Kein HTTPS – die Verbindung liegt offen

Ohne HTTPS wandert alles im Klartext durch das Netz: eingegebene Daten, aufgerufene Seiten, Kennwörter. Jeder im selben WLAN kann mitlesen und mitschreiben.

Es ist nicht nur eine Empfehlung

Art. 32 DSGVO verlangt Maßnahmen nach dem Stand der Technik zum Schutz personenbezogener Daten – Verschlüsselung wird dort ausdrücklich genannt. Sobald Ihre Seite ein Formular hat, ein Login oder auch nur Server-Protokolle führt, ist unverschlüsselte Übertragung nicht mehr vertretbar.

Dazu kommt das Praktische: Browser zeigen bei unverschlüsselten Seiten „Nicht sicher" in der Adresszeile, und Suchmaschinen bevorzugen verschlüsselte Seiten seit Jahren.

Das Zertifikat kostet nichts

Let's Encrypt stellt Zertifikate kostenlos aus, die Einrichtung dauert Minuten und die Erneuerung läuft danach automatisch:

sudo certbot --apache -d ihre-seite.de -d www.ihre-seite.de --redirect

Bei nginx entsprechend --nginx. Fast jeder Hoster bietet die Umstellung inzwischen mit einem Schalter im Kundenbereich an.

Nach der Umstellung – die drei üblichen Fallen

• Gemischte Inhalte. Die Seite läuft verschlüsselt, lädt aber einzelne Bilder oder Skripte weiter unverschlüsselt. Der Browser blockiert sie oder warnt. Lösung: alle http://-Verweise auf die eigene Seite durch https:// ersetzen.
• Keine Umleitung. Die alte unverschlüsselte Adresse bleibt erreichbar, und Suchmaschinen sehen zwei Seiten mit gleichem Inhalt. Lösung: dauerhafte Umleitung (301) auf die verschlüsselte Fassung.
• Der erste Aufruf bleibt ungeschützt. Dagegen hilft der Header Strict-Transport-Security.

Häufige Fragen

Ist HTTPS Pflicht?

Es gibt keine Vorschrift, die HTTPS wörtlich vorschreibt. Art. 32 DSGVO verlangt aber Schutz nach dem Stand der Technik, und dazu gehört Verschlüsselung – erst recht bei Formularen oder Login.

Was kostet ein Zertifikat?

Nichts. Let's Encrypt stellt kostenlose Zertifikate aus, die sich automatisch erneuern.

Weitere Befunde aus dem Bereich Sicherheit

← Alle Befunde im Überblick