Wenn jemand ein Formular auf einer HTTP-Website (nicht HTTPS) absendet, wandern seine Daten im Klartext durchs Internet. Jeder im Netzwerk zwischen ihm und deinem Server kann sehen, was er getippt hat, auch Passwörter, Kreditkartennummern und E-Mail-Adressen. Das ist nicht theoretisch. Werkzeuge zum Mitschneiden von Datenpaketen sind frei verfügbar, und Angreifer fangen unverschlüsselte Formulareinsendungen aktiv ab.
SSL/TLS-Verschlüsselung ist die Technik, die Formulardaten schützt, während sie vom Browser des Besuchers zu deinem Server wandern. Sie ist die grundlegendste Form der Formularsicherheit und nicht verhandelbar.
Das lernst du hier: Wie die HTTPS-Verschlüsselung funktioniert, den Unterschied zwischen SSL und TLS, was ein SSL-Zertifikat ist und warum du eines brauchst, wie du prüfst, dass dein Formular richtig verschlüsselt ist, und was du tust, wenn HTTPS nicht funktioniert.
Was ist HTTPS und wie verschlüsselt es Daten?
HTTPS ist die sichere Version von HTTP (Hypertext Transfer Protocol). Das "S" steht für Secure. HTTPS nutzt SSL/TLS (Secure Sockets Layer / Transport Layer Security), um alle Daten zu verschlüsseln, die zwischen dem Besucher und deinem Server gesendet werden.
Das passiert, wenn ein Besucher ein Formular über HTTPS absendet:
- Der Besucher füllt das Formular aus und sendet es ab. Sein Browser sammelt die Daten.
- Der Browser baut eine verschlüsselte Verbindung auf. Er kontaktiert deinen Server und prüft das SSL-Zertifikat (mehr dazu unten).
- Beide Seiten einigen sich auf Verschlüsselungseinstellungen. Sie handeln die stärkste Verschlüsselung aus, die beide unterstützen.
- Alle Daten werden vor dem Senden verschlüsselt. Die Formulardaten werden mit der ausgehandelten Verschlüsselung unkenntlich gemacht.
- Dein Server empfängt die verschlüsselten Daten. Er nutzt seinen privaten Schlüssel, um die Daten zu entschlüsseln, damit sie lesbar sind.
Für jeden, der das Netzwerk belauscht, erscheinen die Daten als zufällige Zeichen. Ohne den Verschlüsselungsschlüssel, den nur dein Server hat, kann er sie nicht lesen.
Der Unterschied zwischen SSL und TLS
SSL (Secure Sockets Layer) und TLS (Transport Layer Security) sind verwandte Techniken, die dieselbe Aufgabe erfüllen. SSL war der ursprüngliche Standard, erstmals 1995 veröffentlicht. TLS ist die moderne, verbesserte Version, die ihn abgelöst hat.
- SSL 3.0: Die letzte Version von SSL, 1996 veröffentlicht. Veraltet und nicht mehr sicher.
- TLS 1.0: Erste Version von TLS, 1999 veröffentlicht. Funktioniert noch, ist aber älter.
- TLS 1.2: 2008 veröffentlicht. Noch weit verbreitet und als sicher eingestuft.
- TLS 1.3: 2018 veröffentlicht. Der aktuelle Standard, schneller und sicherer.
Moderne Browser und Server nutzen TLS 1.2 oder TLS 1.3. Wenn Menschen "SSL-Zertifikat" sagen, meinen sie meist ein Zertifikat für die TLS-Verschlüsselung. Die Begriffe werden oft austauschbar verwendet, aber TLS ist die Technik, die heute tatsächlich im Einsatz ist.
Was ist ein SSL-Zertifikat?
Ein SSL-Zertifikat ist eine digitale Datei, mit der dein Webserver seine Identität nachweist und eine verschlüsselte Verbindung aufbaut. Es enthält:
- Deine Domain: Für welche Domain das Zertifikat gültig ist (www.example.com)
- Informationen zu deiner Organisation: Firmenname, Adresse usw.
- Einen öffentlichen Schlüssel: Wird von den Browsern der Besucher genutzt, um Daten zu verschlüsseln
- Eine digitale Signatur: Nachweis, dass eine vertrauenswürdige Stelle dieses Zertifikat geprüft hat
- Ablaufdatum: Wann das Zertifikat abläuft und erneuert werden muss
Das Zertifikat ist wie ein digitaler Ausweis, der beweist, dass dein Server legitim ist.
Wie SSL-Zertifikate geprüft werden
Wenn ein Besucher deine HTTPS-Website aufruft, prüft sein Browser dein SSL-Zertifikat, um sicherzugehen, dass es legitim ist:
- Dein Server sendet sein Zertifikat. Der Browser empfängt es.
- Der Browser prüft die digitale Signatur. Wurde dieses Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle signiert?
- Der Browser prüft die Domain. Passt das Zertifikat zu der Domain, die der Besucher aufruft?
- Der Browser prüft das Ablaufdatum. Ist das Zertifikat noch gültig?
Schlägt eine dieser Prüfungen fehl, zeigt der Browser eine Warnung. Besteht alles, zeigt der Browser ein Schloss-Symbol (oder einen Sicherheitshinweis) und teilt dem Besucher mit, dass die Verbindung verschlüsselt und die Website legitim ist.
Arten von SSL-Zertifikaten
Domain-validierte (DV) Zertifikate
Das einfache Zertifikat. Die Zertifizierungsstelle prüft, dass dir die Domain gehört, aber nicht deine Organisation. Günstigste Option. Gut für die meisten Formulare.
Organisations-validierte (OV) Zertifikate
Die Stelle prüft sowohl die Domain als auch die Angaben zu deiner Organisation. Teurer als DV, bietet mehr Vertrauen. Der Browser zeigt den Namen deiner Organisation in den Zertifikatsdetails.
Zertifikate mit erweiterter Validierung (EV)
Die Stelle führt eine umfassende Prüfung einschliesslich rechtlicher Kontrollen durch. Am teuersten. Zeigt den Namen der Organisation direkt in der Adressleiste des Browsers. Wird meist von Finanzinstituten und Websites mit hohen Sicherheitsanforderungen genutzt.
Wildcard-Zertifikate
Gültig für eine Domain und alle ihre Subdomains (z. B. deckt ein Wildcard-Zertifikat für *.example.com mail.example.com, blog.example.com usw. ab). Nützlich, wenn du viele Subdomains mit Formularen hast.
Multi-Domain-Zertifikate (SAN)
Gültig für mehrere verschiedene Domains in einem Zertifikat. Nützlich, wenn du mehrere Websites mit Formularen betreibst.
Ein SSL-Zertifikat besorgen
Zertifizierungsstellen
Du kaufst Zertifikate bei Zertifizierungsstellen (CAs), zum Beispiel:
- Kommerzielle Zertifizierungsstellen mit eigenem Zertifikatsangebot
- Domain-Registrare, die Zertifikate weiterverkaufen
- Spezialisierte Anbieter von Unternehmenszertifikaten
- Kostenlose, weit verbreitete Zertifizierungsstellen
Die Preise reichen von kostenlos (bei den freien Zertifizierungsstellen) bis zu mehreren hundert Dollar pro Jahr (EV-Zertifikate).
Über deinen Webhoster
Die meisten modernen Webhoster (auch WEMASY) enthalten SSL-Zertifikate automatisch. Du musst sie nicht separat kaufen oder verwalten. Die Erneuerung übernehmen sie automatisch.
Installation und Erneuerung
SSL-Zertifikate laufen ab und müssen erneuert werden. Die meisten Hoster erledigen das automatisch. Prüfe das Ablaufdatum deines Zertifikats gelegentlich, um sicherzugehen, dass es noch gültig ist. Läuft es ab, zeigt deine Website eine Sicherheitswarnung, und Besucher vertrauen ihr womöglich nicht.
Prüfen, ob dein Formular richtig verschlüsselt ist
Die URL prüfen
Deine Formularseite sollte HTTPS nutzen, nicht HTTP. Schau in die Adressleiste.
GUT: https://www.example.com/contact
SCHLECHT: http://www.example.com/contact
Nach dem Sicherheitshinweis suchen
In modernen Browsern zeigt eine sichere HTTPS-Verbindung ein Schloss-Symbol oder ein Label "Sicher" in der Adressleiste. Klicke darauf, um die Zertifikatsdetails zu sehen.
Die Gültigkeit des Zertifikats prüfen
Klicke auf das Schloss und sieh dir das Zertifikat an. Achte auf Folgendes:
- Ist es für deine Domain gültig?
- Ist es abgelaufen?
- Wer hat es ausgestellt (die Zertifizierungsstelle)?
Einen Online-SSL-Check nutzen
Mit Online-Prüfwerkzeugen für SSL gibst du deine Domain ein und erhältst einen detaillierten Bericht zu deiner SSL-Konfiguration. Er prüft, ob du die neuesten Verschlüsselungsstandards nutzt, und zeigt Schwachstellen auf.
Häufige Probleme mit HTTPS und SSL
Warnung vor gemischten Inhalten
Deine Formularseite läuft über HTTPS, aber manche Ressourcen (Bilder, Skripte, Stylesheets) werden über HTTP geladen. Browser warnen Besucher, dass die Seite nicht vollständig sicher ist. Behebe das, indem du alle Ressourcen über HTTPS lädst.
Nicht passendes Zertifikat
Das Zertifikat gilt für www.example.com, aber der Besucher ist auf example.com (ohne www), oder umgekehrt. Browser zeigen eine Sicherheitswarnung. Behebe das mit einem Wildcard-Zertifikat oder indem du eine Version auf die andere umleitest.
Abgelaufenes Zertifikat
Dein Zertifikat ist abgelaufen und muss erneuert werden. Browser zeigen eine auffällige Sicherheitswarnung. Besucher vertrauen deinem Formular womöglich nicht. Erneuere das Zertifikat sofort.
Selbstsigniertes Zertifikat
Dein Server nutzt ein Zertifikat, das du selbst erstellt hast, statt eines von einer vertrauenswürdigen Stelle. Browser vertrauen ihm nicht und zeigen eine Warnung. Nutze nie selbstsignierte Zertifikate bei öffentlichen Formularen. Kaufe oder nutze ein Zertifikat einer anerkannten Zertifizierungsstelle.
HTTPS ist nicht nur für Formulare
Jede Seite deiner Website sollte HTTPS nutzen, nicht nur deine Formularseiten. Das schützt alle Besucherdaten und signalisiert Google, dass deine Website sicher ist. Leite den gesamten HTTP-Verkehr auf HTTPS um, damit Besucher immer geschützt sind.
Was WEMASY für die SSL/TLS-Verschlüsselung tut
Jede WEMASY-Website und jedes mit WEMASY erstellte Formular nutzt standardmässig HTTPS. Deine Formulare laufen automatisch über sichere Verbindungen. WEMASY verwaltet SSL-Zertifikate für dich, einschliesslich der automatischen Erneuerung. Du musst nie Zertifikate kaufen, installieren oder verwalten. Die Verschlüsselung ist eingebaut und immer aktiv.
Mehr zu deinen Sicherheitseinstellungen findest du in den Einstellungen deines Kontos oder auf der Preisseite.