HTTP vs. HTTPS: Unterschied einfach erklärt
Kurzantwort
HTTP ist die Sprache, in der Browser und Webserver Seiten austauschen. HTTPS ist dasselbe, nur verschlüsselt: Ein TLS-Zertifikat sichert die Verbindung, sodass niemand mitlesen oder die Daten verändern kann. Deshalb steht bei sicheren Seiten ein Schloss in der Adresszeile und die Adresse beginnt mit https.
Teil des Lernpfads Netzwerk · Schritt 15 von 24
Das kleine Schloss in der Adresszeile sehen alle, aber kaum jemand weiß, wofür es steht. Dabei entscheidet der eine Buchstabe zwischen HTTP und HTTPS darüber, ob dein Passwort verschlüsselt übertragen wird oder für jeden mitlesbar durchs Netz reist.
Was ist HTTP?
HTTP steht für Hypertext Transfer Protocol – das ist die Sprache, in der sich dein Browser und ein Webserver unterhalten. Rufst du eine Seite auf, schickt der Browser eine Anfrage („gib mir diese Seite"), und der Server antwortet mit den Inhalten. Dieses Frage-Antwort-Spiel ist HTTP.
Das Problem: HTTP überträgt alles im Klartext. Jeder, der die Leitung dazwischen belauschen kann – im offenen WLAN, beim Anbieter, an einem Knotenpunkt –, liest mit. Passwörter, Formulareingaben, alles.
Was ändert HTTPS?
HTTPS ist dasselbe HTTP, aber durch eine Verschlüsselungsschicht geschützt: das S steht für Secure. Technisch sorgt dafür ein Verfahren namens TLS (Transport Layer Security, früher SSL). Es leistet drei Dinge:
- Vertraulichkeit: Die Daten sind verschlüsselt, niemand kann mitlesen.
- Integrität: Unterwegs veränderte Daten fallen auf.
- Authentizität: Du sprichst nachweislich mit dem echten Server, nicht mit einem Betrüger.
Wie funktioniert die Verschlüsselung?
Damit dein Browser dem Server vertrauen kann, weist dieser sich mit einem Zertifikat aus. Das ist ein digitaler Ausweis, der von einer Zertifizierungsstelle (englisch Certificate Authority, CA) ausgestellt und beglaubigt wurde. Der Browser kennt die vertrauenswürdigen Stellen und prüft beim Verbindungsaufbau:
- Ist das Zertifikat von einer anerkannten Stelle unterschrieben?
- Gehört es wirklich zu dieser Website?
- Ist es noch gültig?
Erst wenn das passt, handeln Browser und Server einen geheimen Schlüssel aus und verschlüsseln damit den gesamten weiteren Austausch. Das alles passiert in Sekundenbruchteilen, bevor die Seite erscheint.
Woran erkenne ich eine sichere Verbindung?
- Die Adresse beginnt mit https:// statt http://.
- In der Adresszeile steht ein Schloss-Symbol.
- Ein Klick auf das Schloss zeigt Details zum Zertifikat und zum Betreiber.
Selbstkontrolle
Selbstkontrolle
Du bist in einem offenen WLAN und meldest dich auf einer Seite an, deren Adresse mit http:// beginnt. Was ist das Risiko?
Häufige Fragen
Was ist der Unterschied zwischen SSL und TLS?
TLS ist der Nachfolger von SSL und die heute gebräuchliche Technik hinter HTTPS. Der Begriff SSL hat sich umgangssprachlich gehalten, etwa im Wort SSL-Zertifikat, gemeint ist aber praktisch immer TLS. Die alten SSL-Versionen gelten als unsicher und werden nicht mehr verwendet.
Bedeutet das Schloss, dass eine Website vertrauenswürdig ist?
Nein. Das Schloss bestätigt nur, dass die Verbindung verschlüsselt ist und niemand mitlesen kann. Über die Seriosität des Betreibers sagt es nichts aus. Auch betrügerische Seiten können ein gültiges Zertifikat besitzen, weil einfache Zertifikate kostenlos und automatisch zu bekommen sind.
Kostet ein HTTPS-Zertifikat Geld?
Nicht unbedingt. Dienste wie Let’s Encrypt stellen kostenlose Zertifikate aus, die von allen Browsern anerkannt werden. Kostenpflichtige Zertifikate bieten zusätzliche Prüfungen der Identität des Betreibers, sind für die reine Verschlüsselung aber nicht nötig.
Warum sollte auch ein einfacher Blog HTTPS nutzen?
Weil Browser HTTP-Seiten als unsicher markieren und Suchmaschinen HTTPS bevorzugen. Außerdem schützt die Verschlüsselung nicht nur Passwörter, sondern verhindert auch, dass Dritte den Seiteninhalt unterwegs verändern – etwa um Werbung oder Schadcode einzuschleusen.
Weiterlesen: Client-Server-Modell einfach erklärt · Cookies und Tracking: Was wird gespeichert? · Was ist DNS? Das Telefonbuch des Internets erklärt
Das Wichtigste in Kürze
- HTTP ist das Protokoll für Webseiten, überträgt aber alles im Klartext.
- HTTPS verschlüsselt die Verbindung mit TLS und schützt Vertraulichkeit, Integrität und Echtheit.
- Ein Zertifikat einer anerkannten Stelle weist den Server aus.
- HTTP nutzt Port 80, HTTPS Port 443.
- Das Schloss sichert den Transportweg, nicht die Seriosität des Betreibers.