Wie funktioniert HTTPS? TLS und das Schloss erklärt

Wenn du eine Adresse mit https:// aufrufst, baut dein Browser keine offene Leitung zum Server auf, sondern eine verschlüsselte. Möglich macht das TLS (Transport Layer Security) – ein Protokoll, das vor dem eigentlichen Datenverkehr einen kurzen Aushandlungsprozess durchführt, den sogenannten Handshake. Danach ist alles zwischen Browser und Server verschlüsselt: Passwörter, Formulare, Cookies. Niemand auf der Strecke kann mitlesen.

HTTP gegen HTTPS – der eine Buchstabe, der alles ändert

HTTP (Hypertext Transfer Protocol) überträgt Daten im Klartext über Port 80. Wer im selben WLAN sitzt oder Zugriff auf einen Knotenpunkt der Leitung hat, kann bei HTTP mitlesen und sogar Inhalte verändern. HTTPS ist dasselbe Protokoll, nur durch TLS abgesichert und über Port 443 – das „S“ steht für Secure.

Der Unterschied ist keine Kleinigkeit: Bei HTTP wandert dein Login als lesbarer Text durchs Netz, bei HTTPS als verschlüsselter Datenstrom, der ohne den passenden Schlüssel wertlos ist. Deshalb stufen Browser reine HTTP-Seiten heute als „nicht sicher“ ein.

Die drei Aufgaben von TLS

TLS löst nicht nur ein Problem, sondern drei auf einmal – ein Klassiker in der Fachinformatiker-Prüfung, weil viele nur an „Verschlüsselung“ denken:

• Vertraulichkeit: Die Daten werden verschlüsselt, damit Dritte sie nicht lesen können.
• Authentizität: Ein digitales Zertifikat beweist, dass der Server wirklich zu der Domain gehört, die in der Adressleiste steht – nicht zu einem Angreifer, der sich dazwischenschaltet.
• Integrität: Eine Prüfsumme stellt sicher, dass unterwegs kein Byte manipuliert wurde. Kommt etwas verändert an, bricht die Verbindung ab.

Der TLS-Handshake Schritt für Schritt

Bevor die erste Nutz-Information fließt, handeln Browser (Client) und Server in Millisekunden aus, wie sie sich absichern. Vereinfacht läuft das so ab:

1. Client Hello: Dein Browser meldet sich und schickt mit, welche TLS-Versionen und welche Verschlüsselungsverfahren (Cipher Suites) er beherrscht – dazu eine Zufallszahl.
2. Server Hello: Der Server wählt daraus ein Verfahren aus, schickt seine eigene Zufallszahl und sein Zertifikat mit dem öffentlichen Schlüssel.
3. Zertifikatsprüfung: Der Browser prüft, ob das Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle (CA) signiert wurde und zur Domain passt. Fällt die Prüfung durch, siehst du die rote Warnseite.
4. Schlüsselaustausch: Beide Seiten leiten aus den ausgetauschten Werten denselben geheimen Sitzungsschlüssel ab – ohne ihn je offen zu übertragen.
5. Fertig: Ab jetzt ist die Verbindung mit diesem Sitzungsschlüssel verschlüsselt, und die eigentliche Webseite wird geladen.

Asymmetrisch und symmetrisch – warum HTTPS beides braucht

Hier steckt der clevere Trick, den viele Erklärungen überspringen. TLS kombiniert zwei Arten von Verschlüsselung, weil jede für sich einen Nachteil hätte:

• Asymmetrische Verschlüsselung arbeitet mit einem Schlüsselpaar: Was der öffentliche Schlüssel verschlüsselt, kann nur der private wieder öffnen. Das ist sicher für den Erstkontakt, aber rechenintensiv und langsam.
• Symmetrische Verschlüsselung (etwa mit dem Verfahren AES) nutzt einen einzigen gemeinsamen Schlüssel. Sie ist sehr schnell, aber beide Seiten müssen denselben Schlüssel kennen.

TLS löst das Henne-Ei-Problem so: Der langsame asymmetrische Teil dient nur dazu, im Handshake sicher den gemeinsamen Sitzungsschlüssel zu vereinbaren. Danach übernimmt die schnelle symmetrische Verschlüsselung den kompletten Datenverkehr. Beste aus beiden Welten – sicherer Start, flotter Betrieb.

Was das Schloss im Browser wirklich bedeutet

Das Schloss-Symbol in der Adressleiste sagt genau eine Sache: Die Verbindung zu dieser Seite ist verschlüsselt. Es sagt nicht, dass die Website seriös oder der Betreiber ehrlich ist. Genau das ist der Denkfehler, der teuer wird.

Denn heute laden über 95 Prozent aller Seiten in Chrome über HTTPS – auch nahezu jede Phishing-Seite. Betrüger holen sich für ihre gefälschten Login-Seiten problemlos ein kostenloses Zertifikat und bekommen damit dasselbe Schloss angezeigt wie deine Bank. Das Schloss beweist also die verschlüsselte Leitung, nicht die Vertrauenswürdigkeit des Empfängers.

Weil das Symbol so oft missverstanden wurde, hat Google es mit Chrome 117 (September 2023) durch ein neutrales Einstellungs-Icon (zwei Schieberegler, „Tune“) ersetzt. Ein Klick darauf zeigt weiterhin Zertifikats- und Berechtigungsdetails – nur ohne die falsche Botschaft „hier bist du sicher“. Die Lehre bleibt: Das Schloss schützt den Transportweg, nicht vor der falschen Website. Prüf immer die Domain selbst.

TLS 1.3 – was sich seit 2018 geändert hat

Die aktuelle Generation ist TLS 1.3 (standardisiert 2018 als RFC 8446). Sie ist schneller und sicherer als die noch verbreitete Version 1.2:

• Weniger Runden: Der Handshake braucht nur noch einen Hin-und-Zurück-Umlauf (1-RTT) statt zwei. Das verkürzt den Verbindungsaufbau spürbar.
• Nur noch starke Verfahren: Veraltete und unsichere Bausteine wie das statische RSA-Verfahren, SHA-1, MD5 und die TLS-Kompression sind komplett entfernt.
• Forward Secrecy als Pflicht: Selbst wenn ein privater Schlüssel später gestohlen wird, lassen sich damit alte, mitgeschnittene Sitzungen nicht nachträglich entschlüsseln.

Die ältere Version SSL (der Vorgänger von TLS) gilt seit Jahren als unsicher und wird nicht mehr verwendet – auch wenn im Alltag oft noch „SSL-Zertifikat“ gesagt wird, meint man technisch fast immer TLS.

Woran du eine belastbare HTTPS-Verbindung erkennst

Ein paar praktische Handgriffe, die über das reine Schloss hinausgehen:

• Lies die Domain langsam von rechts nach links vor dem ersten Schrägstrich. bank.beispiel.de gehört zu beispiel.de – beispiel.de.betrug.xyz dagegen zu betrug.xyz.
• Klick das Schloss- bzw. Tune-Icon an und schau dir an, für welche Domain das Zertifikat ausgestellt ist.
• Eine offene Warnseite („Ihre Verbindung ist nicht privat“) nie einfach wegklicken – sie bedeutet, dass die Zertifikatsprüfung fehlgeschlagen ist.

Häufige Fragen

Was bedeutet das Schloss-Symbol im Browser?

Es zeigt nur, dass die Verbindung zur Seite verschlüsselt ist – nicht, dass die Website seriös ist. Auch Phishing-Seiten haben ein Schloss. Prüfe deshalb immer zusätzlich die Domain selbst.

Was ist der Unterschied zwischen HTTP und HTTPS?

HTTP überträgt Daten im Klartext über Port 80, HTTPS verschlüsselt sie mit TLS über Port 443. Bei HTTP können Dritte im Netz mitlesen, bei HTTPS nicht.

Was ist der Unterschied zwischen SSL und TLS?

TLS ist der Nachfolger von SSL. SSL gilt seit Jahren als unsicher und wird nicht mehr genutzt. Im Alltag sagt man oft noch SSL-Zertifikat, technisch ist damit fast immer TLS gemeint.

Was passiert beim TLS-Handshake?

Browser und Server einigen sich in Millisekunden auf ein Verschlüsselungsverfahren, der Server weist sich per Zertifikat aus, und beide Seiten leiten einen gemeinsamen geheimen Sitzungsschlüssel ab – erst danach werden Daten übertragen.

Warum nutzt HTTPS zwei Arten der Verschlüsselung?

Die asymmetrische Verschlüsselung ist sicher, aber langsam und wird nur genutzt, um im Handshake den Schlüssel auszutauschen. Die schnelle symmetrische Verschlüsselung übernimmt danach den eigentlichen Datenverkehr.