So erkennst du, ob eine Website sicher ist

Eine Website, die sauber und professionell aussieht, kann trotzdem völlig unsicher sein. Zu prüfen, ob eine Website sicher ist, bevor du Angaben machst, ist nicht kompliziert. Du musst nur wissen, wo du hinschauen musst, denn die offensichtlichen Zeichen sind nicht immer die, auf die es ankommt.

Die Zeichen, an denen du erkennst, ob eine Website sicher ist, sind im Browser und auf der Seite selbst sichtbar. Dieser Artikel zeigt, was du prüfen solltest, was jedes Zeichen bedeutet und was du tun kannst, wenn etwas nicht stimmt.

Dieselben Prüfungen gelten, egal ob du als Besucher entscheiden willst, ob du einer Website vertraust, oder als Website-Inhaber verstehen willst, was Besucher sehen, wenn sie auf deiner landen. Sichere und unsichere Websites hinterlassen dieselben Spuren. Wenn du weißt, worauf du achten musst, ist es kein Rätselraten mehr. Warum Website-Sicherheit für jede Website wichtig ist und nicht nur für große, erfährst du im Artikel Warum Website-Sicherheit wichtig ist.

So prüfst du, ob eine Website sicher ist

Schau zuerst in die Adressleiste

Die Adressleiste des Browsers ist die schnellste Stelle für den Anfang. Zwei Dinge verraten dir viel, bevor du ein Wort auf der Seite gelesen hast.

• Die Adresse sollte mit HTTPS beginnen, nicht mit HTTP. Das S steht für "Secure" (sicher). Es bedeutet, dass die Verbindung zwischen deinem Browser und der Website verschlüsselt ist, sodass alle Angaben, die du sendest, verwürfelt werden, bevor sie reisen. Eine Website mit einer Adresse, die mit einfachem HTTP beginnt, nutzt kein Sicherheitszertifikat, und alles, was du über ein Formular absendest, geht ungeschützt raus
• Neben der Adresse erscheint ein Schlosssymbol, wenn auf der Website ein gültiges Sicherheitszertifikat installiert ist. Kein Schloss heißt kein Zertifikat und damit keine verschlüsselte Verbindung. Ein Klick auf das Schloss zeigt die Zertifikatsdetails, darunter, wer es ausgestellt hat und wann es abläuft

HTTPS und das Schloss sind die Grundvoraussetzung. Eine Website ohne sie fällt schon bei der ersten Prüfung durch. Eine vollständige Erklärung, was ein Sicherheitszertifikat ist und was es leistet, findest du im Artikel Was ist ein Sicherheitszertifikat für Websites und warum braucht deine Website eines?

Lies die URL genau

Das HTTPS-Schloss sagt dir nur, dass die Verbindung verschlüsselt ist. Es sagt nicht, dass die Website vertrauenswürdig ist. Eine Betrugswebsite kann genauso leicht ein gültiges Sicherheitszertifikat haben wie eine echte. Deshalb ist es wichtig, den tatsächlichen Domainnamen zu lesen.

• Schau dir den vollständigen Domainnamen in der Adressleiste an, nicht nur den Seitentitel. Eine Website, die wie eine Bank oder ein bekannter Dienst aussehen soll, nutzt oft eine Domain, die auf den ersten Blick ähnlich aussieht, aber leicht abweicht. Zusätzliche Zeichen, Bindestriche oder ungewöhnliche Endungen solltest du beachten
• Prüfe, ob die Domain zu der Website passt, die du besuchen wolltest. Wenn du auf einen Link in einer E-Mail oder auf einer anderen Website geklickt hast, vergewissere dich, dass die Adresse in der Leiste dahin führt, wohin du wolltest
• Lange, unbekannte Zeichenfolgen in der Adresse oder Domains, die du schon am Anfang der URL nicht kennst, solltest du mit Vorsicht behandeln

Achte darauf, was der Browser dir sagt

Browser markieren unsichere Websites direkt. Diese Warnungen solltest du ernst nehmen.

• Der Hinweis "Nicht sicher" in der Adressleiste erscheint bei Websites, die ohne HTTPS ausgeliefert werden. Manche Browser zeigen ihn auf allen HTTP-Seiten. Andere markieren nur Seiten mit Formularen oder Login-Feldern, wo die Eingabe von Angaben das deutlichste Risiko wäre
• Eine Warnung über die ganze Seite, oft rot oder orange mit einem Text wie "Deine Verbindung ist nicht privat" oder "Diese Website ist möglicherweise unsicher", erscheint, wenn der Browser ein ernsteres Problem erkennt. Das kann bedeuten, dass das Sicherheitszertifikat abgelaufen ist, das Zertifikat nicht zur Domain passt oder die Website wegen schädlicher Inhalte markiert wurde. Diese Warnungen sollen dich am Weitergehen hindern, und es lohnt sich, auf sie zu hören
• Wenn eine Warnung über die ganze Seite erscheint, klick nicht weiter, außer du hast einen konkreten Grund, der Website zu vertrauen, und verstehst, was die Warnung bedeutet

Schau dir die Website selbst an

Wenn du auf der Seite bist, verraten dir ein paar Dinge mehr darüber, ob die Website das ist, was sie zu sein scheint.

• Eine funktionierende Kontaktseite mit echter Adresse, Telefonnummer oder E-Mail-Adresse ist ein positives Zeichen. Websites, die nur dazu da sind, Angaben abzugreifen, lassen diese oft weg oder nutzen allgemeine Platzhaltertexte
• Seiten für Datenschutzerklärung und Nutzungsbedingungen, die tatsächlich Inhalt haben und nicht nur eine Überschrift ohne Text, deuten auf eine Website hin, die ordentlich betrieben werden soll
• Rechtschreibfehler, kaputte Bilder oder Layoutprobleme, die unfertig wirken, können Zeichen einer hastig gebauten Website sein. Sie sind keine Garantie, dass etwas nicht stimmt, aber zusammen mit anderen Zeichen summieren sie sich
• Wenn nach Angaben gefragt wird, die fehl am Platz wirken, etwa nach einer Sozialversicherungsnummer oder Bankdaten ohne erkennbaren Grund, solltest du das als Warnzeichen werten, egal wie der Rest der Website aussieht

So nutzt du einen Website-Sicherheitscheck

Ein Website-Sicherheitscheck ist ein Tool, das eine URL mit bekannten Listen schädlicher oder gemeldeter Websites abgleicht und eine Sicherheitseinschätzung liefert. Solche Tools sind nützlich für eine schnelle zweite Meinung, besonders bei Websites, die du noch nicht kennst.

Worauf Sicherheitschecks schauen

• Bekannte Listen schädlicher Websites, die von Browserherstellern und Sicherheitsorganisationen gepflegt werden. Websites, die als Phishing-Seiten, Malware-Verteiler oder Betrugsmaschen bestätigt sind, stehen auf diesen Listen und werden sofort markiert
• Alter und Ruf der Domain. Neu registrierte Domains, die schon wegen Problemen gemeldet wurden, oder Domains mit Mustern, die zu schädlichen Aktivitäten passen, werden möglicherweise markiert, auch wenn sie noch auf keiner bestimmten Liste stehen
• Ob die Website ein gültiges Sicherheitszertifikat hat und ob HTTPS richtig eingerichtet ist
• Ob frühere Besucher die Website gemeldet haben

Was Sicherheitschecks dir nicht sagen können

Ein sauberes Ergebnis eines Website-Sicherheitschecks ist keine Garantie, dass die Website vertrauenswürdig ist. Es bedeutet nur, dass die Website auf den Listen, die das Tool prüft, nicht gemeldet oder markiert ist.

• Eine ganz neue Betrugswebsite besteht einen Sicherheitscheck, wenn sie noch nicht gemeldet wurde. Schädliche Websites sind den Listen oft Tage oder Wochen voraus, bevor sie hinzugefügt werden
• Sicherheitschecks bewerten nicht die Qualität oder Ehrlichkeit der Inhalte einer Website. Eine Website kann jede automatische Prüfung bestehen und trotzdem darauf angelegt sein, Besucher in die Irre zu führen
• Nutze einen Sicherheitscheck als eine Informationsquelle neben den anderen Prüfungen, nicht als einzige

Was eine Website wirklich sicher macht

HTTPS ist der Anfang, nicht das Ziel

Eine Website mit HTTPS und gültigem Schloss hat die technischen Grundanforderungen an eine sichere Verbindung erfüllt. Das solltest du bestätigen, aber es ist der Beginn der Prüfung, nicht ihr Ende.

HTTPS schützt die Daten, die zwischen Browser und Server reisen. Es sagt nichts darüber aus, was die Website mit diesen Daten macht, sobald sie angekommen sind. Eine Website kann ein gültiges Zertifikat haben und trotzdem Angaben für Zwecke erfassen, denen der Besucher nicht zustimmen würde, wenn er davon wüsste. Eine ausführliche Erklärung, wie HTTPS funktioniert und was es tatsächlich schützt, findest du im Artikel Was ist HTTPS und wie schützt es deine Website?

Vertrauenszeichen auf der Seite

Über die technischen Prüfungen hinaus zeigen Websites, die ordentlich betrieben werden sollen, das meist daran, wie sie mit grundlegenden Dingen umgehen.

• Klare Angaben, wer die Website betreibt und wie man ihn erreicht
• Richtlinien, die erklären, welche Daten erfasst und wie sie genutzt werden
• Ein Checkout, falls es einen gibt, der eine anerkannte Zahlungsmethode nutzt und zeigt, wofür du bezahlst, bevor du die Transaktion bestätigst
• Kein Druck: Countdown-Zähler, Behauptungen, dein Konto werde gesperrt, wenn du nicht sofort handelst, oder Warnungen, dein Gerät sei infiziert, sind gängige Mittel, um Besucher zu übereilten Entscheidungen zu drängen

Was SSL-Zertifikate belegen und was nicht

Ein einfaches SSL-Zertifikat, also das, das einer Website Schloss und HTTPS gibt, belegt nur eines: dass der, der es installiert hat, die Domain kontrolliert. Es prüft nicht, ob das Unternehmen hinter der Website seriös ist, ob die Website unabhängig geprüft wurde oder ob die Betreiber die sind, die sie vorgeben zu sein.

Zertifikate der höheren Stufen gehen weiter. Bei einem Zertifikat mit Organisationsvalidierung oder erweiterter Validierung muss die Zertifizierungsstelle die rechtliche Identität des Unternehmens prüfen. Websites mit diesen Zertifikaten wurden über den Besitz der Domain hinaus geprüft. Für die meisten alltäglichen Websites ist diese Prüfstufe nicht nötig, auf Finanz- oder Behördenplattformen lohnt es sich aber, den Unterschied zu kennen. Eine vollständige Übersicht der Zertifikatsarten und was jede belegt, findest du im Artikel Was ist ein SSL-Zertifikat und wie funktioniert es?

Was du tun solltest, wenn eine Website nicht sicher aussieht

• Gib auf einer Website, bei der du dir nicht sicher bist, keine persönlichen Angaben, Zugangsdaten oder Zahlungsdaten ein. Angaben lassen sich nicht zurückholen, sobald sie gesendet wurden
• Schließe den Tab und rufe die Website, die du erreichen wolltest, direkt auf, indem du die Adresse selbst eintippst, statt einem Link zu folgen, der dich womöglich an eine unerwartete Stelle geschickt hat
• Wenn du auf einer Website Angaben gemacht hast, die sich als unsicher herausgestellt hat, ändere sofort das Passwort, das zu dieser E-Mail-Adresse gehört. Wenn Zahlungsdaten im Spiel waren, wende dich an deine Bank
• Melde die Website, wenn der Browser oder das Sicherheitstool dir die Möglichkeit gibt. Das hilft, die Website schneller auf Warnlisten zu bringen, und schützt andere Besucher
• Wenn du deine eigene Website betreibst und verstehen willst, was deine Besucher sehen, wenn sie deine Sicherheit prüfen, kontrolliere, ob HTTPS aktiv ist, ob das Zertifikat gültig und nicht abgelaufen ist und ob etwas auf der Seite für jemanden, der die Website nicht kennt, wie ein Warnzeichen wirken könnte

So geht WEMASY mit Sicherheitszeichen von Websites um

Jede Website, die du mit WEMASY baust, läuft standardmäßig über HTTPS. SSL-Zertifikate sind in allen Tarifen enthalten und werden automatisch eingerichtet, wenn du eine Website oder eigene Domain verbindest. Du musst nichts einrichten und keine Verlängerung verwalten. Besucher, die die Adressleiste prüfen, sehen von Tag eins an HTTPS und das Schloss.

Weiterleitungen von HTTP auf HTTPS gibt es auf Plattformebene, sodass Besucher immer auf der sicheren Version der Website landen, egal wie sie dorthin kommen. Warnungen vor gemischten Inhalten, die erscheinen, wenn eine Seite über HTTPS lädt, einzelne Elemente aber nicht, sind kein Thema, weil alle über die Plattform ausgelieferten Dateien durchgehend HTTPS nutzen.

Was alles dabei ist, siehst du beim Website-Builder von WEMASY. Die Tarife findest du auf der Preisseite.

Häufig gestellte Fragen