Was ist HTTPS?
Kurzantwort
HTTPS ist die verschlüsselte Variante des Übertragungsprotokolls HTTP, über das Browser und Webserver Daten austauschen. Beim Verbindungsaufbau weist sich der Server mit einem Zertifikat aus. Anschließend werden Inhalte geschützt übertragen. HTTPS ist heute der Standard, verhindert jedoch nicht, dass eine Website betrügerisch oder inhaltlich unseriös sein kann.
HTTPS schützt die Verbindung zwischen deinem Browser und einer Website. Für Unternehmen zählt dabei nicht nur das Schloss-Symbol in der Adresszeile: Entscheidend ist, dass alle Seiten, Weiterleitungen und eingebundenen Ressourcen vollständig über HTTPS ausgeliefert werden.
1. Was bedeutet HTTPS?
HTTPS steht für Hypertext Transfer Protocol Secure. Es ist die abgesicherte Form von HTTP, dem Protokoll für die Übertragung von Webseiten, Bildern, Formulardaten und anderen Inhalten zwischen Browser und Webserver. Das zusätzliche „S“ steht für „Secure“, also für die geschützte Übertragung.
Ein HTTPS-Aufruf ist am Präfix https:// in der Adresszeile erkennbar. Moderne Browser zeigen meist zusätzlich ein Symbol für die Verbindungseinstellungen an. Das klassische Schloss wird je nach Browser nicht mehr überall gleich dargestellt. Maßgeblich bleibt deshalb die Adresse mit https://.
1.1 Für was steht HTTPS genau?
Der Name beschreibt die technische Aufgabe recht präzise: HTTP überträgt Webinhalte, während HTTPS die Übertragung mit TLS absichert. Häufig ist noch von SSL-Verschlüsselung oder einem SSL-Zertifikat die Rede. Technisch wird heute TLS verwendet, doch der ältere Begriff SSL hat sich im allgemeinen Sprachgebrauch gehalten.
2. HTTPS einfach erklärt
Stell dir HTTP wie eine offen lesbare Postkarte vor. Personen oder Systeme entlang des Übertragungswegs könnten den Inhalt grundsätzlich einsehen oder verändern. HTTPS ähnelt einem verschlossenen Umschlag: Außen bleiben notwendige Verbindungsinformationen sichtbar, der eigentliche Inhalt ist jedoch verschlüsselt.
Diese Verschlüsselung schützt beispielsweise:
Merksatz zur Verschlüsselung
HTTPS schützt Daten während der Übertragung zwischen Browser und Webserver. Es bestätigt jedoch weder die Qualität eines Angebots noch die Seriosität des Betreibers.
3. Was passiert bei HTTPS?
Bevor die eigentliche Website geladen wird, führen Browser und Server einen TLS-Verbindungsaufbau durch. Dabei einigen sich beide Seiten auf ein geeignetes Verschlüsselungsverfahren. Der Server übermittelt außerdem sein digitales Zertifikat, damit der Browser prüfen kann, ob das Zertifikat zur aufgerufenen Domain gehört und von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde.
Der Ablauf lässt sich in vier Schritte gliedern:
| Schritt | Was geschieht? |
|---|---|
| 1. Anfrage | Der Browser fordert eine Verbindung zur HTTPS-Adresse des Servers an. |
| 2. Identitätsprüfung | Der Server sendet sein Zertifikat. Der Browser prüft Domain, Gültigkeit und Zertifikatskette. |
| 3. Schlüsselaustausch | Browser und Server vereinbaren Schlüssel und Verfahren für die verschlüsselte Sitzung. |
| 4. Datenübertragung | Seiteninhalte, Formulardaten und weitere Informationen werden verschlüsselt übertragen. |
Dieser Prozess läuft normalerweise in einem Bruchteil einer Sekunde ab. Schlägt die Zertifikatsprüfung fehl, zeigt der Browser eine Warnung. Typische Ursachen sind ein abgelaufenes Zertifikat, eine falsche Domain im Zertifikat oder eine unvollständige Zertifikatskette.
4. Was ist sicher: HTTP oder HTTPS?
HTTPS ist sicherer als HTTP. Bei einer unverschlüsselten HTTP-Verbindung können Dritte im selben WLAN oder an anderen Stellen des Übertragungswegs Inhalte potenziell mitlesen und manipulieren. Bei HTTPS sind die übertragenen Inhalte verschlüsselt und gegen unbemerkte Veränderungen abgesichert.
Besonders kritisch wird HTTP bei Kontaktformularen, Login-Seiten und Onlineshops. Ein Formular kann optisch einwandfrei funktionieren und trotzdem Daten unverschlüsselt übertragen. Der Nutzer bemerkt das Problem oft erst an der Browserwarnung oder gar nicht. Prüfe deshalb nicht nur die Startseite, sondern mindestens ein Formular, einen Login und mehrere typische Unterseiten.
5. Was steckt hinter vollständigem HTTPS?
Eine Website ist erst vollständig umgestellt, wenn alle internen URLs und Ressourcen HTTPS verwenden. Wird die HTML-Seite verschlüsselt geladen, bindet aber ein Bild, Skript, Stylesheet oder Schriftart über HTTP ein, entsteht sogenannter Mixed Content. Browser können diese Ressourcen blockieren oder eine Sicherheitswarnung anzeigen.
Genau an diesem Punkt kippen viele Umstellungen. Die Startseite zeigt HTTPS, während alte Bilder in Ratgeberartikeln, externe Skripte oder vergessene Landingpages weiterhin HTTP verwenden. Eine manuelle Stichprobe übersieht solche Ressourcen leicht, besonders bei gewachsenen Websites mit mehreren Seitentypen.
Der Technik-Crawler mit HTTPS-Checks prüft eine Domain auf rund 100 technische Punkte. Dazu gehören erreichbare HTTP-Versionen, Statuscodes und weitere technische Konfigurationen. Relevante URLs können zusätzlich aus Ranking-, Search-Console-, Backlink- und Ads-Daten ermittelt werden, sodass auch schwach verlinkte Landingpages in die Prüfung einfließen.
Eine saubere Umstellung umfasst mindestens diese Punkte:
Wenn du einen ersten Überblick brauchst, kannst du deine Website direkt auf Technik, Metadaten und weitere SEO-Grundlagen prüfen:
6. Was ist richtig: HTTP oder HTTPS?
HTTPS ist für öffentliche Websites die richtige Variante. HTTP ohne Verschlüsselung ist technisch überholt und führt besonders bei Formularen zu sichtbaren Browserwarnungen. Selbst reine Informationsseiten sollten über HTTPS laufen, weil auch dort Cookies, Suchanfragen oder individuelle Sitzungsdaten übertragen werden können.
HTTP sollte nach einer Umstellung nicht parallel als eigenständige Website erreichbar bleiben. Jede alte Adresse muss auf ihr genaues HTTPS-Gegenstück weiterleiten. Eine pauschale Weiterleitung aller URLs auf die Startseite ist keine saubere Lösung, weil Nutzer und Suchmaschinen dadurch den Bezug zur ursprünglich aufgerufenen Unterseite verlieren.
Der Technik-Check der Performance Suite empfiehlt deshalb, HTTP-Anfragen automatisch auf HTTPS weiterzuleiten, Zertifikate rechtzeitig zu erneuern und die Erreichbarkeit regelmäßig zu überwachen. Optional kann HSTS aktiviert werden. Diese Serveranweisung teilt dem Browser mit, dass die Domain ausschließlich verschlüsselt aufgerufen werden soll.
Du möchtest technische Fehler laufend erkennen, statt einzelne URLs manuell zu prüfen?
7. HTTPS und SEO
HTTPS gilt als Rankingsignal, sein direkter Einfluss ist jedoch begrenzt. Bei zwei ansonsten vergleichbaren Seiten kann die verschlüsselte Variante einen Vorteil haben. In der Praxis wiegen Vertrauen, störungsfreie Nutzung und eine sauber umgesetzte technische Migration meist schwerer als der isolierte Rankingfaktor.
Eine Browserwarnung vor dem Aufruf kann Besucher bereits vor dem ersten Seitenkontakt verlieren. Das betrifft nicht nur organischen Traffic. Auch Nutzer aus Google Ads, Social Media, Newslettern und direkten Zugriffen landen auf derselben Website. Ein abgelaufenes Zertifikat kann deshalb mehrere Marketingkanäle gleichzeitig beeinträchtigen. In einem ausgewerteten Fehlerbild führte ein abgelaufenes Zertifikat zu Browserwarnungen, durch die Besucher die Website wieder verließen.
SEO-Probleme entstehen außerdem, wenn HTTP- und HTTPS-Seiten gleichzeitig indexierbar sind. Suchmaschinen können beide Varianten als getrennte URLs behandeln. Das verteilt interne und externe Signale, erzeugt mögliche Duplikate und macht die Auswertung von Rankings und Traffic unnötig kompliziert.
8. So prüfst du deine Website
Öffne zunächst mehrere URLs direkt mit http://. Jede Adresse sollte automatisch mit dem Statuscode 301 auf dieselbe Seite unter https:// weiterleiten. Prüfe danach im Browser, ob Zertifikatsfehler oder blockierte Inhalte gemeldet werden.
Für eine belastbare technische Kontrolle gehst du in dieser Reihenfolge vor:
Der kostenlose Website-Check liefert eine erste Einschätzung. Bei großen Domains, mehreren Sprachversionen oder einem Relaunch reicht eine Stichprobe jedoch nicht. Dort sollte ein vollständiger Crawl fest zum Abnahmeprozess gehören.
9. So gehen wir vor
Bei der Online Solutions Group GmbH prüfen wir zuerst, ob HTTP-URLs korrekt weiterleiten, das Zertifikat gültig ist und sämtliche internen Ressourcen verschlüsselt geladen werden. Die Performance Suite überwacht die technische Konfiguration anschließend regelmäßig und meldet neue Fehler, bevor sie über Wochen unbemerkt bleiben. Bei komplexeren Websites ordnen wir die Funde nach betroffenen Landingpages und Geschäftswirkung, statt lediglich eine lange Fehlerliste abzugeben.
Wenn HTTPS nur ein Teil einer größeren technischen Baustelle ist, verbindet die OSG die Prüfung mit einem technischen SEO-Audit. Grundbegriffe rund um Crawling, Zertifikate und Suchmaschinenoptimierung findest du ergänzend im SEO-Lexikon.
10. Häufige Fragen zu HTTPS
Ist HTTPS wirklich sicher?
HTTPS schützt die Datenübertragung zwischen Browser und Server durch Verschlüsselung und Integritätsprüfungen. Es schützt jedoch nicht vor betrügerischen Inhalten, Schadsoftware auf dem Endgerät oder einem kompromittierten Webserver.
Sind alle HTTPS-Seiten seriös?
Nein. Ein gültiges Zertifikat bestätigt vor allem, dass die Verbindung verschlüsselt ist und das Zertifikat zur Domain passt. Auch betrügerische Websites können HTTPS verwenden.
Was passiert ohne HTTPS?
Ohne HTTPS werden Daten unverschlüsselt übertragen. Dritte im Übertragungsweg könnten Inhalte mitlesen oder verändern, und Browser können die Website als nicht sicher kennzeichnen.
Ist HTTPS dasselbe wie ein SSL-Zertifikat?
Nein. HTTPS ist das abgesicherte Übertragungsprotokoll. Das Zertifikat ist ein Bestandteil des Verbindungsaufbaus. Technisch kommt heute meist TLS zum Einsatz, auch wenn weiterhin häufig von SSL-Zertifikaten gesprochen wird.
Warum wird trotz HTTPS eine Warnung angezeigt?
Mögliche Ursachen sind ein abgelaufenes Zertifikat, eine falsche Domain im Zertifikat, eine fehlerhafte Zertifikatskette oder unverschlüsselt eingebundene Inhalte. Die konkrete Ursache steht meist in den Sicherheitsinformationen des Browsers.
Muss jede Website HTTPS verwenden?
HTTPS ist heute für jede öffentliche Website zu empfehlen und bei Formularen, Logins oder Bestellprozessen unverzichtbar. Auch reine Informationsseiten profitieren von geschützter Übertragung und höherem Nutzervertrauen.
Wie erkenne ich Mixed Content?
Browser melden Mixed Content in den Entwicklertools oder blockieren betroffene Ressourcen. Ein vollständiger Website-Crawl findet zusätzlich HTTP-Adressen in Bildern, Skripten, Stylesheets und internen Links.
Die wichtigste Entscheidung ist einfach: Verwende HTTPS auf der gesamten Domain und kontrolliere nicht nur das Zertifikat, sondern auch Weiterleitungen und eingebundene Inhalte. Gerade nach Relaunches, Änderungen am Server oder neuen externen Skripten sollte die Prüfung wiederholt werden.
Du möchtest wissen, ob deine Website technisch sauber verschlüsselt ausgeliefert wird? Im kostenlosen Potenzialcheck ordnen wir die wichtigsten technischen Funde ein und zeigen dir, welche Maßnahmen zuerst sinnvoll sind. Das Erstgespräch ist unverbindlich und ohne Verkaufsdruck.
Keine Kommentare vorhanden