Verschlüsseln Sie Ihre Website!

Für den Webauftritt ist Verschlüsselung Pflicht. Das hat nicht nur mit Vertrauen und Sicherheit zu tun, sondern auch mit der Position bei Google. Und Websites, die vom Browser nicht als sicher gekennzeichnet werden, könnten ab Herbst nicht mehr funktionieren. Tipps und Checklisten für die Umstellung.

Die gute Nachricht zuerst: Laut Google surfen Nutzer mit dem Chrome-Browser zu 90 Prozent auf Seiten mit einer verschlüsselten Verbindung. Erkennbar ist dies am kleinen Schlösschen links von der URL. Das bedeutet, dass die Verbindung zwischen Browser und Website verschlüsselt ist, Dritte die Daten also nicht mitlesen können. Erkennbar sind sichere Seiten daran, dass ihre Adresse mit «https» beginnt. Beim Artikel, den Sie gerade lesen, ist das https://www.swisscom.ch/…

Weshalb Sie Ihre Website verschlüsseln sollten

Sollte Ihr Webauftritt nicht verschlüsselt sein, ist es dringend Zeit zu handeln. Sie erkennen das daran, dass der Webbrowser – egal, ob Chrome, Firefox, Edge oder Safari – die Adresse als «nicht sicher» kennzeichnet. In der URL beginnt die Adresse mit «http» (ohne «S» für «secure»).

Für eine sichere Verbindung gibt es triftige Gründe:

• Bereits seit 2004 bevorzugt Google in den Suchresultaten Websites mit Verschlüsselung. Unter Umständen werden Sie mit einem unverschlüsselten Webauftritt schlicht nicht mehr gefunden.
• Seit Juli 2018 und Chrome-Version 68 werden alle nicht verschlüsselten Websites als unsicher markiert. Das kann Besucher abschrecken.
• Cyberkriminelle können unverschlüsselte Verbindungen abhören, Daten aus Kontaktformularen stehlen und sogar Schadsoftware einschleusen, die den Computer des ahnungslosen Besuchers befällt.
• Ab September 2020 schaltet Google mit Chrome Version 85 noch einen Gang höher: Bilder, die nicht ebenfalls über eine verschlüsselte Verbindung geladen werden, werden nicht mehr angezeigt. Das kann dazu führen, dass Ihr Webauftritt nicht mehr funktioniert. Die Problematik nennt sich «Mixed Content» und ist in der folgenden Box erklärt.

So verschlüsseln Sie Ihren Webauftritt

Neue Webauftritte sollten heute von Anfang an verschlüsselt sein, also nur über HTTPS zugänglich. Bestehende, unverschlüsselte Auftritte müssen umgestellt werden. In beiden Fällen ist der erste Schritt der Erwerb eines SSL-Zertifikats, einer Art digitaler Ausweis. Die meisten Webhosting-Anbieter offerieren Zertifikate, teils mit automatischer Installation und regelmässigen Updates. Denn SSL-Zertifikate sind nur für einen bestimmten Zeitraum gültig und müssen bei Ablauf erneuert werden.

Viele Webhoster haben diese Schritte automatisiert. Das heisst, Sie müssen die Umstellung nicht manuell vornehmen. Stattdessen bestellen Sie über den Verwaltungsbereich Ihrer Website ein Zertifikat. Dieses wird automatisch eingerichtet. Für weiterführende Schritte und bei technischen Anforderungen hilft die untenstehende Checkliste.

Bei vielen Webhostern kosten die einfachen Zertifikate für eine einzelne Adresse (www.firmenname.ch) nichts oder sind von Anfang an inbegriffen, wie beispielsweise beim Swisscom HomepageTool.

Checkliste: So stellen Sie erfolgreich auf Verschlüsselung um

Achtung – jetzt wird’s technisch! Aber keine Angst: Ihr Webmaster dürfte wissen, um was es in der folgenden Checkliste genau geht:

1. Backup: Sichern Sie die bestehende Website, inklusive aller Bilder und Datenbanken. Falls etwas schiefläuft, können Sie so wieder auf den vorherigen Stand wechseln.
2. Installieren und aktivieren Sie das SSL-Zertifikat. Diese Aufgabe erledigen Sie über den Verwaltungsbereich Ihrer Website bei Ihrem Webhoster. Testen Sie anschliessend, ob die Website via https:// erreichbar ist.
3. Leiten Sie alle bestehenden HTTP-Adressen auf die HTTPS-Pendants um. Dazu dient am besten jeweils ein serverseitiger «301-Redirect». Auch dies nimmt Ihnen oft der Webhoster ab – achten Sie auf Optionen wie «Alle Anfragen automatisch auf HTTPS:// weiterleiten» oder «SSL forcieren».
4. Interne Links anpassen: Links auf Seiten und Inhalte innerhalb Ihrer Website müssen angepasst werden: aus «http://…» wird «https://…». Bei statischen Webseiten (HTML-Dokumenten) lässt sich das in einem Texteditor mittels Suchen und Ersetzen bequem erledigen. Falls Sie ein Content-Management-System einsetzen, prüfen Sie, ob die Links automatisch auf die verschlüsselte Variante umgestellt werden. Ansonsten müssen Sie sie ebenfalls entsprechend ändern.
5. Externe Links anpassen: Informieren Sie Partner, die einen Link auf Ihre Website gesetzt haben, über die Umstellung. Auch wenn unverschlüsselte Aufrufe automatisch umgeleitet werden, ist es besser, wenn alle Links direkt auf die verschlüsselte Seite erfolgen.
6. Untersuchen Sie den Quellcode Ihrer Webseiten: Sind im Header Elemente wie Canonical- oder HREFLANG-Tags, Open-Graph-Tags oder Base-URL enthalten, müssen Sie diese auf die verschlüsselten Adressen anpassen.
7. Achtung: Für die Suchmaschinen gleicht die Umstellung auf Verschlüsselung einem Domain-Umzug. Aktualisieren Sie Ihre Sitemap deshalb mit den neuen HTTPS-Adressen und reichen Sie das neue XML-Dokument bei den Suchmaschinen ein, zum Beispiel über die Search Console von Google. So gelangt die neue Sitemap schneller in den Suchindex.
8. Haben Sie externe Inhalte wie Bilder, Werbeanzeigen, Webfonts, Formulare oder JavaScript-Bibliotheken eingebunden? Auch diese sollten nur noch über eine verschlüsselte Verbindung angesprochen werden, um Probleme wegen gemischter Inhalte zu verhindern. Fragen Sie die Anbieter solcher Inhalte, ob diese auch verschlüsselt zugänglich sind. Falls nicht, überlegen Sie sich, ob Sie die Inhalte direkt auf dem eigenen Webhosting unterbringen können.

Glossar: Die wichtigsten Begriffe kurz erklärt

HTTP, HTTPS (HyperText Transfer Protocol)

HTTP ist gewissermassen die Sprache, in der der Webbrowser mit Ihrem Webauftritt kommuniziert. Das «S» in HTTPS steht für «secure», also sicher. Das heisst, die Verbindung wird verschlüsselt und kann von Dritten – etwa Cyberkriminellen – nicht eingesehen werden.

SSL (Secure Socket Layer), TLS (Transport Layer Security)

Hierbei handelt es sich um Verfahren, um Daten in einer HTTPS-Verbindung zu verschlüsseln. TLS ist der Nachfolger von SSL. Im Sprachgebrauch hat sich das Wort jedoch gehalten. Häufig wird von einer «SSL-verschlüsselten Verbindung» gesprochen.

Zertifikat (SSL-Zertifikat)

Ein Zertifikat ist nichts anderes als ein digitaler Ausweis. Dieser bestätigt dem Browser die Identität der aufgerufenen Adresse, also des Webauftritts. Ein solches Zertifikat ist Voraussetzung, dass der Browser eine verschlüsselte Verbindung als vertrauensvoll und damit sicher akzeptiert. Herausgegeben werden diese Zertifikate von anerkannten Ausgabestellen, «Certificate Authority» (CA) genannt. Die wohl bekannteste CA ist «Let’s Encrypt», die kostenlose Zertifikate anbietet. Die meisten Hosting-Anbieter bieten die Möglichkeit, unkompliziert ein solches Zertifikat zu erwerben. Das gilt auch für das Webhosting von Swisscom.

Verschlüsselung

Bei einer verschlüsselten Verbindung wird der Inhalt mittels kryptografischen Verfahren so codiert, dass er für Aussenstehende unverständlich wird. Nur wer den passenden Schlüssel besitzt, kann den Inhalt wieder entziffern. Verschlüsselungsverfahren wie TLS sind die Grundlage für sichere Verbindungen im Internet.

Aktualisierte Version eines Artikels vom November 2017.