Was ist TLS?

Bei HTTPS-Kommunikation werden HTTP-Daten nicht unverändert gesendet, sondern durch einen Mechanismus namens TLS geschützt.

Der Unterschied zwischen HTTP und HTTPS wird manchmal als "verschlüsselt oder nicht" erklärt. TLS hat jedoch nicht nur Verschlüsselung als Rolle. Es soll Kommunikationsinhalte für Dritte schwerer lesbar machen, Veränderungen unterwegs leichter erkennbar machen und den Zielserver prüfen.

Dieser Artikel ordnet, was TLS schützt und was TLS nicht schützt.

Was ist TLS?

TLS steht für Transport Layer Security und ist ein Protokoll zum Schutz von Kommunikation im Netzwerk.

Im Web wird TLS verwendet, um Kommunikation zwischen Browser und Webserver zu schützen. Wenn Sie im Browser eine HTTPS-Website öffnen, werden HTTP-Kommunikationsinhalte durch TLS geschützt gesendet und empfangen.

TLS bietet hauptsächlich drei Schutzfunktionen.

TLS nur als "Mechanismus zur Verschlüsselung" zu merken ist daher ungenau. Richtiger ist: TLS schützt Kommunikationsinhalte und prüft das Ziel in einem gemeinsamen Mechanismus.

HTTPS ist HTTP, das durch TLS geschützt wird

HTTPS ist HTTP-Kommunikation, die durch TLS geschützt wird.

HTTP ist der Mechanismus, mit dem Browser und Webserver Seiteninhalte, Formulardaten und Ähnliches austauschen. HTTP allein verschlüsselt Inhalte jedoch nicht. Deshalb besteht die Gefahr, dass Dritte auf dem Kommunikationsweg Inhalte lesen oder verändern.

Bei HTTPS findet der HTTP-Austausch innerhalb von TLS statt. Dadurch werden Inhalte von HTTP-Anfragen und -Antworten unterwegs schwerer lesbar.

HTTPS behandelt keine anderen Inhalte als HTTP. Es sendet HTTP-Kommunikation geschützt durch TLS.

Was TLS schützt

Der Kern von TLS ist der Schutz der Kommunikationsinhalte zwischen Browser und Server.

Auf dem Kommunikationsweg gibt es Wi-Fi-Router, Provider, Netzwerkgeräte von Organisationen, Zwischeninfrastruktur im Internet und andere Stellen. Ohne TLS können Inhalte dort gelesen oder verändert werden.

Wenn TLS aktiv ist, werden Kommunikationsinhalte verschlüsselt. Selbst wenn Dritte unterwegs Daten erhalten, ist es schwierig, den HTTP-Inhalt direkt zu lesen.

Dieser Schutz gilt jedoch gegenüber Dritten unterwegs. Der Zielserver entschlüsselt und liest die Kommunikationsinhalte, weil er die Anfrage verarbeiten muss.

Das Ziel wird mit Serverzertifikaten geprüft

TLS verschlüsselt nicht nur Inhalte, sondern prüft auch den Zielserver.

Wenn Sie eine HTTPS-Website öffnen, legt der Server ein Serverzertifikat vor. Der Browser prüft, ob dieses Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde, ob es noch gültig ist und ob es zum aufgerufenen Domainnamen passt.

Dadurch lässt sich prüfen, ob das Gegenüber ein gültiges Zertifikat für die beabsichtigte Domain besitzt.

Ein Serverzertifikat garantiert jedoch nicht, dass der Betreiber der Website sicher ist oder dass die Informationen auf der Website richtig sind. Das Zertifikat prüft vor allem, ob für diese Domain ein gültiges Zertifikat vorliegt.

Das Schloss-Symbol bei HTTPS zeigt also, dass der Kommunikationsweg durch TLS geschützt ist. Es garantiert nicht, dass die Website vertrauenswürdige Inhalte anbietet.

Was durch TLS verschlüsselt wird

TLS verschlüsselt vor allem den HTTP-Inhalt.

Webseitentext, Formularinhalte, Cookie-Werte, HTTP-Header sowie URL-Pfad und Query-String werden innerhalb von TLS gesendet.

Auch mit TLS bleiben jedoch einige für Kommunikation nötige Informationen und Informationen außerhalb des Kommunikationsinhalts bestehen.

Dieser Unterschied ist wichtig. TLS schützt den HTTP-Inhalt, lässt aber die Existenz der Kommunikation, Datenmenge, Timing und IP-Adressen nicht verschwinden.

Auf TLS-Terminierung achten

Bei TLS muss man beachten, von wo bis wo Kommunikation geschützt ist.

Häufig heißt es, "zwischen Browser und Webserver wird verschlüsselt". In realen Webdiensten können jedoch CDN, Load Balancer oder Reverse Proxy die TLS-Terminierung übernehmen.

TLS-Terminierung ist der Punkt, an dem verschlüsselte Kommunikation entschlüsselt wird.

Es gibt zum Beispiel Konfigurationen, in denen Browser bis zum CDN durch TLS geschützt kommunizieren und das CDN die Anfrage über eine andere Verbindung zum Origin-Server weiterleitet. Dann ist aus Browsersicht das TLS-Ziel das CDN, und der Schutz dahinter hängt von der Dienstkonfiguration ab.

Das bedeutet nicht, dass TLS schwach ist. TLS schützt Kommunikation zwischen Endpunkten. Welche Stelle der Endpunkt ist, hängt von der Systemkonfiguration ab.

TLS ist keine Anonymisierungstechnik

TLS ist keine Anonymisierungstechnik.

TLS schützt Kommunikationsinhalte vor Dritten auf dem Weg. Dem Zielserver erreichen die Inhalte jedoch. Der Server muss Anfragen verarbeiten und kann daher gesendete Daten, Cookies, Login-Informationen, Zugriffszeit, Quell-IP-Adresse und Ähnliches kennen.

Beim Zugriff auf eine HTTPS-Website können Dritte unterwegs den Seiteninhalt schwerer lesen. Die Zielwebsite selbst kann aber die aufgerufene Seite, gesendete Formularinhalte, Login-Zustand, Cookies und Ähnliches verarbeiten.

Verschlüsselung und Anonymisierung verfolgen unterschiedliche Ziele.

Verschlüsselung soll Kommunikationsinhalte für Dritte schwerer lesbar machen. Anonymisierung soll schwerer erkennbar machen, wer kommuniziert, wohin verbunden wird und welche Handlungen zur selben Person gehören.

TLS ist stark beim ersten Ziel, verwirklicht das zweite aber nicht allein.

Warum TLS-Verständnis wichtig ist

Wer TLS versteht, kann HTTPS-Sicherheit genauer und ohne Überbewertung beurteilen.

HTTPS ist sehr wichtig gegen Mitlesen und Veränderung auf dem Kommunikationsweg. Für Login, Zahlung, Übermittlung personenbezogener Daten und Verwaltungsoberflächen ist HTTPS eine Voraussetzung.

Auch bei HTTPS erreichen Informationen jedoch den Zielserver. Serverlogs, Quell-IP-Adresse, Cookies, Kontoinformationen und Browserinformationen bleiben eigene Fragen.

Man sollte TLS daher so trennen:

TLS ist eine Grundtechnik für Kommunikationssicherheit. Es ist jedoch kein universeller Mechanismus, der alle Fragen von Privatsphäre und Anonymität löst.

Zusammenfassung

TLS ist der zentrale Schutzmechanismus bei HTTPS.

TLS verschlüsselt Kommunikationsinhalte zwischen Browser und Server, sodass Dritte unterwegs Inhalte schwerer lesen können. Es erleichtert außerdem die Erkennung von Veränderungen unterwegs und prüft das Ziel mit Serverzertifikaten.

TLS ist jedoch keine Anonymisierungstechnik. Kommunikationsinhalte erreichen den Zielserver, und Quell-IP-Adresse, Serverlogs, Cookies, Kontoinformationen und ähnliche Fragen bleiben getrennt bestehen.

Um TLS richtig zu verstehen, muss man unterscheiden zwischen "Kommunikationsinhalte werden verschlüsselt" und "es ist verborgen, wer worauf zugreift".

HTTPS ist wichtig für sichere Kommunikation, stellt aber Anonymität oder Tracking-Schutz nicht automatisch her.

Verwandte Artikel