Was sind HTTPS und SSL? So funktionieren sichere Websites, einfach erklärt

HTTPS ist die sichere Version von HTTP, des Protokolls, mit dem Browser mit Websites sprechen. Jede Anfrage und Antwort wird in eine verschlüsselte Verbindung mit TLS (Transport Layer Security) gehüllt. Dadurch kann niemand zwischen Besucher und Website mitlesen oder die Übertragung manipulieren. SSL ist der ältere Name für dieselbe Idee, also das ursprüngliche Protokoll, das TLS ersetzt hat. Deshalb sagen Leute noch „SSL-Zertifikat“.

Warum HTTPS beim Bauen mit KI wichtig ist

Jede App, die du veröffentlichst, sollte über HTTPS ausgeliefert werden. Das ist nicht nur gute Praxis:

Browser erwarten es. Seiten über ungesichertes HTTP werden als „Nicht sicher“ markiert. Außerdem funktionieren manche Browserfunktionen, etwa Standortzugriff, Kamera und Mikrofon sowie Service Worker für Offline-Apps, in der Regel nur auf sicheren (HTTPS-)Seiten.
Logins und Formulare. Ohne HTTPS reisen Passwörter, Session-Cookies und Formulardaten als lesbarer Text. Jede Person im selben Café-WLAN könnte sie potenziell mitschneiden.
Zahlungen und Drittanbieter. Zahlungsanbieter, OAuth-Anmeldungen und viele APIs verlangen HTTPS-Weiterleitungs- und Callback-URLs.
Vertrauen und Suche. Besucher bemerken die Warnung, und Google hat erklärt, dass HTTPS ein Ranking-Signal ist.

Die gute Nachricht: Auf den meisten modernen Hosting-Plattformen wird HTTPS automatisch eingerichtet. Wichtig ist vor allem, die Zusammenhänge gut genug zu verstehen, um Probleme mit einer eigenen Domain oder einer Mixed-Content-Warnung zu beheben.

Ein Alltagsvergleich

Daten über unverschlüsseltes HTTP zu senden ist wie eine Postkarte verschicken: Jeder Postbote, der sie in die Hand nimmt, kann sie lesen, und jemand könnte die Nachricht sogar verändern.

HTTPS ist wie ein versiegelter, manipulationssicherer Umschlag, und vorher prüfst du den Ausweis des Empfängers. Das Zertifikat ist dieser Ausweis, ausgestellt von einer vertrauenswürdigen Stelle, der Zertifizierungsstelle, die geprüft hat, dass die Website die Domain tatsächlich kontrolliert. Die Verschlüsselung ist der versiegelte Umschlag. Der Ausweis beweist, dass du an die richtige Adresse schreibst, und der Umschlag hält den Inhalt privat.

Wie HTTPS einfach funktioniert

Wenn ein Browser https://shop.example.com öffnet:

Hallo. Der Browser verbindet sich und teilt mit, welche Verschlüsselungsverfahren er unterstützt.
Zertifikat. Der Server schickt sein Zertifikat, das besagt: „Dieser Schlüssel gehört zu shop.example.com“. Es ist von einer Zertifizierungsstelle signiert.
Prüfung. Der Browser überprüft die Signatur mit Stellen, denen er bereits vertraut, prüft, ob das Zertifikat nicht abgelaufen ist, und ob die Domain passt.
Schlüssel. Browser und Server vereinbaren einen neuen geheimen Schlüssel für diese Sitzung, ohne ihn offen zu senden.
Verschlüsseltes Gespräch. Alle Anfragen und Antworten, also Seiten, Formulardaten und Cookies, werden nun verschlüsselt übertragen.

Dieser TLS-Handshake dauert wenige Millisekunden und läuft automatisch ab. Besucher sehen nur das Schloss-Symbol (oder in manchen Browsern ein neutrales Symbol für Seiteninformationen).

Was HTTPS schützt und was nicht

Schützt	Schützt nicht
Daten während der Übertragung zwischen Browser und Server	Daten, sobald sie auf deinem Server oder in deiner Datenbank liegen
Gegen Mitlesen in öffentlichen WLANs	Gegen eine bösartige oder betrügerische Website
Gegen Veränderungen von Seiten auf dem Weg	Gegen Fehler in deiner App, etwa fehlende Berechtigungsprüfungen
Cookies und Passwörter während des Versands	Gegen schwache Passwörter oder geleakte API-Schlüssel

HTTPS verschlüsselt den Inhalt von Anfragen, einschließlich Seitenpfad und Abfrageparametern. Der Domainname, den du aufrufst, bleibt für Netzwerke auf dem Weg allerdings meist sichtbar. Ein Grund mehr, nie persönliche Daten in URLs zu schreiben, denn die landen außerdem in Logs und im Browserverlauf.

Ein Beispiel: eine eigene Domain verbinden

Angenommen, du veröffentlichst eine Buchungs-App und willst sie unter book.myyogastudio.com erreichbar machen:

Du legst einen DNS-Eintrag an, der book.myyogastudio.com auf deinen Host zeigen lässt. Siehe wie Domains und DNS funktionieren.
Der Host weist gegenüber einer Zertifizierungsstelle nach, dass er den Namen kontrolliert, meist indem er auf eine Prüfung auf dieser Domain antwortet, und erhält ein Zertifikat.
Der Host installiert es und erneuert es automatisch, bevor es abläuft. Zertifikate sind bewusst kurzlebig, deshalb ist die automatische Erneuerung wichtig.
Besucher von http://book.myyogastudio.com werden auf https:// weitergeleitet.

Wenn Schritt 1 nicht stimmt, etwa weil der Eintrag auf eine andere Adresse zeigt oder ein Proxy dazwischen liegt, kann Schritt 2 scheitern, und Besucher sehen eine Zertifikatswarnung. Das ist das häufigste HTTPS-Problem beim Verbinden einer eigenen Domain.

Wichtige Begriffe

Begriff	Bedeutung
TLS	Transport Layer Security, das Verschlüsselungsprotokoll hinter HTTPS.
SSL	Secure Sockets Layer, der veraltete Vorgänger von TLS. Der Name hält sich hartnäckig.
Zertifikat	Eine signierte Datei, die eine Domain mit einem öffentlichen Schlüssel verknüpft.
Zertifizierungsstelle (CA)	Eine Organisation, der Browser die Ausstellung von Zertifikaten zutrauen, etwa Let’s Encrypt.
Domain-Validierung (DV)	Ein Zertifikat, das die Kontrolle über die Domain belegt. Fast alle Websites nutzen es.
Wildcard-Zertifikat	Deckt alle Subdomains eine Ebene tief ab, etwa `*.example.com`.
Mixed Content	Eine HTTPS-Seite lädt einige Ressourcen über unverschlüsseltes HTTP. Browser blockieren oder warnen davor.
HSTS	Ein Header, der Browsern sagt, dass sie deine Seite ab sofort immer über HTTPS aufrufen sollen.
Port 443	Der Standardport für HTTPS (HTTP nutzt Port 80).

Häufige Missverständnisse

„Das Schloss bedeutet, dass die Website vertrauenswürdig ist.“ Es bedeutet, dass die Verbindung privat ist und die Domain passt. Auch Betrüger bekommen Zertifikate.
„HTTPS wird nur für Zahlungsseiten gebraucht.“ Jede Seite mit Login, Formular oder Cookie braucht es, und das ist fast jede App. Nutze es überall.
„Zertifikate sind teuer.“ Kostenlose, vertrauenswürdige Zertifikate sind Standard, und die meisten Hosts verwalten sie für dich.
„HTTPS macht meine App sicher.“ Es sichert die Verbindung. Deine App braucht trotzdem serverseitige Berechtigungsprüfungen, sicheren Umgang mit Geheimnissen und Eingabevalidierung. Siehe die Sicherheits-Checkliste für mit KI gebaute Apps.
„HTTPS macht Websites langsam.“ Modernes TLS bringt kaum zusätzlichen Aufwand, und Funktionen wie HTTP/2, die Websites schneller machen, setzen in Browsern in der Regel HTTPS voraus.

Häufige HTTPS-Probleme beheben

Symptom	Wahrscheinliche Ursache
„Ihre Verbindung ist nicht privat“	Das Zertifikat deckt diese genaue Domain nicht ab, ist abgelaufen oder wurde noch nicht ausgestellt
Funktioniert mit `www.`, aber nicht mit der nackten Domain (oder umgekehrt)	Nur ein Name hat DNS-Eintrag und Zertifikat
Schloss fehlt, „Nicht sicher“ auf einigen Seiten	Mixed Content: Ein Bild, Skript oder Schriftart wird über `http://` geladen
Zertifikatsfehler direkt nach dem Verbinden einer Domain	DNS-Änderungen brauchen noch Zeit, oder ein Proxy davor blockiert die Zertifikatsprüfung

Was du deinen KI-App-Builder fragen solltest

„Stelle sicher, dass jedes Bild, Skript und jede Schriftart über HTTPS oder eine relative URL geladen wird. Keine http://-Links.“
„Leite allen HTTP-Verkehr auf HTTPS um.“
„Setze Session-Cookies mit den Flags Secure und HttpOnly.“
„Verwende https:// für jede OAuth-, Zahlungs- und Webhook-Callback-URL.“
„Meine eigene Domain zeigt einen Zertifikatsfehler. Welchen DNS-Eintrag erwartet der Host?“

HTTPS in Mythex

Wenn du auf Mythex eine eigene Domain verbindest (ein Pro-Feature), legst du einen CNAME-Eintrag an, der auf das slug.mythex.ai-Ziel zeigt, das Mythex dir anzeigt. Dann klickst du auf Verifizieren, und Mythex stellt HTTPS für die Domain automatisch aus. Die Dokumentation behandelt die zwei häufigsten Stolpersteine: Wenn dein DNS bei Cloudflare liegt, stelle den Eintrag auf „Nur DNS“ (graue Wolke) statt „proxied“, damit Mythex das Zertifikat ausstellen kann. Außerdem kann die DNS-Prüfung erfolgreich sein, bevor HTTPS vollständig eingerichtet ist. Warte dann ein paar Minuten und verifiziere erneut. Siehe eigene Domains in der Dokumentation und unseren Leitfaden zum Verbinden einer eigenen Domain.

Fragen

Was ist der Unterschied zwischen HTTP und HTTPS?

HTTP sendet Daten zwischen Browser und Website als lesbaren Text. HTTPS ist HTTP über eine verschlüsselte TLS-Verbindung. Dadurch können Personen im selben Netzwerk oder auf dem Übertragungsweg nicht mitlesen oder verändern, was gesendet wird, und der Browser kann prüfen, ob er wirklich mit der echten Seite spricht.

Sind SSL und TLS dasselbe?

TLS ist der moderne Nachfolger von SSL. Alle SSL-Versionen gelten als veraltet und unsicher. Sichere Websites nutzen heute TLS. Viele sagen aus Gewohnheit weiterhin „SSL-Zertifikat“, aber die Zertifikate werden mit TLS verwendet.

Bedeutet das Schloss, dass eine Website sicher ist?

Nein. Das Schloss zeigt an, dass die Verbindung verschlüsselt ist und das Zertifikat zur Domain passt. Auch eine Betrugsseite kann ein gültiges Zertifikat haben. Es heißt nur, dass niemand die Verbindung abhören kann, nicht dass der Betreiber vertrauenswürdig ist.

Muss ich für ein SSL-Zertifikat bezahlen?

In der Regel nicht. Kostenlose, automatisierte Zertifizierungsstellen wie Let’s Encrypt stellen Zertifikate aus, denen Browser vertrauen. Die meisten Hosting-Plattformen besorgen und erneuern sie für dich. Bezahlte Zertifikate bieten vor allem Support oder zusätzliche Identitätsprüfungen.

Warum zeigt meine Seite „Nicht sicher“ an?

Häufige Ursachen sind, dass die Seite über http:// statt https:// aufgerufen wird, ein Zertifikat abgelaufen ist oder nicht genau diese Domain abdeckt, oder dass eine Seite Bilder oder Skripte unverschlüsselt über http:// lädt (Mixed Content).