HTTP vs. HTTPS: Der Unterschied ist ein einziger Buchstabe, entscheidet aber darüber, ob Daten unterwegs mitgelesen und verändert werden können. Für Ihre Firmenwebseite ist HTTPS längst Pflicht, und die Browser ziehen die Zügel weiter an. Dieser Beitrag erklärt, was technisch dahintersteckt, was das Schloss in der Adressleiste wirklich aussagt und was Sie als Betrieb jetzt prüfen sollten.

Was HTTP ist

HTTP, das Hypertext Transfer Protocol, regelt, wie Browser und Webserver Daten austauschen. Der Browser fragt eine Seite an, der Server schickt sie zurück. Das Problem: Bei HTTP läuft alles im Klartext über das Netz. Jeder, der den Datenverkehr unterwegs sehen kann, etwa im selben öffentlichen WLAN, bei einem kompromittierten Router oder bei einem Provider, kann mitlesen, was übertragen wird. Er kann Inhalte sogar unbemerkt verändern, zum Beispiel Werbung oder Schadcode einschleusen oder eine Bankverbindung in einem Formular austauschen.

Was HTTPS anders macht

HTTPS ist HTTP über eine verschlüsselte Verbindung mit TLS (Transport Layer Security, früher SSL). Dabei passieren drei Dinge:

• Verschlüsselung: Der Inhalt der Verbindung ist für Dritte nicht lesbar, also auch Passwörter, Formulareingaben und Cookies.
• Integrität: Veränderungen auf dem Übertragungsweg fallen auf, und der Browser bricht die Verbindung ab.
• Authentizität: Ein Zertifikat bestätigt, dass der Server tatsächlich zur aufgerufenen Domain gehört. Ausgestellt wird es von einer Zertifizierungsstelle, der Ihr Browser vertraut.

Aktuell sind TLS 1.2 und TLS 1.3 im Einsatz. Die Versionen 1.0 und 1.1 gelten seit 2021 offiziell als veraltet und werden von modernen Browsern nicht mehr unterstützt. Mehr zu den Grundlagen lesen Sie im Beitrag Verschlüsselung bei der Datenübertragung.

Was das Schloss-Symbol aussagt und was nicht

Ein verbreiteter Irrtum: „Schloss gleich seriöse Seite“. Das stimmt nicht. HTTPS sagt nur, dass die Verbindung verschlüsselt ist und das Zertifikat zur Domain passt. Es sagt nichts darüber, wer hinter der Domain steht. Zertifikate gibt es kostenlos und automatisiert, daher nutzen auch Phishing-Seiten und Fake-Shops HTTPS.

Google hat das Schloss in Chrome deshalb schon 2023 durch ein neutrales Einstellungssymbol ersetzt, weil viele Nutzer es als Vertrauenssiegel missverstanden. Prüfen Sie also immer die Domain selbst: Steht dort wirklich der Name Ihrer Bank oder eine ähnlich klingende Adresse? Woran man gefälschte Seiten erkennt, zeigt der Beitrag Phishing-E-Mails erkennen.

Was sich bei den Browsern ändert

HTTPS als Standard in Chrome

Google hat angekündigt, die Einstellung „Immer sichere Verbindungen verwenden“ mit Chrome 154 im Oktober 2026 standardmäßig zu aktivieren. Ruft man dann eine öffentliche Seite auf, die nur HTTP anbietet, fragt Chrome vorher nach. Private Adressen im lokalen Netz sind davon ausgenommen. Webseiten ohne HTTPS wirken damit für Besucher noch abschreckender als bisher.

Kürzere Zertifikatslaufzeiten

Die Browserhersteller und Zertifizierungsstellen haben sich im CA/Browser Forum auf deutlich kürzere Laufzeiten für TLS-Zertifikate geeinigt. Seit März 2026 sind höchstens 200 Tage erlaubt, ab März 2027 noch 100 Tage und ab März 2029 nur noch 47 Tage. Wer Zertifikate heute noch von Hand bestellt und einspielt, kommt damit nicht mehr hinterher. Automatische Erneuerung, etwa über das ACME-Protokoll, wird zur Pflicht.

HTTPS im eigenen Unternehmen

Die Firmenwebseite ist nur ein Teil. Prüfen Sie auch die Systeme, die selten im Blick sind:

• Webseite und Kontaktformulare: Jede Seite muss per HTTPS erreichbar sein, und HTTP-Aufrufe sollten automatisch umgeleitet werden. Zusätzlich sorgt HSTS dafür, dass Browser die Seite nur noch verschlüsselt aufrufen.
• Kundenportale und Webanwendungen: Gültige Zertifikate, aktuelle TLS-Versionen, keine Fehlermeldungen, die Nutzer wegklicken müssen.
• Interne Weboberflächen: Firewalls, Drucker, NAS, Telefonanlagen und Switches werden oft per HTTP verwaltet. Im internen Netz ist das weniger kritisch als im Internet, aber Admin-Zugangsdaten gehen dabei im Klartext übers Netz. Wo möglich, auf HTTPS umstellen.
• E-Mail und Dateiübertragungen: Auch hier sollte TLS Standard sein, nicht nur beim Surfen.

Achten Sie bei Ihrem Hoster darauf, dass TLS-Zertifikate automatisch erneuert werden. Wenn Sie ohnehin über einen Umzug nachdenken, sprechen Sie uns auf das Webhosting von Interate-IT an. Für die Absicherung der Firmenzugänge und Verwaltungsoberflächen ist eine sauber konfigurierte Managed Firewall der passende Baustein.

Was das für Ihr Unternehmen bedeutet

• Firmenwebseite mit einem kostenlosen TLS-Prüfdienst testen: gültiges Zertifikat, TLS 1.2 oder 1.3, Weiterleitung von HTTP auf HTTPS.
• Alle Zertifikate inventarisieren und klären, wer sie wann erneuert. Mit den kürzeren Laufzeiten nur noch automatisiert.
• Interne Verwaltungsoberflächen auf HTTPS umstellen, wo die Geräte es unterstützen.
• Mitarbeitern erklären, dass HTTPS keine Aussage über die Seriosität einer Seite trifft.
• Zertifikatswarnungen im Browser nie einfach wegklicken lassen, sondern der IT melden.

Häufige Fragen

Ist eine Webseite mit HTTPS automatisch sicher?

Nein. HTTPS schützt die Verbindung, nicht den Inhalt. Auch Betrugsseiten verwenden gültige Zertifikate. Prüfen Sie deshalb immer die genaue Domain.

Brauche ich HTTPS, wenn meine Webseite kein Formular hat?

Ja. Browser warnen bei HTTP-Seiten, Suchmaschinen bevorzugen HTTPS, und ohne Verschlüsselung können Inhalte unterwegs verändert werden. Ein Zertifikat ist heute kostenlos erhältlich.

Was bedeutet eine Zertifikatswarnung im Browser?

Das Zertifikat ist abgelaufen, gehört nicht zur Domain oder stammt von einer unbekannten Stelle. Im schlimmsten Fall versucht jemand, die Verbindung abzufangen. Geben Sie auf solchen Seiten keine Daten ein.

Sie möchten Webseite, Zertifikate und Verwaltungszugänge sauber absichern? Interate-IT aus Gensingen ist Ihr Partner für Unternehmen in Rheinhessen und an der Nahe. Schreiben Sie uns, wir prüfen Ihre Ausgangslage.