Ich bin erstaunt darüber, wie viele (WordPress-) Websites noch in unverschlüsselter Form HTTP im Internet zu finden sind. Beim Versuch, insbesondere ältere Webseiten zu öffnen, stößt man immer wieder auf Fehlermeldungen im Browser. Dabei sind Webseitenbetreiber doch schon vor über zehn Jahren weltweit darauf hingewiesen worden, auf das verbindungssichere Format HTTPS umzustellen, um Besucherinnen und Besucher vor Datendiebstahl zu schützen.
Vom kleinen Verein über ältere Betriebe bis hin zu Anwaltsseiten
Tatsächlich bin ich vor Kurzem bei der Internetrecherche auf eine Website eines Anwaltsvereins gestoßen, dessen Domainname (Internetadresse) nur unter dem veralteten HTTP-Protokoll abrufbar ist.
Anhand eines Beispiels erkläre ich, wie ich vorgegangen bin:
Ich habe die Webadresse „anwaltsverein-xxx.de“ (der echte Domainname ist unkenntlich gemacht) in die Adresszeile eines Browsers (hier: BRAVE im privaten Modus) eingegeben und mit Enter bestätigt. Doch anstatt der Website des Anwaltsvereins bekam ich folgende Fehlermeldung zu sehen:
Besonders aufmerksam wurde ich auf die Anmerkung „Nicht sicher“ und das durchgestrichene Schloss-Symbol (neben dem Domainnamen).
Ein eindeutiger Hinweis darauf, dass diese Website nicht mit HTTPS verschlüsselt, die Weiterleitung von HTTP zu HTTPS falsch eingerichtet wurde oder ein Problem mit dem sogenannten SSL/TLS-Zertifikat vorliegt, das die HTTPS-Verschlüsselung gewährleisten kann.
Wäre die Website mit HTTPS unter Zuhilfenahme eines SSL/TLS-Zertifikats ordentlich verschlüsselt, würde keine Fehlermeldung erscheinen und das Schloss-Symbol (das oft erst nach Betätigung des Info-Symbols neben der Internetadresse sichtbar wird) nicht durchgestrichen sein.
Nun möchte man meinen, dass gerade ein Anwaltsverein ein großes Interesse daran zeigen sollte, größtmögliche Cybersicherheit (und damit Datenschutz) beim Besuch seiner Website anzubieten. Doch leider war das hier nicht der Fall.
Und das ist kein Einzelfall.
Immer wieder stoße ich auf Internetauftritte von kleinen Vereinen, älteren Handwerksbetrieben, Internet-Shops oder Anwaltskanzleien (um nur einige Beispiele zu nennen), die in unverschlüsselter HTTP-Form im Internet veröffentlicht gehalten werden und beim versuchten Aufruf folgende mögliche Fehlermeldungen im Browser verursachen:
- Beheben Sie den Fehler „Ihre Verbindung ist nicht privat“.
- Die Website ist nicht erreichbar.
- Diese Seite ist leider nicht erreichbar.
- Seite wurde nicht gefunden.
Und das, obwohl das US-Unternehmen Google bereits in den Jahren 2014 bis 2017 Webseitenbetreiber eindringlich dazu aufforderte, von HTTP auf HTTPS umzustellen.
Ich weiß noch, welche „Panik“ sich damals im Internet breit machte. Als ich in meinem ehemaligen Online-Magazin die Nachricht verbreitete, dass ich aus Sicherheitsgründen zu HTTPS gewechselt habe, bekam ich unter anderem zu hören, dass „HTTP doch ausreiche“ oder „HTTPS gar nichts bringe“.
Letztlich hat sich das „Hypertext Transfer Protocol Secure“ (kurz: HTTPS) – also die verschlüsselte Version des HTTP-Protokolls – durchgesetzt.
Mittlerweile gilt HTTPS seit über 10 Jahren als Standard für jede Website, dessen Besitzer:in Wert auf Cybersicherheit und Datenschutz legt.
Dennoch scheint die Nachricht noch nicht alle Webseitenbetreiber:innen erreicht zu haben.
Jetzt macht Google ernst:
Ab Oktober 2026 wird HTTPS zur Pflicht
Was anfangs von Google noch als Ranking-Faktor und später als Warnhinweis an Website-Betreiber, dessen Internetseiten die Eingabe eines Passworts oder von Kreditkarteninformationen erfordert, abgetan wurde, soll ab Oktober dieses Jahres für alle Websites zur Pflicht werden.
Wer seine Website bis dahin nicht von HTTP auf HTTPS umgestellt hat, wird im „Chrome“-Browser (andere Browser werden vielleicht nachziehen) abgestraft.
Bisher kann eine entsprechende Funktion optional in den Einstellungen jedes Browsers (bei BRAVE heißt sie „Verbindungen auf HTTPS upgraden“) ausgewählt werden. Fortan wird sie standardmäßig von Google in „Chrome“ aktiviert.
Das heißt, jedes Mal, wenn jemand versucht, eine unsichere HTTP-Webseite aufzurufen, wird eine Hinweismeldung angezeigt, die darauf aufmerksam macht, welche Sicherheitsrisiken damit verbunden sind (wobei der Aufruf der Website dennoch über einen Button ermöglicht werden soll). Google begründet die Umstellung damit, dass „Angreifer zuvor unsicheres HTTP verwendet haben, um Benutzergeräte bei einem gezielten Angriff zu kompromittieren“. Diese Sicherheitslücke in „Chrome“ will Google schließen.
Da ich die genannte Funktion schon eine gefühlte Ewigkeit in allen Browsern aktiviert halte und genauso lange „Chrome“ nicht nutze, zeige ich auch ein aktuelles Beispiel aus Microsofts Browser „Edge“ an, das – wie viele andere Browser – leider nicht erklärt, warum diese Seite nicht erreichbar ist:
Laut Googles Security-Bericht soll die Hinweismeldung in „Chrome“ besser aufklären – eine Maßnahme, die meines Erachtens in allen Browsern beherzigt werden sollte.
Denn Hinweis- oder Fehlermeldungen wie „die DNS-Adresse wurde nicht gefunden“ oder „die Server-IP-Adresse wurde nicht gefunden“ und „Überprüfen der Proxy-, Firewall- und DNS-Einstellungen“ verwirren nur und könnten – wie schon oft von mir beobachtet – aufseiten der Nutzer:innen zu überstürzten Handlungen führen, die mehr schaden als nützen.
Apropos schaden: Schon seit Jahren wirft es kein gutes Licht auf Webseitenbetreiber, wenn vor dem Aufruf der Internetseite eine Warnmeldung erscheint. Das schreckt potenzielle Besucher:innen ab. Und ich bin sicher nicht die Einzige, die die Funktion „Verbindungen auf HTTPS upgraden“ oder Ähnliches im Browser aktiviert hält.
Jetzt bleibt nur noch die Frage für alle, die noch nicht umgestellt haben:
Wie stellt man eine (WordPress-) Website von HTTP zu HTTPS um?
Zuerst einmal sollte man wissen, dass ein SSL/TLS-Sicherheitszertifikat einer vertrauenswürdigen Organisation erforderlich ist, um die eigene Website von HTTP auf HTTPS umstellen zu können.
Entweder greift man dabei auf ein Zertifikat zurück, das bei den meisten Webhosting-Anbietern kostenlos freigeschaltet werden kann (zum Beispiel von „Let’s Encrypt“ – was für einen Großteil der Nutzer:innen ausreichen sollte), oder man erwirbt ein SSL/TLS-Sicherheitszertifikat mit Domain-, Unternehmens- oder erweiterter Validierung (für höhere Ansprüche an Verschlüsselung und Identitätsprüfung – was oft bei größeren Unternehmen zum Einsatz kommt, die sich diesbezüglich besser von entsprechenden Anbietern beraten lassen sollten).
Wobei man wissen sollte, dass es sich bei dem Verschlüsselungsprotokoll „Transport Layer Security“ (kurz: TLS) um das neuere Internetprotokoll handelt. SSL („Secure Sockets Layer“) gilt als veraltet, ist aber immer noch in aller Munde, weshalb hier von SSL/TLS die Rede ist. Auch E-Mails sind seit Jahren TLS-verschlüsselt.
Ausgehend von den Sicherheitszertifikaten, die von „Let’s Encrypt“ dauerhaft kostenlos bereitgestellt werden, braucht man in den meisten Fällen nur im Account des Webhosting-Anbieters (Providers) nachschauen, an welcher Stelle man das Zertifikat für die Website aktivieren kann (notfalls in den FAQ nachschauen, oft unter TLS, SSL-Zertifikat, SSL-Schutz o.Ä. zu finden). Verfügt man über mehrere Websites, muss pro Domain ein Zertifikat freigeschaltet werden.
Hat mein ein SSL/TLS-Sicherheitszertifikat eines externen Anbieters erworben, kann auch dies in den meisten Fällen direkt im Webhosting-Account an entsprechender Stelle aktiviert werden.
Während des Vorgangs sollte man darauf achten, dass folgende Einstellungen vorgenommen werden (die Bezeichnungen variieren von Provider zu Provider, können demnach auch anders lauten):
- SSL aktivieren!
- SSL erzwingen! (damit wirklich jede HTTP-Seite immer automatisch zu HTTPS umgeleitet wird)
- HSTS aktivieren! (wenn möglich, inklusive Subdomains (engl.: includeSubDomains)). Ein HSTS-(„HTTP Strict Transport Security“)-Header ermöglicht Websites, Browser anzuweisen, dass eine Verbindung zu dieser Website immer über eine sichere HTTPS-Verbindung hergestellt wird.
Oft dauert es dann nur bis zu 10 Minuten, bis das Zertifikat nach dem Aktivieren freigeschaltet ist.
Aber noch ist die Sache nicht erledigt.
Bei Websites, die mit WordPress erstellt wurden, muss anschließend eine wichtige Einstellung im Dashboard vorgenommen werden:
- Logge dich in deine WordPress-Website ein (melde dich an).
- Navigiere zu Einstellungen / Allgemein.
- Ändere in den Feldern „WordPress-Adresse (URL)“ und „Website-Adresse (URL)“ die Domainadressen von http zu https.
Als Beispiel:
Vorher: http://www.example.com
Nachher: https://www.example.com - Speichere die Eingaben über den Button „Änderungen speichern“.
- Fertig.
Darüber hinaus empfehle ich, folgende Code-Zeilen in die wp-config.php einzufügen (und zwar zwischen den Angaben „/* Füge individuelle Werte zwischen dieser Zeile und der „Schluss mit dem Bearbeiten“ Zeile ein. */“ und „/* Das war’s, Schluss mit dem Bearbeiten! Viel Spaß. / / That’s all, stop editing! Happy publishing. */“):
define('FORCE_SSL_ADMIN', true);
define('FORCE_SSL_LOGIN', true);Damit erzwingst du HTTPS auch im WordPress-Adminbereich und auf Anmeldeseiten.
Sobald freigeschaltet und alle Einstellungen vorgenommen, ist die Website unter HTTPS erreichbar. 🙂
Erscheint bei Aufruf deiner Website immer noch eine der oben genannten Fehlermeldungen, wurde aufseiten des Webhosters offenbar nicht gleichzeitig eine automatische dauerhafte (Redirect 301) Weiterleitung von HTTP zu HTTPS (in meinem obigen Beispiel heißt sie „SSL erzwingen“) aktiviert. Die ist nämlich erforderlich, um einen reibungslosen Betrieb unter HTTPS zu gewährleisten.
In diesem Fall musst du die Weiterleitung manuell durch Einfügen eines Codes in der .htaccess-Datei deiner WordPress.org-Website (auf Apache-Server, nicht Nginx) einrichten oder du wendest dich direkt an den Provider (was ich empfehle, denn die Code-Zeilen müssen speziell auf deine Bedürfnisse zugeschnitten sein). Es gibt auch passende Plugins für WordPress, aber davon rate ich in diesem Fall ab, da man nie wissen kann, ob und wielange diese Plugins gepflegt und aktualisiert werden (schleicht sich dort ein Mal ein Fehler ein, ist deine Website nicht mehr über HTTPS erreichbar).
Der Standard-Code für Redirect 301-Weiterleitungen inklusive Prüfung des Standard-HTTPS-443-Ports (sofern das Webhosting-Paket „mod_rewrite“ unterstützt) (der Code gehört ganz oben in die erste Zeile der .htaccess über # BEGIN WordPress) lautet:
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{SERVER_PORT} !^443$
RewriteRule (.*) https://%{HTTP_HOST}/$1 [R=301,L]
</IfModule>Besteht im Webhosting-Account keine Möglichkeit, „HSTS inklusive Subdomains“ zu aktivieren, könntest du die .htaccess-Datei mit folgenden Code-Zeilen ergänzen (unter der Zeile # END WordPress):
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
</IfModule>(„max-age=31536000“ bedeutet, dass der Browser die HSTS-Regel für ein Jahr speichert. Die Ziffern stellen Sekunden dar. Willst du die Funktion erst mal testen, ersetze die Zahl durch 600, dies entspricht 10 Minuten).
Traust du dich nicht selber ran, deine WordPress.org-Website (auf Apache-Servern inkl. „mod_rewrite“) von HTTP zu HTTPS umzustellen, kannst du natürlich uns beauftragen. Gern übernehmen wir das für kleine Unternehmen, Betriebe und (Solo-) Selbstständige.
Schreibe einen Kommentar