HTTPS-Verschlüsselung - Mit Sicherheit punkten...

(15.02.2017) Schon seit einigen Jahren gibt es für den verschlüsselten Abruf von Internetseiten (auch Mail, etc) sogenannte SSL-Zertifikate. Das Protokoll TLS (Transport Layer Security), gemeinhin besser bekannt unter der früheren Bezeichnung SSL (Secure Sockets Layer), stellt hierbei mittels einer hybriden Verschlüsselung die sichere Datenübertragung im Netz sicher. Lange Zeit war ein SSL-Zertifikat im großen und ganzen lediglich bei Online-Shops zu finden, doch mit dem steigenden Augenmerk auf den Datenschutz steigt auch die Verwendung auf üblichen Firmen-Homepages. - Und auch Google wertet SSL-geschützte Websites zwischenzeitlich höher in den Suchergebnissen...

SSL: Vertrauensbonus, Sicherheit und das Recht

SSL-Geschütze Websites werden im Browser nicht mehr länger mit "HTTP", sondern mit "HTTPS" vor der Domain aufgerufen (Beispiel: https://www.ia-scherer.de). Dieses "Erkennungszeichen" wird oftmals auch durch weitere, optische Signale im Browser unterstützt um dem Anwender Sicherheit im Umgang mit der Dateneingabe auf dieser Website zu geben. Ist die Verbindung mit einer Website SSL-Verschlüsselt, können Dritte etwa Transaktionen mit der Kreditkarte nicht mehr mitlesen. - Die Daten sind geschützt.

Die alleinige Präsenz einer offensichtlich verschlüsselten Verbindung mit einem SSL-Zertifikat wertet auch der Suchmaschinenriese Google deshalb zwischenzeitlich als Qualitätsfaktor der Homepage. - Und schreibt diesen Seiten entsprechend auch ein besseres Ranking in den Suchergebnissen zu. Eine grundsätzliche Aufwertung einer Website von Seite 4 auf die Spitzenposition ist beim Umstieg auf eine SSL-Verschlüsselung der eigenen Website dabei natürlich nicht zu erwarten, dennoch ist dies ein Pluspunkt in der Gesamtwertung und dessen Gewichtung dürfte zunehmend steigen...

Eine allgemeine Verpflichtung zur Bereitstellung einer hinreichend verschlüsselten Abrufmöglichkeit der eigenen Website gibt es (unseres Wissens) bislang hingegen (noch) nicht. Webseitenbetreiber die Diensteanbieter im Sinne des § 2 Nr. 1 Telemediengesetz (TMG) sind, haben unter anderem allerdings § 13 Abs. 7 TMG zu beachten. - Hierin heißt es (Auszug):

SSL-Zertifikate:

Den Grundstein des Zertifikatssystems bilden die sogenannten Stammzertifikate der Zertifizierungsstellen (Certificate Authority, CA). Websitebetreiber müssen für ein Zertifikat den Nachweis gegenüber der Zertifizierungsstelle erbringen, dass sie legitime Inhaber der Adresse (Domain) sind. Wer seine Website mit einem SSL-Zertifikat versehen möchte, dem stehen hierfür deshalb verschiedene Möglichkeiten (Qualitätsmerkmale) zur Verfügung:

• Domain-Validated-Zertifikat (DV):
  Hierbei wird gemeinhin der Inhaberschaft der Domain überprüft. Im Browser werden lediglich die Verschlüsselungsinformationen angezeigt.
• Organization-Validation-Zertifikat (OV):
  Die Prüfung umfasst dabei eine gewisse überprüfung der Unternehmung und Kontaktdaten die gemeinhin auch dem Kunden nach einem entsprechenden Klick auf das SSL-Symbol angezeigt werden.
• Extended Validation-Zertifikat (EV):
  Hierfür ist eine gründliche Überprüfung der Unternehmung entsprechend einer EV-Richtlinie vorgeschrieben. In den meisten Browsern wird dieses Zertifikat durch eine grüne Adressleiste optisch unterstrichen.

Die Kosten und der Aufwand für die Zertifikate sind entsprechend unterschiedlich gestaffelt und gewähren entsprechend den Richtlinien und Ansprüchen der Zertifizierung den Besuchern und Kunden der Website unterschiedlich hohe Transparenz. Allen Zertifkaten gemein ist zunächst die Notwendigkeit einer regelmäßige Verlängerung; Bei kostenpflichtigen Zertifikaten ist hier eine Registrierungsdauer von einem bis 3 Jahre üblich. Maßgeblich für die eigentliche Sicherheit bei der Datenübertragung vom Browser zur besuchten Website ist hingegen die Stärke der Verschlüsselung, und diese ist auch mit dem aktuell wohl aus Kostengründen am höchsten verbreiteten Domain-Validated-Zertifikaten hinreichend.

Anbieter und Implementierung

Wer seine Website mit einem SSL-Zertifikat erweitern möchte, dem stehen seit einiger Zeit neben vielen kostenpflichtigen Anbietern auch vereinzelt Angebote mit kostenfreien Einstiegsangeboten zur Auswahl. Und auch wenn nicht alles Gold ist was glänzt (Querverweis "Mozilla Security Blog") -  Seit einigen Monaten revolutioniert die Initiative "Let's Encrypt" mit kostenlosen SSL-Zertifikaten das World Wide Web.

"Let's Encrypt™" - Lasst uns verschlüsseln

Let’s Encrypt ist ein von der gemeinnützigen ISRG (Internet Security Research Group) angebotener Dienst, der unter Federführung von Mozilla, Cisco, Akamai und einigen weiteren Förderern kostenfreie Domain-Validated SSL-Zertifikate ausstellt. Die Wurzeln des Projekts greifen zurück in das Jahr 2014 und gerade in den letzten Monaten erfuhr dieses eine enorme Akzeptanz und Verbreitung. Dem Projekt wird - auch deshalb - ein großes Potential im Kampf um die Datensicherheit im WWW zugesprochen.

Gratis Zertifikate für Ihre Website

Auch wir haben uns dem Ziel dieses Gemeinschaftsprojektes - verschlüsselte Verbindungen im World Wide Web zum Normalfall zu machen - zwischenzeitlich angeschlossen.

Websites die auf *.nix basierten Servern im Leistungsbereich der Internet Agentur Scherer liegen, können wir ab sofort mit Zertifikaten von "Let’s Encrypt" ausstatten.

Nachdem die Beantragung eines "Let’s Encrypt" Zertifikates weitestgehend automatisiert abläuft, können wir diesen Dienst auch kostenfrei an unsere Kunden weiterreichen.

Kostenfreies HTTPS - Und dann...

Mit der Installation des DV-Zertifikates von "Let’s Encrypt" ist Ihre Website fortan sowohl unter HTTP:// als auch HTTPS:// für Ihre Kunden erreichbar. Um die verschlüsselte Verbindung zu Ihrer Website zwingend zu machen genügt im weiteren ein entsprechender Eintrag in der .htaccess Datei, der Aufrufe der herkömmlichen Adresse auf die SSL-Gesicherte Seite umleitet.

Aus Sicht der Suchmaschinenoptimierung empfiehlt es sich, diese Weiterleitung als 301-Redirect auf die https-Variante zu gestalten. Durch den Statuscode 301 (permanent redirect) erhalten Links auf Ihre Homepage den Hinweis auf eine dauerhafte Umleitung die auch entsprechende Berücksichtigung in den Suchmaschinen erhalten sollte. Funktional wäre demnach etwa ein .htaccess Eintrag wie dieser hier:
 

RewriteEngine On
RewriteCond %{SERVER_PORT} !^443$
RewriteRule (.*) https://%{HTTP_HOST}/$1 [R=301,L]

Im weiteren sollte (vorab) die korrekte Funktionsweise Ihres CMS oder Ihrer Website im SSL verschlüsselten Aufruf sichergestellt werden; Gemeinhin stellen lediglich noch "hart" (nicht relativ) eingetragene Links eine Fehlerquelle in aktuellen Content Management Systemen dar.- Bei rein HTML basierten Seiten ist hier eventuell ein besonderes Augenmerk notwendig.

Besonders die Sitemap und Robots Dateien sollten im nächsten Schritt auf eine korrekte Adressierung / Funktionalität hin überprüft werden um Suchmaschinen beim künftigen "Crawling" die notwendigen Voraussetzungen für eine korrekte (Neu-)Indexierung zu geben. Nützliche Informationen hierzu finden sich etwa in den Best Practices zu HTTPS von Google selbst.

Nicht zuletzt sollte auch die Google Search Console (Google Webmaster Tools) entsprechend instruiert werden. Einstellungen bezüglich Crawling, URL Parameter, Indexierung, usw. sollten in der Property der SSL-Website identisch sein. Zumeist wird hierfür ein neuer, eigenständiger Eintrag für die Website empfohlen.

Kostenlos aber nicht umsonst - SSL Zertifikate

Um also die größtmöglichen Vorteile für sich und seine Kunde zu nutzen, sind im Nachgang der Verschlüsselung mit SSL noch einige Handgriffe zu tun. Bei Fragen stehen wir unseren Kunden - und jenen die es noch werden wollen - natürlich wie gewohnt gerne zur Verfügung. - Wir sind nie weiter entfent als Ihr Telefon...

• Zurück
• Weiter