Anzeige
Das Netz ist auf dem Weg zu HTTPS für alle Webseiten.
Das Netz ist auf dem Weg zu HTTPS für alle Webseiten. (Bild: Screenshot / bearbeitet: Hanno Böck)

Netzverschlüsselung: Mythen über HTTPS

Das Netz ist auf dem Weg zu HTTPS für alle Webseiten.
Das Netz ist auf dem Weg zu HTTPS für alle Webseiten. (Bild: Screenshot / bearbeitet: Hanno Böck)

Google will HTTP zum unsicheren Protokoll degradieren, der Trend geht zum verschlüsselten Netz. Daran gibt es auch Kritik, doch die beruht oft auf Missverständnissen.

Anzeige

Der Trend im Netz geht klar in Richtung HTTPS. Große Webseiten wie Facebook, Twitter oder Google sind längst nur noch verschlüsselt erreichbar. Vor allem Google treibt die Verschlüsselung des Netzverkehrs voran. Der Suchmaschinenriese bevorzugt HTTPS-Seiten inzwischen beim Indizieren. Langfristig soll der Chrome-Browser vor HTTP-Verbindungen ohne TLS warnen.

Während Google für seine Schritte von Kryptographen und IT-Sicherheitsexperten viel Lob erhält, gibt es auch Kritik. Die basiert aber häufig auf falschen Vorstellungen davon, wie HTTPS eigentlich funktioniert.

Mythos: HTTPS-Verschlüsselung für reine Inhalte ist nutzlos

Weit verbreitet ist die Annahme, dass HTTPS nur bei Webseiten mit Logins oder jenen, bei denen sensible Daten übertragen werden, etwas bringt. Wozu etwa ein Blog verschlüsselt übertragen, wenn die Inhalte sowieso jeder lesen darf?

HTTPS gewährleistet jedoch mehr als nur die Verschlüsselung von Inhalten. Eine abgesicherte Verbindung garantiert neben der Vertraulichkeit auch die Echtheit der übertragenen Daten. Anders ausgedrückt: Es wird gewährleistet, dass beim Nutzer auch wirklich das ankommt, was der Server abgeschickt hat. Dass Inhalte auf dem Übertragungsweg manipuliert werden, kommt häufig vor und führt zu realen Problemen.

Sehr aufschlussreich ist ein Eintrag auf der Webseite Stackoverflow: Der Fragende schreibt von einem WLAN in Cafés, deren Betreiber die Idee hatte, die Werbung auf den übertragenen Webseiten durch eigene Werbung zu ersetzen. Der US-Provider Comcast hat Ähnliches bereits in die Praxis umgesetzt und fremde Webseiten mit eigener Javascript-Werbung versehen. Schlagzeilen machte kürzlich auch der US-Provider Verizon, weil er ungefragt Cookies in übertragene Webseiten einbaute. Damit überwacht Verizon die Surfgewohnheiten seiner Kunden.

Ebenfalls denkbar ist natürlich, dass Angreifer unverschlüsselte Datenübertragung nutzen, um Malware in Webseiten einzufügen. Das könnte beispielsweise in offenen WLANs passieren oder auch bei Tor-Exit-Nodes. Dazu kommen harmlosere aber dennoch möglicherweise unerwünschte Manipulationen, etwa wenn Anbieter mobiler Netzzugänge Bilder zusätzlich komprimieren oder übertragene HTML-Daten optimieren.

Derartige Manipulationen von Daten auf dem Übertragungsweg sind nur möglich, weil gewöhnliche Verbindungen im Netz die Echtheit der übertragenen Daten nicht gewährleisten. Durch HTTPS weiß der Nutzer, dass die Daten, die er empfängt, auch wirklich vom angegebenen Server stammen.

Mythos: Zertifikate sind zu teuer

Vielfach wird eingewandt, dass die weitere Verbreitung von HTTPS nur dem Geschäft der Zertifizierungsstellen diene. Doch anders als noch vor einigen Jahren sind entsprechende Zertifikate heute sehr günstig zu bekommen. Die israelische Firma StartSSL, deren Zertifikat seit langem von allen Browsern akzeptiert wird, bietet sogar kostenlose Zertifikate. Im nächsten Jahr soll zudem die von Mozilla, der EFF und anderen getragene Zertifizierungsstelle Let's encrypt ihren Betrieb aufnehmen, die das Ziel hat, Zertifikate kostenlos und möglichst einfach auszustellen.

Bezahlen muss man heute für Zertifikate nur noch, wenn man Wildcard-Zertifikate oder Extended-Validation-Zertifikate nutzen möchte. Wildcard-Zertifikate gelten für mehrere Subdomains (etwa *.example.com), bei EV-Zertifikaten wird nicht nur der Besitz der Domain, sondern auch der Inhaber überprüft, und im Browser wird etwa der Firmenname in einer grünen Leiste angezeigt. Für einfache Webseiten reichen kostenlose Zertifikate völlig aus.

Mythos: HTTPS ist viel zu langsam 

eye home zur Startseite
hjp 22. Dez 2014

Als ich das vor einiger Zeit bei StartSSL probiert habe, ging das ebenfalls über ein...

hjp 22. Dez 2014

Der Schlüssel wird bei dem von mir beschriebenen Verfahren eben nicht von der CA...

spiderbit 19. Dez 2014

naja 1. wird der key automatisch erzeugt 2. ist die aufnahme der ausname ein y enter...

HubertHans 19. Dez 2014

Ich glaube du hast es nicht richtig gelesen und bist den Uebertreibungen aufgesessen...

jaykay2342 19. Dez 2014

Ach bei Java ist noch viel mehr kaputt :P

Kommentieren



Anzeige

  1. (Senior-) Berater (m/w) Business Intelligence / Data Warehouse
    Capgemini Deutschland GmbH, verschiedene Standorte
  2. Funktions- und SW-Entwickler/-in für Value Added Functions
    Robert Bosch GmbH, Abstatt
  3. Sachbearbeiterin / Sachbearbeiter Energiedatenmanagement
    Stadtwerke Solingen GmbH, Solingen
  4. Frontend-Entwickler (m/w) E-Commerce
    LIDL Stiftung & Co. KG, Neckarsulm oder Berlin

Detailsuche



Anzeige
Hardware-Angebote
  1. TIPP: Angebote der Woche
  2. GeForce GTX 1080 bei Alternate
  3. GeForce GTX 1070 bei Alternate
    (u. a. Asus GTX 1070 Strix OC, MSI GTX 1070 Gaming X 8G und Aero 8G OC, Gainward GTX 1070 Founders...

Weitere Angebote


Folgen Sie uns
       


  1. Dota

    Athleten müssen im E-Sport mehr als nur gut spielen

  2. Die Woche im Video

    Superschnelle Rechner, smarte Zähler und sicherer Spam

  3. Axanar

    Paramount/CBS erlaubt Star-Trek-Fanfilme

  4. FTTH/FTTB

    Oberirdische Glasfaser spart 85 Prozent der Kosten

  5. Botnet

    Necurs kommt zurück und bringt Locky millionenfach mit

  6. Google

    Livestreaming direkt aus der Youtube-App

  7. Autonome Autos

    Fahrer wollen vor allem ihr eigenes Leben schützen

  8. Boston Dynamics

    Spot Mini, die Roboraffe

  9. Datenrate

    Tele Columbus versorgt fast 840.000 Haushalte mit 400 MBit/s

  10. Supercomputer

    China und Japan setzen auf ARM-Kerne für kommende Systeme



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
E-Mail-Verschlüsselung: EU-Kommission hat Angst vor verschlüsseltem Spam
E-Mail-Verschlüsselung
EU-Kommission hat Angst vor verschlüsseltem Spam
  1. Netflix und Co. EU schafft Geoblocking ein bisschen ab
  2. Android FTC weitet Ermittlungen gegen Google aus
  3. Pay-TV Paramount gibt im Streit um Geoblocking nach

Rust: Ist die neue Programmiersprache besser?
Rust
Ist die neue Programmiersprache besser?
  1. Oracle-Anwältin nach Niederlage "Google hat die GPL getötet"
  2. Java-Rechtsstreit Oracle verliert gegen Google
  3. Oracle vs. Google Wie man Geschworene am besten verwirrt

Telefonabzocke: Dirty Harry erklärt mein Windows für kaputt
Telefonabzocke
Dirty Harry erklärt mein Windows für kaputt
  1. Security Ransomware-Bosse verdienen 90.000 US-Dollar pro Jahr
  2. Security-Studie Mit Schokolade zum Passwort
  3. Festnahme und Razzien Koordinierte Aktion gegen Cybercrime

  1. Habt Ihr das Teil irgendwo für den Preis gesehen?

    Ravenbird | 12:22

  2. Re: Glückwunsch an die Briten

    tingelchen | 12:21

  3. Re: Als ob ein Mensch in so einer Situation

    ChMu | 12:21

  4. Re: Was spricht denn dagegen

    Gandalf2210 | 12:21

  5. Re: Preispolitik nVidia bzw. gut, dass Polaris kommtp

    eXXogene | 12:19


  1. 10:00

  2. 09:03

  3. 17:47

  4. 17:01

  5. 16:46

  6. 15:51

  7. 15:48

  8. 15:40


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel