Ohne Verschlüsselung reisen Daten im Klartext durchs Internet. Wer im gleichen öffentlichen WLAN sitzt oder eine Leitung abhört, kann mitlesen, was jemand in ein Formular tippt. HTTPS verschlüsselt die Verbindung zwischen Browser und Server. Das Zertifikat ist die Voraussetzung dafür. Es enthält den öffentlichen Schlüssel für die Verschlüsselung und ist von einer Zertifizierungsstelle ausgestellt, der die Browser vertrauen.
Der Name SSL ist eigentlich veraltet. Heute arbeitet die Technik mit dem Nachfolger TLS. Im Alltag sagen aber fast alle weiterhin SSL-Zertifikat. Eine sichere Verbindung erkennst du an «https://» vor der Adresse. Fehlt die Verschlüsselung, zeigt der Browser neben der Adresse den Hinweis «Nicht sicher».
Für eine Firma ist HTTPS heute Standard. Google Chrome markiert seit Version 68 im Juli 2018 alle Seiten ohne HTTPS als «Nicht sicher». Das schreckt ab, besonders bei Kontaktformularen. Google zählt eine sichere Verbindung zudem zu den Merkmalen einer guten Nutzererfahrung. Und wer über ein Formular Namen, Telefonnummern oder Anfragen entgegennimmt, sollte diese Daten verschlüsselt übertragen.
Ein Zertifikat muss nicht teuer sein. Die gemeinnützige Zertifizierungsstelle Let’s Encrypt stellt kostenlose Zertifikate aus. Diese gelten in der Regel 90 Tage und werden beim Hoster automatisch erneuert. Für normale Firmenwebsites reicht das. Kostenpflichtige Zertifikate mit zusätzlicher Prüfung der Firma sind nur in Sonderfällen nötig.
Darauf solltest du achten: Alle Adressen mit http:// sollten automatisch auf https:// umleiten. Bilder und Skripte müssen ebenfalls über HTTPS laden, sonst meldet der Browser unsichere Inhalte. Das Zertifikat muss rechtzeitig erneuert werden, am besten automatisch. Bei unseren WordPress-Websites richten wir HTTPS samt Umleitung beim Livegang ein.
Eine Velowerkstatt in Horw hat auf ihrer Website ein Formular für Reparaturtermine. Die Seite läuft noch über http://. Ein Kunde öffnet sie am Handy und sieht neben der Adresse «Nicht sicher». Er bricht ab und ruft lieber an, oder er lässt es ganz. Nach der Umstellung auf HTTPS verschwindet die Warnung. Name, Telefonnummer und Velomodell gehen jetzt verschlüsselt an den Server. Die alte Adresse mit http:// leitet automatisch auf die neue weiter, damit alte Links und Google-Einträge weiter funktionieren.