In Ruhe erklärt
Virenscanner mit HTTPS-Prüfung und Sicherheitsgeräte in Firmennetzen wollen auch in verschlüsselte Verbindungen hineinsehen. Dafür stellen sie sich in die Mitte: Gegenüber deinem Browser treten sie als Website auf, gegenüber der Website als Browser. Die eine verschlüsselte Verbindung endet bei ihnen, die andere bauen sie selbst neu auf. Die US-Behörde für Cybersicherheit CISA nennt das beim Namen: ein Angriff in der Mitte der Verbindung (Man-in-the-Middle), hier mit Absicht eingerichtet.
Damit dein Browser dabei nicht warnt, muss auf deinem Gerät ein zusätzliches Stammzertifikat als vertrauenswürdig eingetragen sein: das des Programms oder das deiner Firma. Ein Virenscanner bringt es bei der Installation mit, im Firmennetz richtet es die IT ein. Ohne ein solches Zertifikat kann niemand unterwegs die Verschlüsselung unbemerkt aufbrechen, auch nicht der Betreiber eines WLANs — dein Browser würde warnen.
Für die Website sieht so eine Verbindung anders aus: Die Begrüßung kommt vom Programm, nicht von deinem Browser. Der TLS-Fingerabdruck und der HTTP/2-Fingerabdruck passen dann nicht mehr zur Browserkennung. Genau an diesem Widerspruch maßen Forscher 2017, wie verbreitet das Aufbrechen ist — an den Update-Servern von Firefox, bei großen Onlineshops und im Netz von Cloudflare. Sie fanden es mehr als zehnmal so oft wie zuvor geschätzt.
HexWarte kann das Aufbrechen nicht feststellen, nur einen Widerspruch zeigen. Nennt die Karte zu HTTP/2 in Kammer 1 eine andere Browserfamilie als deine Browserkennung, führt sie eine aufbrechende Software als eine mögliche Erklärung an, neben einer verstellten Kennung. Welche zutrifft, lässt sich von außen nicht entscheiden.