Unterschied http und https

Stellen Sie sich vor, Sie sitzen im Café, verbinden den Laptop mit dem offenen WLAN und melden sich in der Verwaltung Ihrer Bildergalerie an. Ihr Benutzername, Ihr Passwort und danach bei jedem Klick ein Ausweis in Form eines Cookies wandern durch den Router des Cafés. Ob jemand am Nebentisch das mitlesen kann, hängt an einem einzigen Buchstaben in der Adresse. Genau das ist der Unterschied http und https: Beide Verfahren regeln, wie Browser und Webserver miteinander sprechen, aber nur bei https ist das Gespräch verschlüsselt. Das „s“ steht für „secure“. Auf dem Bildschirm sieht die Galerie in beiden Fällen gleich aus.

Unterschied http und https im Bild: links ein offener Brief, den fremde Augen mitlesen, rechts ein verschlossener Brief mit Schloss

Was unterwegs zu sehen ist: eine Anmeldung im Vergleich

Zwischen Ihrem Gerät und dem Server Ihres Webhosters liegen viele Stationen: der WLAN-Router, der Anschluss des Cafés, mehrere Knoten im Netz. Bei http reist jede Anfrage dort als lesbarer Text. Wer an einer dieser Stationen mitschneidet, sieht die aufgerufene Adresse, die Formularfelder und die Antwort des Servers. Bei https baut der Browser vor dem ersten Byte Inhalt eine verschlüsselte Leitung auf. Was dann unterwegs mitläuft, ist für Dritte nur noch Zeichensalat. Ganz unsichtbar sind Sie trotzdem nicht, wie die Gegenüberstellung zeigt.

Was ein Mitleser sieht	bei http	bei https
IP-Adresse des Servers	ja	ja
Name der Domain, etwa ihre-domain.de	ja	ja, der Browser nennt ihn beim Verbindungsaufbau
Pfad, etwa /galerie/admin/	ja	nein
Benutzername und Passwort aus dem Formular	ja, im Klartext	nein
Sitzungscookie nach der Anmeldung	ja, bei jedem Klick	nein
die hochgeladenen Fotos	ja, und er könnte sie austauschen	nein
Zeitpunkt und Datenmenge	ja	ja

Die ersten beiden und die letzte Zeile werden gern übersehen. Wer den Verkehr beobachtet, erkennt auch bei https, dass Sie um 14:10 Uhr rund 30 MB an Ihre Domain geschickt haben. Er weiß aber nicht, ob das zwölf Urlaubsfotos waren oder ein Video, und er kann nichts davon verändern. Der zweite Punkt ist für Galeriebetreiber mindestens so wichtig wie das Mitlesen: Bei http kann eine manipulierte Station unterwegs Inhalte einschleusen, etwa ein fremdes Skript in Ihre Galerieseite. Mit https würde der Browser jede Veränderung bemerken und die Verbindung abbrechen.

Der Unterschied http und https beim Verbindungsaufbau

Unverschlüsselter Verkehr läuft meist über Port 80, verschlüsselter über Port 443. Beim Aufbau einer https-Verbindung mit dem heute üblichen Verfahren TLS 1.3 geht es in einem einzigen Hin und Her. Der Browser grüßt den Server und schickt gleich seinen Teil für einen gemeinsamen Schlüssel mit. Der Server antwortet mit seinem Schlüsselteil und legt sein Zertifikat vor, bereits verschlüsselt. Darin bestätigt eine Zertifizierungsstelle, dass der Server wirklich zu ihre-domain.de gehört. Der Browser prüft das gegen die Liste der Stellen, denen er vertraut, und gegen das Ablaufdatum. Erst wenn diese Prüfung bestanden ist, schickt er Benutzername und Passwort los. Der Schlüssel gilt nur für diese eine Verbindung, und das Ganze dauert Sekundenbruchteile. Das Diagramm stellt beide Wege nebeneinander.

Animiertes Vergleichsdiagramm: Bei http liest ein Mitleser im WLAN das Passwort im Klartext, bei https tauschen Browser und Server erst Schlüsselteile und Zertifikat aus, danach sieht der Mitleser nur noch Domain, Server-IP, Zeit und Datenmenge — Gleiche Anmeldung, zwei Wege: Bei https sieht der Mitleser im WLAN nur noch Domain, Server-IP, Zeit und Datenmenge.

Das Zertifikat ist auch der Grund, warum eine Seite mit https trotzdem eine Warnung zeigen kann. Ist es abgelaufen oder gilt es für einen anderen Namen, bricht der Browser mit einer ganzseitigen Meldung ab. Für Besucher sieht das bedrohlicher aus als eine schlichte http-Seite, obwohl die Verbindung an sich verschlüsselt wäre.

Woran Sie Fehler bei der Umstellung erkennen

Wer die eigene Domain auf https umstellt, stolpert meist über eine von fünf Ursachen. Wer das Muster kennt, findet den Fehler in wenigen Minuten.

Zertifikat nur für einen Namen: Es gilt für ihre-domain.de, Besucher kommen aber über www.ihre-domain.de. Der Browser meldet dann, das Zertifikat passe nicht zur Seite. Lösung: im Kundenmenü beide Namen eintragen lassen.
Abgelaufen: Kostenlose Zertifikate von Let's Encrypt gelten höchstens 90 Tage und werden normalerweise automatisch erneuert. Bricht die Erneuerung ab, etwa nach einem Umzug der Domain, steht eines Morgens eine Warnseite vor Ihrer Galerie.
Gemischte Inhalte: Die Seite kommt über https, ein Bild oder Skript darin aber über eine feste http://-Adresse. Das Schloss bekommt ein Warnzeichen, Skripte werden blockiert, Bilder je nach Browser ebenfalls. In den Entwicklerwerkzeugen (F12) steht dann „Mixed Content“.
Umleitung fehlt: Wer die alte Adresse mit http tippt, landet weiter auf der unverschlüsselten Fassung. Testen Sie das immer, indem Sie die Adresse von Hand mit http:// eingeben.
Umleitung im Kreis: Der Browser meldet „zu viele Weiterleitungen“. Meist prüft eine selbst geschriebene Regel auf https, obwohl der Hoster die Verschlüsselung vor dem Server abwickelt und dieser davon nichts merkt.

Gemischte Inhalte entstehen bei einer Galerie am häufigsten in der eigenen Vorlage. Wer vor Jahren ein Logo mit vollständiger Adresse eingebunden hat, also mit http:// davor, schleppt diese Adresse in die verschlüsselte Zeit mit. Abhilfe: In Ihren HTML-Dateien nach http:// suchen und Verweise auf die eigene Domain auf https:// ändern oder relativ schreiben, also ohne Domain.

Unterschied http und https: wann Sie handeln müssen

Bei einer Galerie, die nur Fotos zeigt und kein Formular für Besucher hat, könnte man meinen, http reiche aus. Drei Gründe sprechen dagegen. Browser kennzeichnen http-Seiten in der Adresszeile als „Nicht sicher“, und viele Besucher brechen an dieser Stelle ab. Sie selbst melden sich über dieselbe Domain in der Verwaltung an, und dort geht es um Ihr Passwort. Außerdem behandeln Suchmaschinen https seit Jahren als Normalfall. Die Entscheidung fällt deshalb fast immer gleich aus:

Bietet Ihr Hoster ein kostenloses Zertifikat an, schalten Sie es für alle Namen Ihrer Domain ein. Das ist bei den meisten Paketen heute ein Klick.
Gibt es nur kostenpflichtige Zertifikate, rechnen Sie nach: Ein Wechsel zu einem Paket mit kostenlosem Zertifikat ist auf Dauer oft günstiger.
Steht das Zertifikat, schalten Sie die dauerhafte Weiterleitung (Statuscode 301) von http auf https ein und prüfen eine Woche lang, ob irgendwo „Mixed Content“ auftaucht.

Unterschied http und https im Bildergalerie-Script

Wer eine eigene Galerie mit dem Bildergalerie-Script betreibt, merkt den Unterschied an mehreren Stellen. Das Script bringt kein Zertifikat mit und leitet auch nicht selbst von http auf https um, beides erledigt der Webserver beim Hoster. Es erkennt aber, ob es verschlüsselt aufgerufen wurde, und richtet sein Verhalten danach aus. Rufen Sie die Galerie über https:// auf, beginnen auch alle Adressen, die sie selbst erzeugt, mit https://.

Stelle	Aufruf über http	Aufruf über https
Installer im Ordner `install/`	Datenbank-Passwort und neues Admin-Passwort gehen lesbar über die Leitung	beide Passwörter werden verschlüsselt übertragen
Anmeldung unter `admin/`	„Benutzername“ und „Passwort“ im Klartext	verschlüsselt
Sitzungscookie der Verwaltung	ohne das Merkmal Secure	mit Secure, der Browser schickt es nur noch verschlüsselt mit
Links in Galerie und Verwaltung	beginnen mit `http://`	beginnen mit `https://`

Am Sitzungscookie zeigt sich, dass https für die Verwaltung mehr bedeutet als ein Schloss in der Adresszeile. Solange Sie angemeldet sind, weist dieses Cookie Sie bei jedem Klick aus. Läuft die Verwaltung über http, könnte jemand im selben offenen WLAN es mitlesen und damit Ihre Sitzung übernehmen, ganz ohne Ihr Passwort. Die Merkmale HttpOnly und SameSite=Lax setzt das Script immer, Secure kommt nur bei https hinzu. Nach 60 Minuten ohne Aufruf endet die Sitzung von selbst.

Seit Version 3.15 übernimmt die Verwaltung außerdem das https aus dem aktuellen Aufruf. In älteren Versionen war http:// fest eingetragen, und manche Links führten zurück auf die unverschlüsselte Fassung. Läuft die Verschlüsselung über einen Proxy des Hosters, erkennen Verwaltung und Installer https auch an der Kopfzeile X-Forwarded-Proto: https. Die öffentliche Galerie wertet diese Kopfzeile nicht aus und baut die Adressen ihrer Bilder dann unter Umständen mit http://. Das ist der Fall „gemischte Inhalte“ von oben. Zeigen die Vorschaubilder nach der Umstellung Lücken, prüfen Sie in den Entwicklerwerkzeugen, mit welchem Schema ihre Adressen beginnen, und fragen Sie Ihren Hoster, ob er die Variable HTTPS an PHP weitergibt.

Umleitung für die Galerie einrichten

Am einfachsten schalten Sie die Weiterleitung von http auf https im Kundenmenü Ihres Webhosters ein. Bietet er das nicht an und läuft Apache mit mod_rewrite, genügt eine .htaccess im Galerie-Ordner mit drei Zeilen: RewriteEngine On, RewriteCond %{HTTPS} off und RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]. Vorsicht bei Hostern, die https über einen vorgeschalteten Proxy abwickeln: Dort meldet %{HTTPS} unter Umständen immer „off“, und die Umleitung läuft im Kreis. Dann bleibt nur die Einstellung im Kundenmenü. Zum Testen tippen Sie danach http://ihre-domain.de/galerie/admin/ in die Adresszeile. Steht nach dem Laden https:// davor und erscheint das Schloss, ist die Umstellung fertig. Rufen Sie schon den Installer am besten über https auf, denn sein Formular verschickt zwei Passwörter. Das Script können Sie kostenlos herunterladen und direkt unter einer verschlüsselten Adresse einrichten.

Häufige Fragen

Galeriebetreiber fragen vor allem nach Kosten, Tempo und dem, was mit alten Links geschieht.

Kostet https Geld?

Meist nicht. Die meisten Webhoster stellen Zertifikate von Let's Encrypt kostenlos bereit und erneuern sie selbstständig. Geld kosten Zertifikate, bei denen eine Stelle zusätzlich die Firma hinter der Domain prüft. Für eine Fotogalerie bringt das keinen Vorteil, das Schloss im Browser sieht gleich aus.

Woran erkenne ich den Unterschied http und https im Browser?

An der Adresszeile. Bei https zeigen die gängigen Browser ein Schloss oder ein Einstellungssymbol, bei http den Hinweis „Nicht sicher“. Ein Klick darauf öffnet die Verbindungsdetails, dort sehen Sie, für welche Domain das Zertifikat gilt und bis wann.

Wird meine Seite durch https langsamer?

Nicht messbar für Ihre Besucher. Der Verbindungsaufbau dauert einen Wimpernschlag länger, danach ist die Leitung offen und alle Vorschaubilder einer Seite laufen durch sie hindurch. Neuere Übertragungsverfahren wie HTTP/2 bieten die Browser nur über https an, und gerade Seiten mit vielen kleinen Bildern profitieren davon.

Was passiert mit alten http-Links nach der Umstellung?

Sie funktionieren weiter, sobald eine dauerhafte Weiterleitung mit Statuscode 301 eingerichtet ist. Wer einen alten Link anklickt, landet ohne Umweg auf der https-Adresse, und Suchmaschinen ersetzen den alten Eintrag nach und nach durch den neuen.

Leitet das Bildergalerie-Script selbst auf https um?

Nein. Das Script erkennt einen https-Aufruf und baut seine Adressen dann mit https, eine Umleitung von http auf https richtet es aber nicht ein. Die stellen Sie im Kundenmenü Ihres Hosters oder per .htaccess ein.