HTTPS (Hypertext Transfer Protocol Secure) ist die verschlüsselte Variante des Übertragungsprotokolls HTTP, über das Browser und Webserver kommunizieren. Grundlage ist ein SSL-/TLS-Zertifikat, das die Verbindung verschlüsselt und die Identität der Website bestätigt. Erkennbar ist HTTPS am Schloss-Symbol im Browser und am Adress-Präfix https://. Für moderne Websites ist HTTPS Standard — aus Sicherheits-, Datenschutz- und SEO-Gründen.
Wie funktioniert HTTPS?
Beim Aufbau einer HTTPS-Verbindung weist sich der Server mit seinem Zertifikat aus, das von einer Zertifizierungsstelle ausgestellt wurde. Browser und Server handeln anschließend Schlüssel aus, mit denen die gesamte Kommunikation verschlüsselt wird. Das zugrunde liegende Verfahren heißt TLS (Transport Layer Security); die ältere Bezeichnung SSL hat sich umgangssprachlich gehalten, weshalb meist von „SSL-Zertifikaten“ die Rede ist.
Die Verschlüsselung stellt drei Dinge sicher: Vertraulichkeit (Dritte können übertragene Daten wie Formulareingaben oder Passwörter nicht mitlesen), Integrität (Daten können unterwegs nicht unbemerkt verändert werden) und Authentizität (der Nutzer kommuniziert tatsächlich mit der Domain, die er aufgerufen hat). Zertifikate gibt es in mehreren Prüfstufen; für die meisten Websites genügt die einfache Domain-Validierung, die etwa über Let's Encrypt kostenlos verfügbar ist.
Warum ist HTTPS wichtig?
Ohne Verschlüsselung werden Daten im Klartext übertragen — in öffentlichen WLANs ein reales Risiko. Browser markieren HTTP-Seiten inzwischen deutlich als „nicht sicher“, was Besucher abschreckt, bevor sie den Inhalt gesehen haben. Sobald eine Website personenbezogene Daten verarbeitet, etwa über ein Kontaktformular, ergibt sich die Pflicht zu angemessener Verschlüsselung zudem aus der DSGVO-Anforderung an die Sicherheit der Verarbeitung.
Für die Suchmaschinenoptimierung ist HTTPS seit Jahren ein bestätigtes, wenn auch leichtes Ranking-Signal. Wichtiger ist der indirekte Effekt: Sicherheitswarnungen zerstören Vertrauen und Conversion. Für Kanzleien und andere Berufsgeheimnisträger, deren Website-Kontaktwege vertrauliche Anliegen betreffen, ist eine verschlüsselte Verbindung schlicht unverzichtbar.
HTTPS in der Praxis umsetzen
Die Einrichtung läuft heute meist über den Hosting-Anbieter: Viele Anbieter stellen kostenlose Let's-Encrypt-Zertifikate bereit und verlängern sie automatisch. Nach der Aktivierung müssen alle HTTP-Aufrufe dauerhaft per 301-Redirect auf die HTTPS-Version umgeleitet werden, damit nur eine Version der Website erreichbar ist und Suchmaschinen die Signale bündeln.
Häufige Stolperfalle ist „Mixed Content“: Die Seite lädt über HTTPS, bindet aber einzelne Ressourcen wie Bilder oder Skripte noch über HTTP ein — der Browser blockiert diese Inhalte oder zeigt Warnungen. Nach einer Umstellung sollten deshalb alle internen Verweise geprüft werden. Zusätzlich empfiehlt sich der Blick auf die Zertifikatslaufzeit: Ein abgelaufenes Zertifikat führt zu einer bildschirmfüllenden Browserwarnung, die praktisch alle Besucher abfängt.