SSL, TLS & HTTPS – Was du wissen musst

Was ist das und worin liegt der Unterschied?

Immer wieder hören wir von unseren Kunden „Warum ist meine Seite nicht sicher?“ oder „Was ist SSL und wofür brauche ich das?“. Im Zuge dessen versuchen wir einige grundlegende Punkte zum Thema SSL bzw. TLS zu erklären.

Was ist SSL und TLS?

SSL steht für Secure Sockets Layer und ist ein Verschlüsselungsprotokoll zur sicheren Datenübertragung im Internet, ebenso wie TLS.

TLS steht für Transport Layer Security und ist das Nachfolgeprotokoll von SSL. Dies wurde notwendig da im Zeitverlauf schwächen in der Informationsübertragung mit Hilfe von SSL aufgekommen sind.

SSL und TLS bewirkt die Verschlüsselung und Authentifizierung bei der Kommunikation zwischen Webserver und Browser mit dem der Nutzer auf die Seite zugreift. Der Server wird dabei immer authentifiziert, währenddessen die Authentifizierung des Client optional ist. Ist eine Webseite SSL verschlüsselt zeigt Dir das für gewöhnlich ein Schloss Symbol im Browser an.

Außerdem greifst Du im Falle der SSL Verschlüsselung mit der sicheren Variante des Hypertext Transfer Protocols  auf die Webseite zu, also mit „HTTPS“. Hierbei ist anzumerken das HTTPS kein eigenständiges Protokoll ist, sondern lediglich die Verwendung von SSL oder TLS in Kombination HTTP kennzeichnet.

Verbindungsaufbau mit SSL bzw. TLS

Mit einem sog. Handshake Protokoll wird der Verschlüsselungsalgorithmus und der Schlüssel zwischen Server und Client ausgehandelt. Der Handshake stellt eine einfache Synchronisationsmethode dar. Zwei Beteiligte einer Datenübertragung wenden unmittelbare Quittungssignale, die in einem Protokoll definiert sind, an.

Man-in-the-middle Angriff

Ein sog. „Man-in-the-middle-Angriff“ ist eine Angriffsform in der Informationstechnologie, die in Rechnernetzen eingesetzt wird. Der Angreifer befindet sich dabei meist logisch, in seltenen Fälle auch physisch, zwischen den Netzwerkteilnehmern. Der Angreifer wartet in der Regel ab, bis der Server authentifiziert ist und übernimmt dann die Verbindung. Er täuscht nun vor der jeweils andere Kommunikationspartner zu sein. Damit hat er vollständigen Zugriff auf den Datenverkehr und kann diesen einsehen und ggf. sogar manipulieren.

Warum sollte ich SSL oder TLS verwenden?

Generell sollte, sobald ein Austausch persönlicher Daten stattfindet, ein Verschlüsselungsprotokolle angewendet werden. Gerade im E-Commerce, als auch im Gesundheitswesen ist eine Anwendung von SSL / TLS ein Mindeststandard und unbedingt einzuhalten.

SSL garantiert dem Nutzer und dem Anbieter, dass die Vertraulichkeit und Integrität eingehalten bzw. gewahrt wird.

Durch die Integrität wird dem Nutzer und Anbieter garantiert, dass die Daten unverfälscht ausgetauscht werden können. Das bedeutet, weder eine Preisangabe noch eine Bestellung kann durch einen Angreifer verfälscht werden. Auch die Vertraulichkeit ist ein zentrales Schutzziel in der gesamten IT Sicherheit. Die Wahrung der Vertraulichkeit sollte immer höchste Priorität haben. Andernfalls können bspw. Zahlungsdaten in Hinblick auf den E-Commerce Bereich offengelegt werden.

Auch in Hinblick auf die Suchmaschinenoptimierung ist eine SSL Verschlüsselung nicht zu vernachlässigen. Eine SSL Verschlüsselung nimmt nachweislich ein positiven Einfluss auf das Ranking einer Webseite und wird auch deswegen immer von uns empfohlen.

Worauf sollte ich bei der Auswahl eines SSL Zertifikats achten?

Aufgrund der hohen Verbreitung und Wichtigkeit von SSL Zertifikaten, gibt es entsprechend eine Vielzahl von Anbietern. Die drei wichtigsten Typen erklären wir euch nachfolgend.

Domain Validation

Mit diesem Zertifikat wird die Domain verifiziert. Das bedeutet der Antragsteller, ist tatsächlich der Inhaber der Domain. Die meisten Nutzer im Web nutzen diese Art von Zertifikat. Diese Zertifikate sind meist kostenfrei und innerhalb weniger Minuten ausgestellt. Allerdings bieten sie ein eher geringes Sicherheitslevel.

Organisation Validation

Diese Methode verifiziert, wie bei der Domain Validation, ob der Inhaber der Domain auch Antragsteller des Zertifikats ist. Dazu wird eine Identitätsprüfung des Inhabers vorgenommen. Wenn Du Deine Seite absichern willst, ist das eine gute Option.

Extended Validation

Bei diesen Zertifikaten wird neben der Prüfung der Domain Inhabers und dessen Identität, auch genauere bzw. weitere Kriterien geprüft. Dieser Zertifikatstyp eignet sich vor allem für größere Onlineshops und große Corporate Webseiten, welche den strengen Vergabekriterien entsprechen und dem Nutzer eine möglichst hohe Sicherheit geben möchten.

WordPress und SSL

Wenn Du Hilfe bei der Einrichtung des SSL Zertifikats, insbesondere bei der Einrichtung in einer WordPress Webseite benötigst, kannst Du uns gerne ansprechen. Wir helfen Dir gerne weiter.