Eine Website von HTTP auf HTTPS umzustellen, ändert einen Buchstaben in der Adressleiste und alles daran, wie Daten zwischen der Website und ihren Besuchern fließen. HTTPS steht für Hypertext Transfer Protocol Secure und ist die verschlüsselte Version des Protokolls, mit dem Websites Daten senden und empfangen. Es beeinflusst das Suchranking, prägt, wie Browser deine Website darstellen, und entscheidet, ob persönliche Angaben, die über deine Seiten gesendet werden, geschützt sind oder bei der Übertragung offenliegen. Wer genau weiß, was HTTPS leistet und was nicht, kann eine wirklich sichere Einrichtung von einer unterscheiden, die nur so aussieht.
HTTP ist die Grundlage der Datenkommunikation im Web. Jedes Mal, wenn ein Browser eine Seite anfordert und der Server sie liefert, läuft dieser Austausch über HTTP. Das Problem: Unverschlüsseltes HTTP überträgt Daten im Klartext. Jeder, der Zugriff auf den Netzwerkverkehr zwischen Browser und Server hat, kann lesen, was gesendet wird. HTTPS löst das, indem es diese Kommunikation über ein SSL-Zertifikat mit einer Verschlüsselung überlagert. Eine vollständige Erklärung, wie SSL-Zertifikate funktionieren, findest du im Artikel Was ist ein SSL-Zertifikat und wie funktioniert es?
Was ist der Unterschied zwischen HTTP und HTTPS?
Wie Daten reisen
- HTTP überträgt Daten als Klartext. Ein Formular, das über HTTP abgesendet wird, schickt die Eingaben des Besuchers in einem Format durchs Netz, das gelesen werden kann, wenn es abgefangen wird
- HTTPS verschlüsselt Daten, bevor sie den Browser verlassen, und entschlüsselt sie erst, wenn sie den Server erreichen. Abgefangene Daten sind ohne den Entschlüsselungsschlüssel unlesbar
- Dieser Unterschied ist für Besucher im normalen Gebrauch unsichtbar, entscheidet aber darüber, ob die Daten, die sie absenden, bei der Übertragung geschützt sind oder offenliegen
Was Browser den Besuchern zeigen
- Websites mit HTTPS zeigen in der Adressleiste ein Schlosssymbol, das eine sichere Verbindung anzeigt
- Websites mit HTTP zeigen den Hinweis "Nicht sicher". Bei Seiten mit Eingabefeldern zeigen manche Browser eine auffälligere Warnung
- Besucher, die den Hinweis "Nicht sicher" sehen, bevor sie ein Formular absenden oder etwas kaufen, machen mit geringerer Wahrscheinlichkeit weiter
Die Rolle des SSL-Zertifikats
- HTTPS setzt ein SSL-Zertifikat auf dem Server voraus. Das Zertifikat macht verschlüsselte Verbindungen erst möglich
- Ohne gültiges Zertifikat kann der Browser keine sichere Verbindung aufbauen und zeigt eine Warnung, statt die Seite normal zu laden
- Das Zertifikat bestätigt außerdem die Identität der Website und belegt, dass die Domain der Organisation gehört, die sie zu vertreten vorgibt
Wie schützt HTTPS die Daten deiner Besucher?
Wenn sich ein Besucher mit einer HTTPS-Website verbindet, bauen Browser und Server über einen Vorgang namens TLS-Handshake einen verschlüsselten Kanal auf. Alle Daten, die danach ausgetauscht werden, sind für die Dauer der Sitzung verschlüsselt.
Was HTTPS schützt
- Daten aus Kontaktformularen, einschließlich Namen, E-Mail-Adressen und Nachrichtentexten
- Zugangsdaten, einschließlich Benutzernamen und Passwörtern, die auf deiner Website eingegeben werden
- Zahlungsdaten, einschließlich Kartennummern und Rechnungsangaben auf Checkout-Seiten
- Suchanfragen, die in Suchfelder auf der Website eingegeben werden
Was HTTPS nicht schützt
- HTTPS verschlüsselt Daten bei der Übertragung, schützt sie aber nicht mehr, wenn sie auf dem Server gespeichert sind. Ein Einbruch in die Datenbank ist ein eigenes Sicherheitsproblem, das HTTPS nicht verhindert
- HTTPS macht eine Website nicht immun gegen andere Angriffe. SQL-Injection, Cross-Site-Scripting und Brute-Force-Angriffe zielen auf die Website selbst und nicht auf die Daten bei der Übertragung
- HTTPS ist ein Teil einer umfassenderen Sicherheitslage, keine vollständige Lösung für sich allein
Einen breiteren Blick darauf, welchen Bedrohungen Websites ausgesetzt sind und wie du ihnen begegnest, bietet der Artikel Warum Website-Sicherheit wichtig ist.
Wie beeinflusst HTTPS das Suchranking?
HTTPS ist ein bestätigtes Ranking-Signal. Suchmaschinen nutzen es als einen von mehreren Faktoren bei der Bewertung von Seiten, und Websites ohne HTTPS sind gegenüber gleichwertigen, sicher ausgelieferten Seiten im Nachteil.
HTTPS als direktes Ranking-Signal
- Seiten mit HTTPS haben gegenüber ansonsten identischen HTTP-Seiten einen Ranking-Vorteil
- Bei Seiten, die im Ranking eng beieinanderliegen, kann HTTPS der Faktor sein, der entscheidet, welche höher erscheint
Der Zusammenhang mit der Seitenerfahrung
- HTTPS ist Bestandteil der Signale zur Seitenerfahrung, die Suchmaschinen neben den Core Web Vitals bei der Bewertung von Seiten heranziehen
- Eine Seite, die die HTTPS-Anforderung nicht erfüllt, erfüllt die Kriterien zur Seitenerfahrung nicht vollständig. Das beeinflusst, wie sie im Vergleich zu Seiten behandelt wird, die sie erfüllen
- Eine ausführliche Erklärung, was die Core Web Vitals messen und wie sie in die Bewertung der Seitenerfahrung einfließen, findest du im Artikel Was sind Core Web Vitals?
Warnungen in den Suchergebnissen
- Wird eine Website wegen Sicherheitsproblemen markiert, können Suchmaschinen ihrem Eintrag in den Ergebnissen Warnungen hinzufügen oder ihre Sichtbarkeit ganz reduzieren
- Eine Website mit HTTP, die auch andere Sicherheitsprobleme hat, kann mit sich verstärkenden Einbußen bei der Sichtbarkeit in der Suche rechnen
Genauigkeit der Verweisdaten
- Wenn ein Besucher von einer HTTPS-Website auf eine HTTP-Website klickt, geht die Verweisquelle verloren und der Besuch erscheint in den Analysen als direkter Traffic
- Websites mit HTTP verlieren genaue Verweisdaten aus HTTPS-Quellen, was es schwerer macht, die Wirkung von Marketing zu verfolgen
- Verweise von HTTPS auf HTTPS geben die vollständigen Verweisinformationen korrekt weiter
Was gehört zum Umstieg einer Website auf HTTPS?
Ein SSL-Zertifikat besorgen
- HTTPS setzt ein SSL-Zertifikat auf dem Server voraus. Bei Websites auf Plattformen, die Zertifikate enthalten, passiert das automatisch
- Bei Websites auf selbst verwalteten Servern muss ein Zertifikat bei einer Zertifizierungsstelle bezogen und manuell installiert werden
Interne Links und Dateiverweise aktualisieren
- Nach der Aktivierung von HTTPS sollten alle internen Links und Dateiverweise (Bilder, Skripte, Stylesheets) auf der Website auf HTTPS-URLs zeigen
- Seiten, die Dateien über HTTP laden, während die Seite selbst über HTTPS ausgeliefert wird, lösen Warnungen vor gemischten Inhalten aus. Diese können den Sicherheitsgewinn zunichtemachen und Browserwarnungen verursachen
Weiterleitungen einrichten
- Eine Weiterleitung von HTTP auf HTTPS stellt sicher, dass alle, die die HTTP-Version erreichen, automatisch zur sicheren Version geschickt werden
- Ohne Weiterleitung hat die Website praktisch zwei Versionen jeder Seite. Das führt zu Problemen mit doppelten Inhalten und teilt die Link-Signale zwischen beiden auf
Sitemap und Search-Console-Einstellungen aktualisieren
- Aktualisiere nach dem Umstieg auf HTTPS deine XML-Sitemap mit den HTTPS-URLs und reiche sie erneut bei den Suchmaschinen ein
- Wenn du ein Search-Console-Konto nutzt, füge die HTTPS-Version deiner Website als eigene Property hinzu und bestätige sie
Eine vollständige Anleitung, wie du deine Website über HTTPS hinaus schützt, findest du im Artikel So schützt du deine Website vor Hackern.
So geht WEMASY mit HTTPS um
Alle Websites, die du mit WEMASY baust, werden standardmäßig über HTTPS ausgeliefert. SSL-Zertifikate sind in jedem Tarif enthalten und werden beim Anlegen einer Website automatisch aktiviert. Es gibt keine getrennte Einrichtung, kein Zertifikat zu kaufen und keine Verlängerung zu verwalten.
Interne Links, Dateien und alle über die Plattform ausgelieferten Inhalte nutzen standardmäßig HTTPS-URLs. Warnungen vor gemischten Inhalten sind bei Websites, die bei WEMASY gehostet werden, kein Thema, weil die Plattform überall HTTPS erzwingt. Auch Weiterleitungen von HTTP auf HTTPS laufen auf Plattformebene, sodass Besucher und Suchmaschinen immer zur sicheren Version der Website geleitet werden.
Was alles dabei ist, siehst du beim Website-Builder von WEMASY. Die Tarife findest du auf der Preisseite.
Häufig gestellte Fragen
Was bedeutet HTTPS?
HTTPS steht für Hypertext Transfer Protocol Secure. Es ist die verschlüsselte Version von HTTP, dem Protokoll, mit dem Daten zwischen einem Browser und einem Webserver übertragen werden. Das "S" zeigt an, dass die Verbindung mit einem SSL-Zertifikat gesichert ist, das Daten bei der Übertragung verschlüsselt, sodass sie nicht gelesen werden können, wenn sie abgefangen werden. Eine Website mit HTTPS zeigt in der Adressleiste des Browsers ein Schloss. Mit dem Website-Builder von WEMASY richtest du das direkt auf deiner Website ein.
Ist HTTPS für alle Websites Pflicht?
Ja. HTTPS ist für jede öffentlich erreichbare Website nötig, nicht nur für solche, die Zahlungen oder sensible Daten verarbeiten. Browser zeigen auf HTTP-Websites den Hinweis "Nicht sicher" an, was das Vertrauen der Besucher mindert. HTTPS ist außerdem ein bestätigtes Ranking-Signal, HTTP-Websites sind in den Suchergebnissen also im Nachteil. Jede Website, die Besucherdaten über Formulare, Kommentare oder Logins erfasst, sollte mindestens über HTTPS ausgeliefert werden.
Verbessert HTTPS die SEO?
Ja, direkt. HTTPS ist ein bestätigtes Ranking-Signal, und Seiten mit HTTPS haben gegenüber gleichwertigen HTTP-Seiten einen Ranking-Vorteil. HTTPS ist außerdem Bestandteil der Signale zur Seitenerfahrung, die Suchmaschinen neben den Core Web Vitals bewerten. Über das Ranking hinaus geben Verweise von HTTPS auf HTTPS die vollständigen Quelldaten an die Analysen weiter, während HTTP-Websites die Verweisquelle aus HTTPS-Herkunft verlieren.
Was ist der Unterschied zwischen HTTP und HTTPS?
HTTP überträgt Daten als Klartext. Formulareingaben, Zugangsdaten und andere Eingaben werden also in lesbarer Form durchs Netz gesendet. HTTPS verschlüsselt diese Daten, bevor sie den Browser verlassen, sodass nur der vorgesehene Server sie lesen kann. HTTPS bestätigt außerdem über ein SSL-Zertifikat die Identität der Website und belegt, dass die Website die ist, die sie vorgibt zu sein. Browser kennzeichnen HTTP-Websites als "Nicht sicher" und zeigen bei HTTPS-Websites ein Schloss.
Kann eine Website sowohl HTTP- als auch HTTPS-Seiten haben?
Technisch ja, aber das macht Probleme. Suchmaschinen indexieren möglicherweise beide Versionen und behandeln sie als doppelte Inhalte. Link-Signale verteilen sich auf beide Versionen, statt sich auf einer zu bündeln. Besucher können auf der ungesicherten Version landen, wenn Weiterleitungen nicht richtig eingerichtet sind. Seiten, die Dateien über HTTP laden, während die Seite über HTTPS ausgeliefert wird, lösen Warnungen vor gemischten Inhalten aus. Richtig ist, alle Seiten über HTTPS auszuliefern und alle HTTP-URLs auf ihre HTTPS-Entsprechungen weiterzuleiten.
Schützt HTTPS meine Website vor Hackern?
HTTPS schützt Daten bei der Übertragung zwischen Browser und Server. Es schützt nicht vor anderen Angriffsarten wie SQL-Injection, Cross-Site-Scripting oder Brute-Force-Anmeldeversuchen, die auf die Website selbst zielen und nicht auf die Daten bei der Übertragung. HTTPS ist eine wesentliche Grundmaßnahme, wirkt aber zusammen mit anderen Schutzmaßnahmen und ersetzt sie nicht.