HTTPS und HSTS: warum das Schloss allein nicht reicht

Das kleine Schloss im Browser bedeutet: die Verbindung zwischen dir und der Website ist verschlüsselt. Niemand im selben WLAN, kein Provider und kein Angreifer dazwischen kann mitlesen oder die Seite verändern. So weit, so gut — aber es gibt eine Lücke.

Die erste Anfrage ist oft ungeschützt

Tippst du beispiel.ch ein, schickt der Browser die erste Anfrage häufig unverschlüsselt über http://. Erst danach leitet der Server auf die sichere Variante um. Genau dieses kurze Zeitfenster kann ein Angreifer ausnutzen, um dich auf eine gefälschte Seite umzubiegen.

HSTS schließt diese Lücke

HSTS ist eine Ansage des Servers an den Browser: "Ab jetzt sprichst du mit mir ausschließlich verschlüsselt — auch wenn der Nutzer http eingibt." Der Browser merkt sich das und ruft die Seite in Zukunft gar nicht erst unverschlüsselt auf. Die verwundbare erste Anfrage entfällt.

Worauf es ankommt

• Gültige Dauer: HSTS wirkt nur, wenn eine ausreichend lange Gültigkeit gesetzt ist.
• Subdomains einbeziehen: Mit includeSubDomains gilt der Schutz auch für alle Unterseiten.
• Preloading: Optional lässt sich die Domain in eine Liste eintragen, die Browser von Haus aus kennen — dann ist sogar der allererste Besuch geschützt.

Kurz gesagt: HTTPS ist die Verschlüsselung, HSTS ist die Garantie, dass sie auch immer benutzt wird. Erst zusammen ergeben sie einen verlässlichen Schutz.