Was ist TLS?
TLS schützt HTTPS-Inhalte durch Vertraulichkeit, Integrität und Zielprüfung, ist aber keine Anonymisierung und lässt Metadaten sowie Website-seitige Verarbeitung bestehen.
Bei HTTPS-Kommunikation werden HTTP-Daten nicht unverändert gesendet, sondern durch einen Mechanismus namens TLS geschützt.
Der Unterschied zwischen HTTP und HTTPS wird manchmal als "verschlüsselt oder nicht" erklärt. TLS hat jedoch nicht nur Verschlüsselung als Rolle. Es soll Kommunikationsinhalte für Dritte schwerer lesbar machen, Veränderungen unterwegs leichter erkennbar machen und den Zielserver prüfen.
Dieser Artikel ordnet, was TLS schützt und was TLS nicht schützt.
Was ist TLS?
TLS steht für Transport Layer Security und ist ein Protokoll zum Schutz von Kommunikation im Netzwerk.
Im Web wird TLS verwendet, um Kommunikation zwischen Browser und Webserver zu schützen. Wenn Sie im Browser eine HTTPS-Website öffnen, werden HTTP-Kommunikationsinhalte durch TLS geschützt gesendet und empfangen.
TLS bietet hauptsächlich drei Schutzfunktionen.
| Rolle | Bedeutung | Erklärung |
|---|---|---|
| Vertraulichkeit | Kommunikationsinhalte werden schwerer lesbar | Dritte unterwegs können den Dateninhalt schwerer verstehen |
| Integrität | Veränderungen an Kommunikationsinhalten werden leichter erkannt | Unterwegs veränderte Daten können erkannt werden |
| Authentifizierung | Das Ziel wird geprüft | Mit Serverzertifikaten wird geprüft, ob das Ziel ein gültiges Zertifikat für die Domain besitzt |
TLS nur als "Mechanismus zur Verschlüsselung" zu merken ist daher ungenau. Richtiger ist: TLS schützt Kommunikationsinhalte und prüft das Ziel in einem gemeinsamen Mechanismus.
HTTPS ist HTTP, das durch TLS geschützt wird
HTTPS ist HTTP-Kommunikation, die durch TLS geschützt wird.
HTTP ist der Mechanismus, mit dem Browser und Webserver Seiteninhalte, Formulardaten und Ähnliches austauschen. HTTP allein verschlüsselt Inhalte jedoch nicht. Deshalb besteht die Gefahr, dass Dritte auf dem Kommunikationsweg Inhalte lesen oder verändern.
Bei HTTPS findet der HTTP-Austausch innerhalb von TLS statt. Dadurch werden Inhalte von HTTP-Anfragen und -Antworten unterwegs schwerer lesbar.
| Punkt | HTTP | HTTPS |
|---|---|---|
| Kommunikationsinhalt | Wird als Klartext gesendet | Wird durch TLS geschützt |
| Widerstand gegen Mitlesen | Niedrig | Hoch |
| Veränderungserkennung | Schwach | Durch TLS leichter erkennbar |
| Prüfung des Ziels | Grundsätzlich schwach | Wird mit Serverzertifikaten geprüft |
| Hauptstruktur | HTTP | HTTP over TLS |
HTTPS behandelt keine anderen Inhalte als HTTP. Es sendet HTTP-Kommunikation geschützt durch TLS.
Was TLS schützt
Der Kern von TLS ist der Schutz der Kommunikationsinhalte zwischen Browser und Server.
Auf dem Kommunikationsweg gibt es Wi-Fi-Router, Provider, Netzwerkgeräte von Organisationen, Zwischeninfrastruktur im Internet und andere Stellen. Ohne TLS können Inhalte dort gelesen oder verändert werden.
Wenn TLS aktiv ist, werden Kommunikationsinhalte verschlüsselt. Selbst wenn Dritte unterwegs Daten erhalten, ist es schwierig, den HTTP-Inhalt direkt zu lesen.
| Information | Schutz durch TLS | Erklärung |
|---|---|---|
| Seiteninhalt | Geschützt | HTML und Inhalt, die vom Server kommen, sind unterwegs schwerer lesbar |
| Formulareingaben | Geschützt | Logindaten und Kontaktinhalte werden verschlüsselt |
| HTTP-Header | Geschützt | Cookie, User-Agent und andere HTTP-Header werden innerhalb von TLS gesendet |
| Cookie-Werte | Geschützt | Cookie-Inhalte sind unterwegs schwerer lesbar |
| URL-Pfad und Query | Geschützt | Der Teil wie /search?q=... in example.com/search?q=... wird als HTTP-Anfrage geschützt |
Dieser Schutz gilt jedoch gegenüber Dritten unterwegs. Der Zielserver entschlüsselt und liest die Kommunikationsinhalte, weil er die Anfrage verarbeiten muss.
Das Ziel wird mit Serverzertifikaten geprüft
TLS verschlüsselt nicht nur Inhalte, sondern prüft auch den Zielserver.
Wenn Sie eine HTTPS-Website öffnen, legt der Server ein Serverzertifikat vor. Der Browser prüft, ob dieses Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde, ob es noch gültig ist und ob es zum aufgerufenen Domainnamen passt.
Dadurch lässt sich prüfen, ob das Gegenüber ein gültiges Zertifikat für die beabsichtigte Domain besitzt.
Ein Serverzertifikat garantiert jedoch nicht, dass der Betreiber der Website sicher ist oder dass die Informationen auf der Website richtig sind. Das Zertifikat prüft vor allem, ob für diese Domain ein gültiges Zertifikat vorliegt.
Das Schloss-Symbol bei HTTPS zeigt also, dass der Kommunikationsweg durch TLS geschützt ist. Es garantiert nicht, dass die Website vertrauenswürdige Inhalte anbietet.
Was durch TLS verschlüsselt wird
TLS verschlüsselt vor allem den HTTP-Inhalt.
Webseitentext, Formularinhalte, Cookie-Werte, HTTP-Header sowie URL-Pfad und Query-String werden innerhalb von TLS gesendet.
Auch mit TLS bleiben jedoch einige für Kommunikation nötige Informationen und Informationen außerhalb des Kommunikationsinhalts bestehen.
| Information | Durch TLS verborgen? | Erklärung |
|---|---|---|
| Seiteninhalt | Eher verborgen | Wird als HTTP-Antwortinhalt durch TLS geschützt |
| Formulareingaben | Eher verborgen | Werden als HTTP-Anfrageinhalt durch TLS geschützt |
| Cookie-Werte | Eher verborgen | Werden als HTTP-Header durch TLS geschützt |
| URL-Pfad und Query | Eher verborgen | Werden als HTTP-Anfrageinhalt durch TLS geschützt |
| Ziel-IP-Adresse | Nicht verborgen | Nötig, um Pakete zum Ziel zu liefern |
| Quell-IP-Adresse | Nicht verborgen | Für Server oder Zwischenstellen sichtbar |
| Einige Informationen beim TLS-Verbindungsaufbau, etwa SNI | Je nach Umgebung sichtbar | Ohne ECH und ähnliche Verfahren kann der Ziel-Domainname erkennbar sein |
| DNS-Anfragen | Eigenes Problem | Bei gewöhnlichem DNS kann die angefragte Domain sichtbar sein |
| Datenmenge | Nicht verborgen | Die Menge gesendeter und empfangener Daten kann beobachtbar sein |
| Kommunikationszeitpunkt | Nicht verborgen | Wann kommuniziert wurde, kann beobachtbar sein |
Dieser Unterschied ist wichtig. TLS schützt den HTTP-Inhalt, lässt aber die Existenz der Kommunikation, Datenmenge, Timing und IP-Adressen nicht verschwinden.
Auf TLS-Terminierung achten
Bei TLS muss man beachten, von wo bis wo Kommunikation geschützt ist.
Häufig heißt es, "zwischen Browser und Webserver wird verschlüsselt". In realen Webdiensten können jedoch CDN, Load Balancer oder Reverse Proxy die TLS-Terminierung übernehmen.
TLS-Terminierung ist der Punkt, an dem verschlüsselte Kommunikation entschlüsselt wird.
Es gibt zum Beispiel Konfigurationen, in denen Browser bis zum CDN durch TLS geschützt kommunizieren und das CDN die Anfrage über eine andere Verbindung zum Origin-Server weiterleitet. Dann ist aus Browsersicht das TLS-Ziel das CDN, und der Schutz dahinter hängt von der Dienstkonfiguration ab.
Das bedeutet nicht, dass TLS schwach ist. TLS schützt Kommunikation zwischen Endpunkten. Welche Stelle der Endpunkt ist, hängt von der Systemkonfiguration ab.
TLS ist keine Anonymisierungstechnik
TLS ist keine Anonymisierungstechnik.
TLS schützt Kommunikationsinhalte vor Dritten auf dem Weg. Dem Zielserver erreichen die Inhalte jedoch. Der Server muss Anfragen verarbeiten und kann daher gesendete Daten, Cookies, Login-Informationen, Zugriffszeit, Quell-IP-Adresse und Ähnliches kennen.
Beim Zugriff auf eine HTTPS-Website können Dritte unterwegs den Seiteninhalt schwerer lesen. Die Zielwebsite selbst kann aber die aufgerufene Seite, gesendete Formularinhalte, Login-Zustand, Cookies und Ähnliches verarbeiten.
| Punkt | Kann TLS das lösen? | Grund |
|---|---|---|
| Mitlesen unterwegs | Eher ja | Kommunikationsinhalte werden verschlüsselt |
| Veränderung unterwegs | Eher ja | Es gibt Mechanismen zur Veränderungserkennung |
| Lesen durch Zielserver | Nein | Der Server muss Kommunikationsinhalte verarbeiten |
| Verbergen der Quell-IP-Adresse | Nein | Die Quell-IP kann serverseitig sichtbar sein |
| Identifikation durch Cookies | Nein | Cookies werden serverseitig zur Nutzerunterscheidung verwendet |
| Verknüpfung mit Login | Nein | Handlungen verbinden sich mit dem Konto |
Verschlüsselung und Anonymisierung verfolgen unterschiedliche Ziele.
Verschlüsselung soll Kommunikationsinhalte für Dritte schwerer lesbar machen. Anonymisierung soll schwerer erkennbar machen, wer kommuniziert, wohin verbunden wird und welche Handlungen zur selben Person gehören.
TLS ist stark beim ersten Ziel, verwirklicht das zweite aber nicht allein.
Warum TLS-Verständnis wichtig ist
Wer TLS versteht, kann HTTPS-Sicherheit genauer und ohne Überbewertung beurteilen.
HTTPS ist sehr wichtig gegen Mitlesen und Veränderung auf dem Kommunikationsweg. Für Login, Zahlung, Übermittlung personenbezogener Daten und Verwaltungsoberflächen ist HTTPS eine Voraussetzung.
Auch bei HTTPS erreichen Informationen jedoch den Zielserver. Serverlogs, Quell-IP-Adresse, Cookies, Kontoinformationen und Browserinformationen bleiben eigene Fragen.
Man sollte TLS daher so trennen:
| Perspektive | Hauptzweck | Beziehung zu TLS |
|---|---|---|
| Verschlüsselung | Kommunikationsinhalte werden für Dritte schwerer lesbar | Zentrale Rolle von TLS |
| Integrität | Veränderung unterwegs wird erkannt | Wichtige Rolle von TLS |
| Authentifizierung des Ziels | Prüfung, ob ein Server ein gültiges Zertifikat besitzt | Wichtige Rolle von TLS |
| Anonymisierung | Nutzende und Verbindungsbeziehungen werden schwerer erkennbar | Mit TLS allein nicht erreichbar |
| Tracking-Schutz | Identifikation durch Cookies oder Konten wird reduziert | Erfordert andere Maßnahmen als TLS |
TLS ist eine Grundtechnik für Kommunikationssicherheit. Es ist jedoch kein universeller Mechanismus, der alle Fragen von Privatsphäre und Anonymität löst.
Zusammenfassung
TLS ist der zentrale Schutzmechanismus bei HTTPS.
TLS verschlüsselt Kommunikationsinhalte zwischen Browser und Server, sodass Dritte unterwegs Inhalte schwerer lesen können. Es erleichtert außerdem die Erkennung von Veränderungen unterwegs und prüft das Ziel mit Serverzertifikaten.
TLS ist jedoch keine Anonymisierungstechnik. Kommunikationsinhalte erreichen den Zielserver, und Quell-IP-Adresse, Serverlogs, Cookies, Kontoinformationen und ähnliche Fragen bleiben getrennt bestehen.
Um TLS richtig zu verstehen, muss man unterscheiden zwischen "Kommunikationsinhalte werden verschlüsselt" und "es ist verborgen, wer worauf zugreift".
HTTPS ist wichtig für sichere Kommunikation, stellt aber Anonymität oder Tracking-Schutz nicht automatisch her.