layer) zur Gewährleistung einer sicheren Datenübertragung im Internet genutzt wird. Andere Bezeichnungen für HTTPS lauten HTTP over SSL oder HTTP Secure. Das reguläre HTTP-Layer wird dabei mit SSL beziehungsweise TLS (Transport Layer Security, eine jüngere Bezeichnung für das ursprüngliche SSL) erweitert. Damit wird gewährleistet, dass Anfragen vom Browser und die vom Webserver zurückgegebenen Seiten verschlüsselt und entschlüsselt werden können. HTTP Secure wirkt dadurch Sicherheitsproblemen im Internet wie Lauschangriffen oder Man-in-the-Middle-Attacken entgegen. Seit 2014 ist die Verwendung von HTTPS offiziell ein Rankingfaktor für Google und damit auch von Bedeutung für die Suchmaschinenoptimierung.
Erstmals entwickelt wurde HTTPS von dem damaligen Browser-Betreiber Netscape. Der Beweggrund für diese Idee lag darin, dass sich reguläre HTTP-Verbindungen leicht abhören lassen und potentiellen Angreifern damit gezielte Attacken auf Einzelne ermöglichen. Dies ist problematisch, da Benutzer oftmals sensible Daten in ihre Browser-Fenster eingeben. Wertvolle Informationen wie etwa Bankverbindungs-Daten, E-Mails oder Kreditkartendaten bedürfen eines sicheren Schutzes vor unbefugten Zugriffen. Eine weitere Bedrohung im Internet, der mit der Entwicklung von HTTPS entgegengewirkt werden sollte, stellt das Phishing dar. Hierbei werden von Benutzern eingegebene Informationen über speziell zu diesem Zweck gefälschte Webseiten an unbefugte Dritte weitergeleitet. Durch die Entwicklung von HTTP Secure war man imstande, sowohl das Abhören der Internet-Verbindung als auch das Phishing zu unterbinden.
Heute sind HTTP-Secure-Verbindungen bei Webseiten, auf denen mit sensiblen Informationen gearbeitet wird, Standard. Auch moderne Webbrowser identifizieren sichere und unsichere Verbindungen. Schon jetzt weisen Browser im Falle unbekannter oder nicht vorhandener Sicherheitszertifikate darauf hin, dass die Verbindung unsicher sein könnte. Auch in Zukunft wird das Thema aufgrund der Digitalisierung und zunehmender Cyberkriminalität immer wichtiger werden, weshalb sich Webseitenbetreiber, falls dies noch nicht geschehen ist, schon heute mit der Sicherheit ihrer Website befassen sollten.
Anwendung und Funktionsweise von HTTP Secure
SSL sowie das Hypertext Transfer Protocol Secure ermöglichen die Nutzung digitaler Zertifikate der Struktur X.509 auf Seiten der Server. Hierbei handelt es sich um einen Standard für öffentliche Schlüssel beim Erstellen digitaler Zertifikate, mit dem es Nutzern möglich ist, Sender zu authentifizieren. Durch diese Zertifikate kann der Browser also sicherstellen, dass ein Server tatsächlich zu der Domain gehört, die man aufrufen möchte. Darüber hinaus nutzt HTTP Secure typischerweise den Port 443 und nicht etwa den bei HTTP sonst verbreiteten Port 80. Ports sind Bestandteile der Netzwerkadresse, durch die eine genaue Zuordnung von Verbindungen zwischen Client und Server möglich ist.
Beim Aufruf einer entsprechenden Webseite wird diese zunächst mit dem HTTPS-Layer verschlüsselt. Ebenso werden die vom Server an den Browser weitergeleiteten Daten verschlüsselt. Über den HTTP-Secure-Sublayer des Webbrowsers werden sie für die Nutzer dann wieder entschlüsselt, sodass diese die entsprechende Webseite wie gewohnt aufrufen können.
Sicherheit und Grenzen von HTTP Secure
Die Sicherheit, die HTTPS gewährleisten kann, hängt neben der Verschlüsselung auch von der Implementierung im Browser und dem Server ab. Der Unterschied zum regulären HTTP liegt allein in der Verschlüsselung, weshalb die Sicherheit durch die Mächtigkeit der Verschlüsselungstechnik bestimmt wird. Das SSL-Zertifikat gilt gegenwärtig zwar als relativ sicher, allerdings ist die sichere Übermittlung der Daten allein für einen umfassenden Schutz nicht ausreichend, denn Datensicherheit erfordert gleichermaßen eine gesicherte Speicherung beim Empfänger. Zudem ist zu berücksichtigen, dass die übertragenen Informationen am Endsystem jeweils in entschlüsselter Form vorliegen, weshalb sie nur so sicher sein können wie der eingesetzte Computer. Darüber hinaus treten gelegentlich SSL-Sicherheitslücken wie Heartbleed auf. Bei diesem schweren Programmfehler konnten in älteren Versionen der Open-Source-Version OpenSSL verschlüsselte Verbindungen privater Daten ausgelesen werden.
Abgrenzung zu S-HTTP
Verwechslungsgefahr besteht aufgrund der gleichen Buchstaben mit der Version S-HTTP. Auch diese HTTP-Variante ist auf mehr Sicherheit ausgerichtet. Sie wurde 1995 vom damaligen Unternehmen EIT entworfen und als Standard vorgeschlagen. Im Hinblick auf die gebotene Sicherheit unterscheidet sich diese Version jedoch stark von der Verschlüsselung durch HTTP Secure, weshalb die beiden Begriffe nicht durcheinandergebracht werden sollten.
Einsatz und Bedeutung
Als Standard wird das Hypertext Transfer Protocol Secure insbesondere auf solchen Webseiten eingesetzt, die mit der Eingabe sensibler Informationen durch den Nutzer verbunden sind und deshalb eine Verschlüsselung dieser Daten notwendig machen. Wesentliche Einsatzbereiche sind daher Online-Bankgeschäfte sowie passwortgesicherte Accounts. Letztere umfassen Online-Shopping-Accounts im E-Commerce, E-Mail-Accounts sowie Konten auf sozialen Netzwerken. Bei einer Attacke auf solche Accounts und die dort hinterlegten Informationen kann ein großer persönlicher Schaden entstehen. Manche Webseiten erfordern jedoch auch ohne Account die Eingabe persönlicher Daten. Online-Reisebüros oder Anbieter für Flüge und Hotels beispielsweise sehen vor, dass die Daten der Reisenden online an den Anbieter weitergeleitet werden.
Daher ist es insbesondere aus Sicht des Nutzers von Vorteil, auf entsprechenden Seiten im Internet auf eine sichere Verbindung zu achten, um den Schutz der sensiblen Informationen zu gewährleisten. Die Verwendung von HTTP Secure können Nutzer auf einfache Weise durch einen Blick auf den Beginn der Adresszeile in Erfahrung bringen. Meistens wird das sichere Protokoll auch optisch hervorgehoben sowie durch ein kleines Schloss-Symbol gekennzeichnet:
Screenshot mit Kennzeichnung der sicheren Verbindung von seobility.net
Stellenwert in der SEO und weitere Vor- und Nachteile
Im August 2014 hat der Suchmaschinenbetreiber Google einen Blogbeitrag veröffentlicht, der die Nutzung von HTTP Secure als Ranking-Faktor hervorhebt. Dies ist einer der seltenen Fälle, in denen Google offiziell bestätigt hat, dass ein bestimmtes Verfahren positive Auswirkungen auf die Position in den Suchergebnisseiten (SERPs) hat. Google empfiehlt jedem Webseitenbetreiber, dessen Internetseite mit sensiblen Informationen arbeitet, die Nutzung von HTTP Secure und gegebenenfalls die Umstellung.
Abgesehen von diesem positiven Effekt auf das Ranking einer Website, besteht ein weiterer Vorteil von HTTP Secure darin, dass es ohne Installation zusätzlicher Software auskommt. Die Anwendung steht daher jedem Webseitenbetreiber zur Verfügung. Zudem erhöht die Verwendung von HTTPS das Vertrauen der Besucher und potentiellen Kunden, denen das Kürzel in der Browserzeile eine sichere Verbindung signalisiert.
Gegenüber den Sicherheitsvorteilen fallen die Nachteile eher gering aus. Zu berücksichtigen ist, dass mit der SSL-Verschlüsselung Zusatzkosten für entsprechende Zertifikate anfallen. Damit steigen auch die Kosten bei zunehmendem Traffic, was für kleinere Seiten ins Gewicht fallen kann. Ein weiterer Nachteil gegenüber regulärem HTTP besteht darin, dass Inhalte nicht zwischengespeichert, das heißt im Cache abgelegt werden können. Ebenso ist die Performance von Webseiten durch die SSL-Verschlüsselung eingeschränkt, da dem Server für die Datenübertragung eine höhere Rechenleistung abverlangt wird.
Zusammenfassend zeigt sich also, dass die Vorteile der Verwendung von HTTPs eindeutig die Nachteile überwiegen und das Übertragungsprotokoll deshalb und insbesondere aufgrund der Relevanz für die Suchmaschinenoptimierung unbedingt genutzt werden sollte.