Google erhöht den Druck auf Webmaster, die Verbindung zu ihrer Website zu verschlüsseln. Bereits seit 2013 gilt HTTPS als Ranking-Signal. Ab Januar 2017 wird Googles Browser Chrome immer mehr „unsichere“ Websites auffällig kennzeichnen. Inwieweit das Ihren Internetauftritt betrifft und was das für Sie bedeutet, lesen Sie in diesem Beitrag.
Inhalt
Was ist HTTPS?
Rein technisch ist HTTPS ein Kommunikationsprotokoll im Internet um Daten abhörsicher zu übertragen. Das Ziel ist, eine vertrauliche Kommunikation zwischen dem Besucher (bzw. dem Browser) und der besuchten Website herzustellen. Dies wird hauptsächlich durch eine Verschlüsselung der Übertragung und eine Authentifizierung der besuchten Website gewährleistet.
Ohne eine Verschlüsselung werden Daten im Klartext übertragen. Das ist dann kritisch, wenn personenbezogene Daten, Kreditkarteninformationen oder Passwörter übermittelt werden müssen. Nutzen Sie beispielsweise eines der immer beliebteren öffentlichen WLANs, riskieren Sie, dass diese Informationen von Dritten mitgelesen und missbraucht werden. Die Authentifizierung dient der Sicherstellung, dass der besuchte Internetauftritt auch wirklich die gewünschte Website ist und niemand Ihre Anfrage zu einer Kopie umgeleitet oder manipuliert hat.
Wichtig: HTTPS sichert nur das Übertragen der Daten, nicht Ihre Website an sich. Diese wird durch HTTPS keinesfalls seltener zum Opfer von Hacker- oder Brute-Force-Angriffen. Hierfür müssen Sie andere Vorkehrungen treffen.
Wieso wird HTTPS auch für Ihre Website wichtig?
Fragen Sie sich, warum HTTPS plötzlich so in den Vordergrund rückt, wo es doch all die Jahre auch ohne das Verschlüsseln von Daten geklappt hat?
Erkundigt man sich weiter zu diesem Thema, fällt schnell auf, dass Google bereits 2013 die HTTPS-Sicherung in das Google-Ranking aufgenommen hat. Mehr noch, Google will in naher Zukunft alle Websites deutlich als unsicher kennzeichnen, deren Verbindung nicht verschlüsselt ist.
Momentan sind Websites, die nicht über HTTPS laufen, in den verschiedenen Browsern nur bedingt zu erkennen. Neben der URL in der Adresszeile wird in Chrome und Firefox lediglich ein kleines Informationssymbol angezeigt, über welches per Klick die Information erscheint, dass die Seite keine sichere Verbindung liefert. In Safari gibt es bisher noch keinen Hinweis.
Information in Chrome
Information in Firefox
Hat eine Website hingegen eine sichere HTTPS-Verbindung, so wird diese in allen Browsern durch ein (in Chrome und Firefox grünes) Schloss-Symbol angezeigt.
HTTPS in Chrome, Firefox und Safari
Ab Januar 2017 will Google Websites mit unverschlüsselten Verbindungen, die z.B. Kreditkarteninformationen und Passwörter abfragen, besonders Kennzeichnen. Statt des einfachen Informationssymbols wird dann zusätzlich die Nachricht „Not secure“, sprich „unsicher“ in der Adresszeile erscheinen.
Quelle: Google
Diese Nachricht soll die Besucher einer HTTP-Website schnell auf die möglichen Risiken bei der Datenübertragung hinweisen. Auch wenn diese Kennzeichnung vorerst nur einzelne Seiten betrifft, will Google diese Maßnahme schnell ausweiten. Es ist nicht auszuschließen, dass diese Kennzeichnung bald die ganze Website betrifft.
Google kündigte zudem an, dass aus dem Informationssymbol in der Adresszeile in späteren Chome-Versionen ein Warnsymbol werden soll. Dieses wird dann, zusammen mit dem Schriftzug „Not secure“, komplett rot gefärbt und erregt so deutlich mehr Aufmerksamkeit. Das Warnsymbol wird bisher zum Anzeigen defekter HTTP-Verbindungen genutzt.
Quelle: Google
Um den deutschen Datenschutzbestimmungen gerecht zu werden, ist es sowieso mehr als empfehlenswert, dass Sie das Login oder die Kontakt- und Shop-Formulare, bei denen personenbezogene Daten übertragen werden, durch eine Verschlüsselung vor dem Abfangen durch Dritte schützen.
Was brauche ich für eine HTTPS-Verbindung?
Das Einrichten einer HTTPS-Verbindung ist nicht so einfach erledigt, wie das Installieren eines Plug-ins. Sie benötigen zunächst ein SSL-Zertifikat, welches von Ihrem Hoster angeboten bzw. auf dem Server installiert wird. Hierbei gilt: Je sicherer das Zertifikat, desto teurer ist es auch. Hier ein Beispiel der SSL-Zertifikate, die bei Hosteurope angeboten werden.
Seit neuestem gibt eine kostenfreie Open-Source-Alternative namens Let’s Encrypt, die SSL-Zertifikate für Jedermann zur Verfügung stellt. Noch nicht jeder Hoster unterstützt dieses Zertifikat. Eine Liste bietet einen Überblick über Internetdienstleister, die Let’s Encrypt bereits anbieten. Oft kann bei dem Support des Hoster angefragt werden, ob sie fremde Zertifikate akzeptieren und bei dem Einfügen behilflich sein können.
Sobald das Zertifikat eingefügt ist, muss WordPress auf die neue Webadresse umgestellt werden. Dabei darf es kein Element oder kein Bild geben, das noch über HTTP geladen wird. Ansonsten bleibt die Verbindung zur Website unsicher.
Fazit
Googles Vorhaben, eine sichere Datenübertragung bei Websites durchzusetzen, ist grundsätzlich zu begrüßen. Riskant dabei ist lediglich, dass ein falsches Sicherheitsgefühl bei den Webmastern entsteht. Denn nur die Übertragung wird verschlüsselt, nicht aber die Daten oder die Website selbst. Ein erhöhter Schutz vor Hacker-Angriffen oder ähnlichem besteht durch HTTPS höchstens indirekt, weil keine Passwörter abgefangen werden können. Ihre WordPress Agentur klärt auf!
Quelle Bilder: Eigene Screenshots und Google