Original-URL des Artikels: https://www.golem.de/news/weisses-haus-us-behoerdenwebseiten-werden-https-verschluesselt-1503-113031.html    Veröffentlicht: 18.03.2015 11:32    Kurz-URL: https://glm.io/113031

Weißes Haus

US-Behördenwebseiten werden HTTPS-verschlüsselt

In den USA gibt es Pläne, alle Webseiten von Bundesbehörden nur noch über HTTPS auszuliefern. Die Webseite des Weißen Hauses ist bereits ausschließlich verschlüsselt abrufbar.

Webseiten von US-Behörden sollen in Zukunft ausschließlich verschlüsselt abrufbar sein. Der Informationsseite des Federal Chief Information Offices (CIO) zufolge sieht ein Vorschlag vor, dass innerhalb von zwei Jahren alle Behördenwebseiten auf Bundesebene ihre Webangebote auf HTTPS umstellen müssen. Neu entwickelte Webangebote sollen von Beginn an ausschließlich HTTPS nutzen.

Bereits jetzt sind die Webseiten des Weißen Hauses und der Regulierungsbehörde FTC ausschließlich über HTTPS erreichbar. Allerdings nutzen diese Seiten noch keinen Strict-Transport-Security-Header (HSTS). Die HSTS-Technik sorgt dafür, dass dem Browser signalisiert wird, dass er künftig HTTP-Verbindungen zu den entsprechenden Webseiten komplett unterbinden soll. Der Vorschlag zur HTTPS-Umstellung sieht vor, dass künftig alle US-Behördenwebseiten diesen Header setzen.

"Die US-Bürger erwarten, dass Regierungswebseiten sicher sind und ihre Interaktionen mit diesen Webseiten privat", heißt es auf der Infoseite. Mehrfach wird auf die Wichtigkeit der Privatsphäre der Bürger hingewiesen - ein Statement, das im Angesicht der NSA-Affäre sicher nicht ohne Ironie ist.

Auf der Infoseite des CIO finden sich zahlreiche Hintergründe zu Technologien wie HSTS und Server Name Indication (SNI), die den US-Behörden helfen sollen, die Umstellung vorzunehmen.

BSI verschlüsselt - aber mit Problemen

In Deutschland werden die Webseiten der Bundesregierung und sämtlicher Ministerien noch standardmäßig über HTTP ausgeliefert. Auch die Webseite der Datenschutzbeauftragten ist unverschlüsselt erreichbar.

Das BSI nutzt zwar die HTTPS-Verschlüsselung, allerdings gibt es mit der Webseitenkonfiguration einige Probleme. 2013 hatten wir berichtet, dass sich das BSI bei der HTTPS-Konfiguration nicht einmal an seine eigenen Empfehlungen hält. Das scheint bis heute der Fall zu sein: Während etwa eine Technische Richtlinie des BSI die Nutzung des RC4-Algorithmus explizit untersagt, lässt die BSI-Webseite weiterhin derartige Verbindungen zu.

Vielfach ist die falsche Vorstellung verbreitet, dass HTTPS-Verbindungen für reine Inhaltsseiten nicht sinnvoll seien. Dabei wird aber gerne außer Acht gelassen, dass HTTPS nicht nur Daten verschlüsselt, sondern auch die Echtheit der übertragenen Daten garantiert und vor Manipulation schützt. Weitere Hintergründe dazu haben wir vor kurzem im Artikel Mythen über HTTPS erläutert.  (hab)


Verwandte Artikel:
ROBOT-Angriff: Arbeitsagentur nutzt uralte Cisco-Geräte   
(09.03.2018, https://glm.io/133258 )
Barack Obama ernennt Vivek Kundra zum CIO   
(06.03.2009, https://glm.io/65740 )
Rhode Island: Senatoren fordern Pornosperre mit 20-Dollar-Gebühr   
(07.03.2018, https://glm.io/133191 )
Trustico/Digicert: Chaos um 23.000 Zertifikate und private Schlüssel   
(01.03.2018, https://glm.io/133077 )
Librem 5: Purism-Smartphone bekommt Smartcard für Verschlüsselung   
(09.03.2018, https://glm.io/133248 )

© 1997–2020 Golem.de, https://www.golem.de/