Das Schloss im Browser
Eine neue Kollegin fragt Sie: „Im Browser steht ein Schloss. Heißt das, die Seite ist sicher?“
Die ehrliche Antwort ist: teilweise. Das Schloss schützt die Leitung, nicht die Absicht der Seite. In dieser Lektion sehen Sie genau, was geschützt wird und was nicht.
Am Ende dieser Lektion
Notiz
Ich kann erklären, was HTTPS schützt.
Schlüsselwörter
| Begriff | Was er bedeutet | Beispiel |
|---|---|---|
| HTTP | die Sprache, in der Browser und Webserver miteinander reden | |
| Anfrage | die Nachricht, mit der der Browser etwas verlangt | |
| Antwort | die Nachricht, mit der der Server reagiert | |
| Statuscode | eine dreistellige Zahl, die sagt, wie es ausging | 404 |
| TLS | die Technik, die eine Verbindung verschlüsselt | |
| Zertifikat | ein Nachweis, dass ein Server wirklich zu seinem Namen gehört | |
| HTTPS | HTTP, das durch TLS geschützt ist |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
HTTP besteht aus Anfrage und Antwort
Der Browser sendet eine Anfrage. Der Server schickt eine Antwort. Beide sind in der einfachen Form (HTTP/1.1) lesbarer Text, aufgebaut aus Zeilen.
Die Anfrage nennt eine Methode, zum Beispiel GET zum Lesen oder POST zum Senden von Daten. Die Antwort beginnt mit einem Statuscode, der sagt, wie es ausging.
Ausprobieren: eine Anfrage lesen
# So sieht eine Anfrage als Text aus (selbst geschrieben, nicht gesendet)
printf "GET /bestellungen/4711 HTTP/1.1\nHost: shop.example.com\nAccept: text/html\n" > anfrage.txt
# Die erste Zeile nennt Methode, Pfad und Version
head -1 anfrage.txt
# Welcher Server ist gemeint?
grep "^Host:" anfrage.txt
# Ändern Sie Host in Accept und klicken Sie auf Ausführen.
Statuscodes, die Ihnen im Support begegnen
| Code | Bedeutung | Wer hat das Problem? |
|---|---|---|
| 200 | In Ordnung | Niemand |
| 301 | Die Seite ist umgezogen | Niemand, der Browser folgt der Weiterleitung |
| 403 | Zugriff verboten | Rechte des Benutzers |
| 404 | Seite nicht gefunden | Meist die Adresse |
| 500 | Fehler im Server | Der Server oder die Anwendung |
| 503 | Dienst gerade nicht verfügbar | Der Server, oft überlastet |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
HTTP allein ist offen wie eine Postkarte
Eine HTTP-Nachricht ist lesbarer Text. Zwischen Ihrem Laptop und dem Server leiten mehrere Geräte sie weiter, zum Beispiel ein WLAN-Router im Café.
Jedes dieser Geräte könnte mitlesen. Es könnte den Text auch verändern. Ein Passwort in einer HTTP-Anfrage ist wie ein Passwort auf einer Postkarte.
TLS macht daraus einen verschlossenen Brief
TLS verschlüsselt die Verbindung. HTTPS ist HTTP in einer solchen Verbindung.
Dabei geschehen drei Dinge. Niemand unterwegs kann den Inhalt lesen. Sichtbar bleibt aber, mit welchem Server Sie sprechen: seine Adresse und meist auch sein Name. Niemand kann ihn unbemerkt verändern. Und Ihr Browser prüft über das Zertifikat, ob der Server wirklich zu seinem Namen gehört.
Beispiel: was HTTPS schützt und was nicht
| Frage | Schützt HTTPS? | Warum |
|---|---|---|
| Bleibt mein Passwort im Café-WLAN geheim? | Ja | Der Inhalt ist verschlüsselt |
| Fällt es auf, wenn jemand die Bestellung unterwegs ändert? | Ja | Eine Veränderung wird erkannt, die Verbindung bricht ab |
| Ist der Server wirklich shop.example.com? | Ja | Der Browser prüft das Zertifikat |
| Bleibt geheim, mit welchem Server ich spreche? | Nein | Die Adresse und meist der Name des Servers sind sichtbar, nur der Inhalt nicht |
| Ist die Seite ehrlich und ungefährlich? | Nein | Auch Betrüger können ein Zertifikat haben |
| Ist der Server selbst sicher vor Angriffen? | Nein | HTTPS schützt nur den Weg dorthin |
Die Zellen, die Lernende ausfüllen, bleiben in dieser Vorschau leer.
Ein häufiger Irrtum
Warnung
„Das Schloss heißt: Die Seite ist vertrauenswürdig.“ Das stimmt nicht. Das Schloss heißt nur: Die Verbindung ist verschlüsselt, und der Name der Seite ist geprüft. Über die Absichten der Seite sagt es nichts.