SSL/TLS: Wie das Web sicher bleibt

SSL/TLS: Wie das Web sicher bleibt

Jedes Mal, wenn Sie eine Website mit dem kleinen Schloss-Symbol in der Adressleiste Ihres Browsers besuchen, nutzen Sie SSL/TLS. Es ist die Technologie, die Ihre Passwörter, Kreditkartennummern und privaten Nachrichten sicher hält, während sie über das Internet reisen. Stellen Sie es sich als einen sicheren Umschlag für Ihre digitalen Briefe vor — nur der beabsichtigte Empfänger kann ihn öffnen.

Was tatsächlich passiert, wenn Sie eine sichere Seite besuchen

Wenn Ihr Browser über HTTPS eine Verbindung zu einer Website herstellt, findet im Hintergrund ein kurzer Austausch statt. Die Website sendet einen digitalen Ausweis — ein Zertifikat — der ihren öffentlichen Schlüssel enthält. Ihr Browser prüft diesen Ausweis anhand einer Liste vertrauenswürdiger Behörden (wie ein Türsteher, der eine Gästeliste kontrolliert). Wenn alles stimmt, einigen sich Ihr Browser und die Website auf einen geheimen Code, mit dem sie alle Daten, die zwischen ihnen fließen, verschlüsseln. Ab diesem Zeitpunkt ist alles verschlüsselt — selbst wenn jemand die Verbindung abfängt, sieht er nur Kauderwelsch.

Nicht alle Zertifikate sind gleich

Es gibt verschiedene Verifizierungsstufen für diese digitalen Ausweise. Die grundlegendste bestätigt nur, dass die Website die Domain besitzt — wie ein Bibliotheksausweis. Die nächste Stufe verifiziert die tatsächliche Organisation hinter der Site — eher wie ein Führerschein. Die höchste Stufe erforderte früher eine strenge Hintergrundprüfung und ließ die Adressleiste des Browsers grün werden, aber moderne Browser haben auf diesen visuellen Indikator verzichtet. Für das tägliche Surfen ist die Grundstufe völlig ausreichend — entscheidend ist, dass die Verbindung verschlüsselt ist.

Die Entwicklung von Sicherheitsstandards

Die dahinterstehende Technologie hat mehrere Generationen durchlaufen. Ältere Versionen (SSL und frühes TLS) hatten Schwachstellen, die Angreifer ausnutzen konnten. Der heutige Standard ist TLS 1.3, der schneller und sicherer ist. Er reduziert den Hin- und Her-Austausch zwischen Ihrem Browser und der Website, sodass sichere Verbindungen schneller hergestellt werden. Er entfernt auch veraltete Verschlüsselungsmethoden, die nicht mehr als sicher gelten. Wenn Sie eine Website betreiben, ist die Sicherstellung der Unterstützung der neuesten Version eine der einfachsten Möglichkeiten, Ihre Besucher zu schützen.

Wer stellt diese digitalen Ausweise aus?

Zertifizierungsstellen (Certificate Authorities) sind die Organisationen, die für Websites bürgen. Ihr Browser wird mit einer Liste vertrauenswürdiger Stellen ausgeliefert — Unternehmen und gemeinnützige Organisationen, die geprüft wurden, um Zertifikate auszustellen. Einer der größten Gamechanger der letzten Jahre war Let's Encrypt, eine gemeinnützige Organisation, die Basis-Zertifikate kostenlos bereitstellt und den Erneuerungsprozess automatisiert. Dies hat HTTPS für jedermann zugänglich gemacht, nicht nur für große Unternehmen mit Sicherheitsbudgets. Es gibt auch ein öffentliches Protokollsystem namens Certificate Transparency, das jedem ermöglicht, zu sehen, welche Zertifikate ausgestellt wurden, was es für böswillige Akteure schwieriger macht, gefälschte Zertifikate für legitime Sites zu erstellen.

Einfache Schritte für mehr Sicherheit

Wenn Sie eine Website verwalten, gibt es ein paar einfache Dinge, die Sie tun können. Nutzen Sie moderne Verschlüsselungsstandards — die aktuellen Best Practices sind etabliert und weit verbreitet unterstützt. Aktivieren Sie HSTS, was Browsern anweist, sich nur über HTTPS mit Ihrer Site zu verbinden, niemals über reines HTTP. Richten Sie die automatische Zertifikatsverlängerung ein, damit Sie nie versehentlich eines ablaufen lassen. Und erwägen Sie OCSP Stapling, eine technische Optimierung, die den Zertifikatsverifizierungsprozess für Ihre Besucher beschleunigt.

Aus vergangenen Fehlern lernen

Im Laufe der Jahre haben Forscher Schwachstellen mit einprägsamen Namen wie Heartbleed, POODLE und BEAST entdeckt. Dies waren ernste Fehler in älteren Protokollversionen. Die gute Nachricht: Das moderne TLS 1.3 wurde mit diesen Lektionen im Hinterkopf entworfen — es unterstützt schlichtweg nicht die schwachen Verschlüsselungsmethoden, die diese Angriffe möglich machten. Die Kernaussage: Halten Sie Ihre Systeme aktuell, deaktivieren Sie alte Protokolle, und Sie vermeiden die allermeisten bekannten Probleme.