HTTP und HTTPS sind zwei Protokolle, die für die Übertragung von Daten zwischen einem Webbrowser und einem Webserver verwendet werden. Auf den ersten Blick unterscheiden sie sich nur durch den zusätzlichen Buchstaben „S“, technisch ist der Unterschied jedoch sehr wichtig. HTTP überträgt Daten grundsätzlich unverschlüsselt, während HTTPS die Verbindung mithilfe von Verschlüsselung absichert. Deshalb ist HTTPS heute der Standard für nahezu alle Webseiten, insbesondere wenn persönliche oder vertrauliche Daten übertragen werden.
Was ist HTTP?
HTTP steht für „Hypertext Transfer Protocol“ und bildet eine wichtige Grundlage des World Wide Web. Wenn ein Nutzer beispielsweise eine Webseite aufruft, ermöglicht HTTP die Kommunikation zwischen Browser und Server. Der Browser sendet eine Anfrage an den Server, und dieser antwortet unter anderem mit den gewünschten Webseiteninhalten.
Bei einer klassischen HTTP-Verbindung werden die übertragenen Daten jedoch nicht verschlüsselt. Dadurch können Angreifer, die Zugriff auf den Datenverkehr haben, Informationen unter Umständen mitlesen oder verändern.
Typische Merkmale von HTTP sind:
- Datenübertragung ohne Verschlüsselung
- Kommunikation zwischen Client und Server
- Verwendung des Schemas
http:// - traditionell Port 80
- für sensible Daten nicht geeignet
Was ist HTTPS?
HTTPS bedeutet „Hypertext Transfer Protocol Secure“. Es handelt sich im Wesentlichen um HTTP, das durch eine zusätzliche Sicherheitsschicht geschützt wird. Dafür wird heute hauptsächlich TLS (Transport Layer Security) eingesetzt.
Beim Aufruf einer HTTPS-Webseite wird zunächst eine gesicherte Verbindung zwischen Browser und Server aufgebaut. Anschließend werden die Daten verschlüsselt übertragen. Außenstehende können dadurch den Inhalt der Kommunikation normalerweise nicht einfach lesen oder unbemerkt verändern.
HTTPS bietet insbesondere:
- Verschlüsselung der übertragenen Daten
- Schutz vor Manipulation während der Übertragung
- Authentifizierung des Servers über ein Zertifikat
- Verwendung des Schemas
https:// - traditionell Port 443
HTTP und HTTPS im direkten Vergleich
| Merkmal | HTTP | HTTPS |
|---|---|---|
| Bedeutung | Hypertext Transfer Protocol | Hypertext Transfer Protocol Secure |
| Verschlüsselung | Nein | Ja, über TLS |
| Standardschema | http:// | https:// |
| Standardport | 80 | 443 |
| Schutz vor Abhören | Gering | Deutlich höher |
| Schutz vor Manipulation | Begrenzt | Deutlich höher |
| Server-Authentifizierung | Keine durch TLS | Über TLS-Zertifikat |
| Geeignet für Passwörter | Nein | Ja |
| Geeignet für Online-Banking | Nein | Ja |
Der wichtigste Unterschied: Verschlüsselung
Der entscheidende Unterschied zwischen HTTP und HTTPS liegt in der Verschlüsselung der Verbindung. Bei HTTP werden Informationen grundsätzlich im Klartext übertragen. Wer den Datenverkehr an einer geeigneten Stelle abfangen kann, könnte beispielsweise übertragene Inhalte oder andere Informationen erkennen.
Bei HTTPS wird dagegen eine verschlüsselte Verbindung aufgebaut. Dadurch werden sensible Informationen wie Anmeldedaten, Zahlungsinformationen oder persönliche Angaben während der Übertragung besser geschützt.
Dabei sollte man jedoch beachten: HTTPS bedeutet nicht automatisch, dass eine Webseite seriös oder ungefährlich ist. Auch eine betrügerische Webseite kann HTTPS verwenden. Das Protokoll schützt in erster Linie die Verbindung zur aufgerufenen Domain, nicht automatisch den Inhalt oder die Absichten der Webseite.
Welche Rolle spielt das Zertifikat?
Bei HTTPS kommt ein TLS-Zertifikat zum Einsatz. Es hilft dem Browser dabei, die Identität des Servers zu überprüfen und eine sichere Verbindung aufzubauen.
Der Vorgang lässt sich vereinfacht in drei Schritten darstellen:
- Der Browser verbindet sich mit dem HTTPS-Server.
- Der Server präsentiert sein TLS-Zertifikat.
- Browser und Server handeln die notwendigen kryptografischen Verfahren für die verschlüsselte Kommunikation aus.
Ist das Zertifikat ungültig, abgelaufen oder passt es nicht zur Domain, kann der Browser eine Sicherheitswarnung anzeigen.
Wann wird HTTP verwendet?
Reines HTTP ist für moderne Webseiten nur noch in bestimmten Situationen sinnvoll. Es kann beispielsweise bei internen Testumgebungen oder speziellen lokalen Anwendungen vorkommen. Für öffentlich erreichbare Webseiten sollte dagegen grundsätzlich HTTPS eingesetzt werden.
Besonders ungeeignet ist HTTP für:
- Login-Formulare
- Online-Shops
- Zahlungsinformationen
- persönliche Daten
- interne oder vertrauliche Informationen
- Webseiten mit Benutzerkonten
Warum HTTPS heute der Standard ist
HTTPS schützt nicht nur Passwörter und Zahlungsdaten. Auch scheinbar harmlose Informationen profitieren von einer verschlüsselten Verbindung. Außerdem können moderne Browser bei unsicheren HTTP-Verbindungen deutliche Warnungen anzeigen.
Ein weiterer Vorteil ist das Vertrauen der Nutzer: Das Schloss-Symbol beziehungsweise die sichere Verbindungsanzeige im Browser signalisiert, dass die Verbindung grundsätzlich über HTTPS erfolgt. Für Webseitenbetreiber ist HTTPS deshalb nicht mehr nur eine zusätzliche Sicherheitsfunktion, sondern ein wesentlicher Bestandteil einer modernen Webpräsenz.
Fazit
Der Unterschied HTTP und HTTPS besteht vor allem darin, dass HTTP Daten ohne eine TLS-Verschlüsselung überträgt, während HTTPS die Kommunikation absichert. HTTPS schützt die Übertragung besser vor dem Abhören und der Manipulation und ermöglicht außerdem eine Überprüfung des Servers über ein Zertifikat. Für Webseiten mit Logins, persönlichen Daten oder Zahlungen ist HTTPS daher unverzichtbar und sollte grundsätzlich dem unverschlüsselten HTTP vorgezogen werden. Wer heute eine Webseite besucht oder betreibt, sollte deshalb möglichst auf HTTPS setzen.
