Kurz gesagt
HTTPS sorgt dafür, dass niemand unterwegs mitliest oder verändert, was zwischen Browser und Server läuft, und dass der Server zu dem Namen in der Adresszeile gehört. Ob hinter diesem Namen jemand Ehrliches steht, sagt es nicht: Auch Phishing-Seiten haben meist ein gültiges Zertifikat. Sichtbar bleibt außerdem, mit welchem Server du sprichst, wann und wie viel. Als Betreiber musst du selbst dafür sorgen, dass Zertifikate automatisch erneuert werden, dass HSTS den Rückfall auf unverschlüsseltes HTTP verhindert und dass deine Seiten nichts mehr über http:// nachladen.
Was HTTPS zusichert
HTTPS ist das Web-Protokoll HTTP, verpackt in TLS. Der Standard für TLS 1.3 nennt drei Zusagen: Der Server weist nach, dass er zu dem Namen gehört, den du aufrufst. Was danach übertragen wird, sehen nur die beiden Enden. Und niemand kann es unbemerkt verändern. Das soll selbst gelten, wenn ein Angreifer das ganze Netz kontrolliert, etwa ein gefälschtes WLAN.
Den Nachweis liefert ein Zertifikat: Eine Zertifizierungsstelle, der dein Browser vertraut, bestätigt darin, dass der Inhaber den Namen kontrolliert. Welche TLS-Fassung deine Verbindung zu HexWarte nutzt, zeigt Kammer 1 des Browser-Einblicks ohne Klick.
Was HTTPS nicht zusichert
- Dass die Seite ehrlich ist. Ein Zertifikat bekommt, wer einen Namen kontrolliert — auch ein Betrüger für seinen eigenen, ähnlich klingenden Namen. Von den Phishing-Seiten, die der Dienstleister PhishLabs im zweiten Quartal 2021 erfasste, liefen laut Bericht der Anti-Phishing Working Group 82 Prozent über HTTPS. Das Chrome-Team schrieb 2023, fast alle Phishing-Seiten nutzten HTTPS.
- Dass Menschen das Schloss richtig deuten. In einer Umfrage von Google-Forschern mit 1.880 Teilnehmenden hatten 89 Prozent falsche Vorstellungen davon, was es bedeutet. Chrome hat das Schloss deshalb 2023 durch ein neutrales Symbol für die Seiteneinstellungen ersetzt.
- Dass niemand etwas über die Verbindung erfährt. Die Adresse des Servers, Zeitpunkt und Datenmenge bleiben sichtbar. Den Namen der Seite nennt der Browser beim Verbindungsaufbau meist offen, und das Nachschlagen im DNS (Namensauflösung) kann ihn ebenfalls verraten. Encrypted Client Hello verschlüsselt ihn, wo Browser und Website es unterstützen; mehr in Was das Nachschlagen von Namen verrät. Wer unterwegs was sieht, zeigt Wer sieht was?.
- Was auf dem Server geschieht. Eine Lücke in der Anwendung oder ein unsicher gesetztes Cookie bleibt, was es ist.
Zertifikate: DV, OV und EV
Die Verschlüsselung ist bei allen dreien gleich, sie unterscheiden sich nur darin, was vorher geprüft wurde. Selbst die Regeln für EV-Zertifikate halten fest, dass ein solches Zertifikat nicht zusichert, dass die genannte Firma ehrlich ist oder dass Geschäfte mit ihr „sicher“ sind. Chrome begründete den Umzug ins Infofenster 2019 so: Die Anzeige schützte Nutzer nicht wie beabsichtigt.
Certificate Transparency: Jedes Zertifikat wird öffentlich
Zertifizierungsstellen tragen ausgestellte Zertifikate in öffentliche Protokolle ein, an die nur angehängt werden kann. Chrome, Safari und inzwischen auch Firefox nehmen ein öffentlich vertrautes Zertifikat nur an, wenn es diesen Eintrag belegt. Das verhindert keine falsch ausgestellten Zertifikate, macht sie aber auffindbar. Nachsehen muss, wen es betrifft; der Standard nennt ausdrücklich die Inhaber der Namen.
Du kannst also in den Protokollen suchen, welche Zertifikate es für deine Namen gibt, etwa über crt.sh. Jeder andere kann das auch: Ein Name wie intern-buchhaltung.example.org ist dort lesbar, sobald er ein öffentliches Zertifikat hat. Vorab festlegen, welche Zertifizierungsstellen für deine Namen ausstellen dürfen, kannst du mit einem CAA-Eintrag im DNS.
Laufzeiten werden kürzer
Wie lange ein Zertifikat höchstens gilt, legen die Basisanforderungen des CA/Browser Forums fest, des Gremiums aus Zertifizierungsstellen und Browserherstellern. Seit dem 15. März 2026 sind es 200 Tage, ab dem 15. März 2027 werden es 100 und ab dem 15. März 2029 nur noch 47 Tage. Die Begründung im Beschluss: Ein Zertifikat beschreibt den Stand bei der Ausstellung, und die Sperrdienste für Zertifikate schützen im heutigen Internet nicht ausreichend. Eine kurze Laufzeit schützt unabhängig davon.
Let’s Encrypt stellt standardmäßig Zertifikate für 90 Tage aus, auf Wunsch für 45 Tage oder 160 Stunden. Ab dem 10. Februar 2027 sollen es standardmäßig 64 Tage sein, ab dem 16. Februar 2028 dann 45. Den Sperrdienst OCSP hat Let’s Encrypt am 6. August 2025 abgeschaltet, die Erinnerungsmails vor dem Ablauf schon am 4. Juni 2025. Spätestens bei 47 Tagen führt an automatischer Erneuerung kein Weg vorbei.
HSTS sicher einführen
Was HSTS (Strict-Transport-Security) bewirkt, steht im Begriff. Zwei Folgen solltest du vorher kennen. Erstens lässt sich ein Zertifikatsfehler danach nicht mehr wegklicken — läuft dein Zertifikat ab, ist die Seite für alle, deren Browser sich die Regel gemerkt hat, bis zur Erneuerung unerreichbar. Zweitens gilt includeSubDomains für jede Subdomain, auch für interne, die nie jemand von außen aufruft.
- Alle Hosts und Subdomains auf HTTPS bringen, auch die internen.
- Aufrufe über HTTP dauerhaft auf https:// desselben Hosts umleiten, etwa mit Status 301. Die HSTS-Zeile gehört nur in verschlüsselte Antworten; über HTTP ignoriert der Browser sie.
- max-age in Stufen anheben, wie es hstspreload.org vorschlägt: 300 Sekunden, 604800 (eine Woche), 2592000 (ein Monat). In jeder Stufe auf kaputte Seiten achten und ihre volle Dauer abwarten.
- Erst danach den endgültigen Wert setzen; üblich ist ein Jahr (31536000).
Preload: eine AbwägungDie in Browser eingebaute Preload-Liste schützt auch den allerersten Besuch. Ihre Betreiber schreiben seit Januar 2025 selbst: HSTS wird empfohlen, das Preloading nicht. Viele Browser heben Seitenaufrufe inzwischen von selbst auf HTTPS; die Liste hilft nur noch, wenn ein Angreifer diese Hochstufung gezielt scheitern lässt. Dagegen steht: Ein Eintrag gilt für alle Subdomains, und ihn zu entfernen dauert Monate. Google hat zudem angekündigt, dass Chrome ab Oktober 2026 für alle nachfragt, bevor es eine öffentliche Seite zum ersten Mal ohne HTTPS aufruft.
Gemischte Inhalte
Lädt eine verschlüsselte Seite etwas über http:// nach, heißt das gemischter Inhalt. Skripte, Stylesheets, Frames und Abrufe aus Skripten blockieren heutige Browser, denn wer sie unterwegs verändert, verändert die ganze Seite. Bilder, Audio und Video versuchen Chrome und Firefox stattdessen über HTTPS zu laden; gibt es sie dort nicht, fehlen sie.
Abhilfe: alle Verweise mit https:// oder relativ schreiben. Die CSP-Angabe upgrade-insecure-requests hebt vergessene Verweise automatisch an, hilft aber nur, wenn das Ziel HTTPS beherrscht. Sie und HSTS ergänzen sich; keins ersetzt das andere. Was noch übrig ist, meldet die Konsole der Entwicklerwerkzeuge.
Ein Beispiel: Lena stellt die Vereinsseite um
Lena betreut die Website ihres Sportvereins unter example.org. Die Seite läuft längst über HTTPS; das Zertifikat erneuert der Hoster. Jetzt will sie HSTS einschalten.
- Bei crt.sh findet sie ein Zertifikat von 2023 für kalender.example.org — einen alten Vereinskalender, der heute nur noch über HTTP läuft. Mit includeSubDomains wäre er für alle Besucher der Hauptseite unerreichbar geworden. Sie stellt ihn zuerst um.
- Dann beginnt sie mit max-age=300; includeSubDomains und steigert über eine Woche und einen Monat bis zu einem Jahr. Preload lässt sie weg.
- Die Konsole meldet zwei Verweise über http://: Das Vereinslogo laden Chrome und Firefox über HTTPS nach, ein altes Zählskript blockieren sie. Lena korrigiert beides.
- Wochen später meldet ein Mitglied eine Seite, die seine Zugangsdaten verlangt, unter mitglieder-login.example. Sein Browser zeigt dort ein Schloss, das Zertifikat ist gültig. Es belegt nur, dass der Betrüger diesen Namen kontrolliert.
Lena warnt die Mitglieder: Entscheidend ist die Adresse, nicht das Schloss.
Was du als Betreiber brauchst
- Zugang zu der Stelle, an der Zertifikat und Antworten entstehen: Server, Hosting-Menü oder vorgeschalteter Dienst. Wie du Header setzt, steht in Sicherheitsheader in nginx, Apache und Caddy setzen.
- Ein Programm, das Zertifikate über ACME selbst erneuert, am besten zu dem Zeitpunkt, den der Aussteller vorschlägt (ARI), und eine Überwachung, die vor dem Ablauf warnt.
- Eine vollständige Liste deiner Subdomains, auch der internen; die Suche in den CT-Protokollen findet vergessene.
- Die Entwicklerwerkzeuge des Browsers für gemischte Inhalte und die Header-Werkstatt für die HSTS-Zeile, die du aus einer Antwort kopierst.
Was dieser Artikel nicht sagt
- Dieser Artikel ist keine Anleitung zur TLS-Konfiguration eines Servers; Protokollversionen und Verfahren regelt die Dokumentation der jeweiligen Software.
- Die Zahl zu Phishing-Seiten stammt aus dem Jahr 2021, weil die APWG seither keinen HTTPS-Anteil mehr veröffentlicht. Eine eigene Zahl nennt HexWarte nicht.
- Termine und Laufzeiten geben den Stand vom Oktober 2026 wieder (Basisanforderungen 2.3.0, Angaben von Let’s Encrypt) und können sich ändern.
- HexWarte prüft keine fremden Server. Die Header-Werkstatt bewertet nur den eingefügten Text; Zertifikat, Umleitung und Preload-Eintrag prüft sie nicht.
Weiter
Die HSTS-Zeile deiner Website in der Werkstatt prüfen →Passende Artikel
Begriffe dazu
Quellen
Geprüft am 3. Oktober 2026. Die Einordnung ist eine fachliche Bewertung, keine Rechtsberatung. Einen Fehler gefunden? Die Kontaktdaten stehen im Impressum.