Auch wenn heftige Kritik von Seiten fanatischer HTTPS-Anhänger folgen sollte, muss man die Wichtigkeit von oben nach unten in abnehmender Bedeutung klassifizieren.
- Für die Transaktionssysteme der Banken (Onlinebanking).
- Für die Warenkorb- und Transaktionssysteme der Online-Shops. Selbst 2018 waren jedoch bei weitem noch nicht alle Shops auf HTTPS umgestellt, weder weltweit noch in Deutschland.
- Für die Interaktionssysteme der Firmen und staatlichen Verwaltungen, sofern hierbei datenschutzrelevante Inhalte übermittelt oder im Modul selbst verwendet werden.
- Für die Kommunikationssysteme (Kontaktformulare) der staatlichen Verwaltungen.
- Für die Kommunikationssysteme (Kontaktformulare) der Firmen.
- Für die Kommunikationssysteme (Kontaktformulare) bei Privatpersonen.
- Für reine Inhaltsseiten: Texte, Bilder - sowohl bei Firmen und noch weniger wichtig bei Privatpersonen.
- Letztendlich bleibt schleierhaft, warum Privatanbieter ohne kommerzielle Angebote oder Absichten ihre Inhalte mit HTTPS verschlüsseln. Vor allem bei umfangreichen Text-Inhalten sowie Bildern ist der Verschlüsselungsaufwand (= erforderliche Rechenleistung und Zeit) hoch und der Nutzen bleibt gering. Der einzige Vorteil besteht darin, dass es Personen dazwischen schwerer gemacht wird, diese Inhalte vom Sender zum Empfänger zu verändern. Aber wer sollte das aus welchen Gründen bei privaten Seiten tun - Texte abändern und Bilder verfälschen? Die Inhalte selbst sind sowie frei verfügbar und werden durch HTTPS nicht geschützt. - Nochmals zur Klarstellung in diesem Zusammenhang: HTTPS ist auch weder ein Kopierschutz noch ersetzt es Urheberrechts-Vorkehrungen.
Was soll man tun?
Wenn Sie sich nicht sicher sind, ob Sie auf HTTPS umsteigen sollen, dann prüfen / beherzigen Sie die folgenden Ratschläge:
- Wer nutzt Ihren Internet-Auftritt? Firmen, Behörden, Kunden oder Privatpersonen?
- Wozu nutzen diese Personen Ihren Auftritt? Inhalte lesen, Interaktionsmodule verwenden, kommunizieren, Waren bestellen...?
- Wie oft werden diese Seiten, Inhalte, Interaktionsmodule, Kommunikationsformulare etc. verwendet?
- Was wird überhaupt an Datenschutzrelevanten / sensiblen Daten aufgenommen und weiterbe- / -verarbeitet? - Kontaktformulare, über die nur ein
Hallo, tolle Seite. Gruß M.
ausgetauscht werden, rechtfertigen den immensen Aufwand derzeit keinesfalls. - Verwenden Sie Datenbanken, Redaktionssysteme etc.? Dann werden Sie um eine zeitaufwändige und kostspielige Aktualisierung aller dieser Komponenten für HTTPS nicht umhinkommen.
Je anspruchsvoller Ihre bezahlenden (= echten) Kunden sind und je schützenswerter / sensibler die verwendeten Daten wirklich sind und je größer / häufiger solch ein Datenverkehr ist, umso eher lohnt sich der Aufwand.
Wenn HTTPS, dann richtig
Man darf die Kritik an SSL und HTTPS nicht falsch verstehen Sicherheit ist wichtig und muss sein. Aber hierbei handelt es ich um eine ganzheitliche Aufgabe, die auch als strategische Entscheidung von der Firmenleitung getroffen und dann von allen und in jedem Detail konsequent umzusetzen ist.
- Wenn man sich dazu entscheidet, HTTPS für den Internet-Auftritt einzuführen, dann richtig.
- Grundsätzlich ist es nicht sinnvoll, nur an einem Eck sicherheitstechnisch herumzuflicken.
- Sicherheit erhält man nur als ganzheitliches Paket.
- Wenn der Internet-Auftritt alt ist, sollten man ihn nicht irgendwie umarbeiten, sondern komplett neu gestalten und auf HTML 5.# ausrichten. Dabei sollte man bitte nur die neuesten Programme und Sprachversionen verwenden.
- Wenn der Internet-Auftritt neu ist und bereits auf HTML 5.# beruht, sollte man diesen dennoch komplett bis in alle Details und Programme hin untersuchen, um Sicherheitslücken auszuschließen resp. sie nun zu schließen. Dabei sollten alle Programme bzw. Scripts auf die modernste Version auf / umgerüstet werden.
- Jegliche Kommunikation über unsichere Kanäle sollte ausgeschlossen werden. Das klingt leichter, als es ist. Ggf. verliert man dadurch sogar Kunden, welche das nicht können. Auf jeden Fall erhöhen sich die direkten wie indirekten Betriebskosten.
- Rechtlicher Hinweis: Bei einem Datenleck handelt es sich um einen Verstoß gegen das Datenschutzgesetz, der geahndet werden kann. Wer eine Sicherheit vortäuscht, die nicht existiert, verschärft das Strafmaß.
- Das dreistete Vorgehen fand man bei einem angeblich privaten deutschen Anbieter, der einen Foto-Auftritt betreibt und dort u.a. E-Books vertreibt.
- Laut eigenen Aussagen des Betreibers stammt sein Auftritt aus dem Jahr 1998/99 und ist somit bereits auf den ersten Blick völlig veraltet und unsicher.
- Der damals gewählte Programmierstandard für alle Seiten (-Inhalte)
-//W3C//DTD HTML 4.01 Transitional//EN
war bereits 1999 veraltet und stellte damals nur den minimalistischen Übergang von HTML 3 dar. Der Betreiber verwendet ihn bis heute.
- Obwohl er einen derart veralteten und inhaltlich nachsichtigen Programmierstandard wählte, strotzen die Seiten dennoch vor bereits seit 2 Jahrzehnten bekannten und monierten Programmierfehlern in HTML. Tools fanden bis zu über 100 HTML-Programmier-Fehler je Seite. Hinzu kamen Fehler in JavaScript.
- Dass die Inhalte dann auch noch unergonomisch aufbereiten sind, verwundert kaum mehr jemanden.
- Darauf hat der Anbieter vor Kurzem einfach SSL setzen lassen.
- Das Ergebnis sind (mit den unten aufgelisteten Testwerkzeugen) z.T. über 100 sicherheitsrelevante Fehler bezüglich SSL je Seite.
- Als der Betreiber von anderen darauf aufmerksam gemacht wurde, reagierte er leider typisch mit aggressiver Sprache und verwies darauf, dass andere dies nichts angehe, was er mache.
- D.h. hier liegt eine dem Betreiber seit langem bekannte und somit vorsätzliche Irreführung sowie Täuschung zum Nachteil aller Nutzer vor.
- Obwohl vom Browser Firefox mit grünem Schloss markiert, ist der Auftritt somit unsicher.