Daten & Recht · Prüfpunkt
Warum braucht jede Website HTTPS?
Weil ohne HTTPS alles, was zwischen Besucher und Website fließt, unterwegs mitlesbar ist — auch Namen, Adressen und Nachrichten aus einem Kontaktformular. HTTPS verschlüsselt diese Übertragung vollständig. Unsere Prüfung stellt fest, ob Ihre Website durchgehend über HTTPS ausgeliefert wird, und wertet eine unverschlüsselte Auslieferung als schwerwiegenden Fund.
Was HTTPS konkret schützt
Zwischen dem Browser eines Besuchers und Ihrem Server liegen viele Stationen: das WLAN im Café, der Netzbetreiber, Zwischenknoten im Internet. Ohne Verschlüsselung kann jede dieser Stationen mitlesen, was übertragen wird. Beim bloßen Lesen einer Seite betrifft das die aufgerufenen Inhalte — richtig heikel wird es bei Formularen: Eine Anfrage über Ihr Kontaktformular enthält Name, E-Mail-Adresse und oft ein Anliegen, das niemanden sonst etwas angeht. HTTPS verschlüsselt die gesamte Verbindung, sodass unterwegs niemand mitlesen oder Inhalte unbemerkt verändern kann. Der Prüfbericht verweist bei fehlender Verschlüsselung auf die Pflicht zu angemessenen technischen Schutzmaßnahmen.
So erkennen Besucher den Unterschied
Browser machen den Zustand sichtbar: Bei verschlüsselten Seiten zeigt die Adresszeile ein Schloss-Symbol, bei unverschlüsselten warnen gängige Browser mit dem Hinweis „Nicht sicher“ direkt neben Ihrer Adresse. Diese Warnung sehen alle Besucher — noch bevor sie eine Zeile Ihres Angebots gelesen haben. Für ein Unternehmen ist das ein denkbar schlechter erster Eindruck, vergleichbar mit einem Geschäftslokal, an dessen Tür ein amtlicher Warnhinweis klebt. Die Umstellung auf HTTPS beseitigt die Warnung auf einen Schlag; nötig ist dafür ein Zertifikat, das Ihr Hoster einrichtet.
Durchgehend verschlüsselt statt teilweise
Die Prüfung fragt bewusst nach durchgehender Auslieferung über HTTPS. Eine Website, die nur das Bestellformular verschlüsselt und den Rest offen lässt, schützt zu wenig: Besucher bewegen sich zwischen den Seiten, und jede unverschlüsselte Seite ist ein offenes Fenster. Üblich ist deshalb eine automatische Weiterleitung — wer die Adresse ohne Verschlüsselung aufruft, landet sofort auf der verschlüsselten Fassung. Achten Sie nach der Umstellung darauf, dass auch alle eingebundenen Dateien wie Bilder und Skripte über HTTPS laden, sonst melden Browser gemischte Inhalte.
So gehen Sie es an
- Rufen Sie Ihre Website auf und prüfen Sie die Adresszeile: Ein Schloss-Symbol steht für HTTPS, die Warnung „Nicht sicher“ für eine unverschlüsselte Verbindung.
- Fragen Sie Ihren Hoster, ob ein TLS-Zertifikat in Ihrem Paket enthalten ist, und lassen Sie es einrichten.
- Lassen Sie eine automatische Weiterleitung einrichten, die jeden unverschlüsselten Aufruf auf die HTTPS-Fassung umleitet.
- Testen Sie nach der Umstellung mehrere Unterseiten — auch Bilder und Skripte müssen über HTTPS laden.
- Sorgen Sie dafür, dass sich das Zertifikat automatisch erneuert, damit die Website nicht eines Tages mit einer Warnmeldung erscheint.
Häufige Fragen
Woran erkenne ich, ob meine Website HTTPS nutzt?
Rufen Sie die Website auf und schauen Sie in die Adresszeile des Browsers. Beginnt die Adresse mit „https://“ und zeigt der Browser ein Schloss-Symbol, ist die Verbindung verschlüsselt. Erscheint stattdessen der Hinweis „Nicht sicher“, fehlt die Verschlüsselung — und jeder Besucher sieht diese Warnung ebenfalls.
Reicht HTTPS nur auf der Kontaktseite?
Nein. Die Prüfung fragt nach durchgehender Verschlüsselung, denn Besucher wechseln zwischen den Seiten, und jede unverschlüsselte Seite bleibt unterwegs mitlesbar. Üblich ist eine automatische Weiterleitung, die jeden unverschlüsselten Aufruf sofort auf die verschlüsselte Fassung umleitet — dann gibt es schlicht keine offene Variante mehr.
Was passiert ohne HTTPS mit den Eingaben in meinem Kontaktformular?
Sie reisen im Klartext durch das Netz. Jede Station auf dem Weg — etwa ein offenes WLAN oder ein Zwischenknoten — kann Name, E-Mail-Adresse und Nachricht mitlesen. Der Prüfbericht wertet eine unverschlüsselte Website deshalb als schwerwiegenden Fund und verweist auf die Pflicht zu angemessenen technischen Schutzmaßnahmen bei der Datenverarbeitung.
Ist die Umstellung auf HTTPS aufwendig?
Meist nicht. Ihr Hoster richtet ein TLS-Zertifikat ein, dazu kommt eine Weiterleitung von der unverschlüsselten auf die verschlüsselte Adresse. Danach lohnt ein Rundgang durch die Website: Alle eingebundenen Dateien wie Bilder und Skripte müssen ebenfalls über HTTPS laden, sonst zeigen Browser Hinweise auf gemischte Inhalte.
Weiter im Prüfbereich Daten & Recht
- Wie widerrufen Besucher eine Cookie-Einwilligung dauerhaft?Der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO). Ein dauerhafter Link im Fußbereich öffnet die Einwilligungs-Auswahl erneut.
- Warum sollten externe Bibliotheken vom eigenen Server kommen?Bibliotheken von fremden Verteilservern übertragen bei jedem Aufruf die IP-Adresse des Besuchers. Lokales Hosting vermeidet das und schützt vor Ausfällen.
- Dürfen Cookies schon vor der Einwilligung gesetzt werden?Tracking-Cookies dürfen erst nach der Zustimmung gesetzt werden. Die Prüfung liest in einem frischen Browser aus, was Ihre Website vorher schon anlegt.
- Welche Fremdserver kontaktiert meine Website schon beim Aufruf?Jede Verbindung zu einem Tracking-Dienst überträgt die IP-Adresse des Besuchers. Die Prüfung protokolliert alle Fremdserver-Kontakte vor der Einwilligung.
Dieser Prüfpunkt gehört zum Prüfbereich Daten & Recht — dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.