HTTPS-Verschlüsselung: Pflicht für jede Website
Ob Kontaktformular, Login oder Newsletter-Anmeldung: Sobald auf Ihrer Website personenbezogene Daten übertragen werden, müssen diese verschlüsselt sein. HTTPS ist heute der technische Standard dafür und längst keine Kür mehr, sondern eine datenschutzrechtliche Pflicht. Zusätzlich schaffen Sie damit Vertrauen und verbessern Ihr Ranking bei Google.
Worum geht es?
HTTPS ist die verschlüsselte Variante des Protokolls, über das Ihre Website an den Browser der Besucher ausgeliefert wird. Die Verschlüsselung erfolgt über TLS und sorgt dafür, dass die Daten auf dem Weg zwischen Besucher und Server nicht mitgelesen oder verändert werden können. Erkennbar ist HTTPS am Schloss-Symbol in der Adresszeile und am Adresspräfix https://.
Ohne diese Verschlüsselung werden alle Eingaben im Klartext übertragen. Gibt ein Besucher etwa seinen Namen und seine E-Mail-Adresse in ein Kontaktformular ein, könnten diese Daten unterwegs abgefangen werden, zum Beispiel in einem offenen WLAN.
Betroffen sind dabei nicht nur Formulare. Auch beim Login, bei der Newsletter-Anmeldung oder bei einem Bestellvorgang werden sensible Angaben übertragen. Selbst ohne Formular tauschen Browser und Server bei jedem Aufruf technische Daten wie die IP-Adresse aus.
Ist Ihre Website DSGVO-konform?
Kostenloser Schnelltest – die ersten 10 Seiten, ohne Anmeldung, Ergebnis in rund 60 Sekunden.
Die Rechtslage
Art. 32 DSGVO verpflichtet Sie, dem Risiko angemessene technische und organisatorische Maßnahmen zu treffen, und zwar nach dem Stand der Technik. Für die Übertragung personenbezogener Daten über das Internet gilt die Verschlüsselung heute unstreitig als Stand der Technik. Sie ist einfach umzusetzen und weit verbreitet.
Daraus folgt: Wer personenbezogene Daten, etwa über ein Kontaktformular, unverschlüsselt überträgt, setzt eine grundlegende Schutzmaßnahme nicht um. Eine unverschlüsselte Übertragung stellt deshalb einen Datenschutzverstoß dar und kann entsprechend geahndet werden.
Neben der rechtlichen Pflicht bringt HTTPS handfeste Vorteile: Besucher erkennen an der sicheren Verbindung, dass Sie ihre Daten ernst nehmen. Und Google berücksichtigt HTTPS als Rankingfaktor, sodass eine verschlüsselte Seite auch für Ihre Sichtbarkeit in der Suche von Vorteil ist.
So wird es DSGVO-konform
Die Umstellung auf HTTPS ist heute kostenlos und mit wenigen Schritten erledigt:
- Zertifikat einrichten: Nutzen Sie ein kostenloses TLS-Zertifikat, etwa über Let's Encrypt. Viele Hoster bieten die Einrichtung per Klick an.
- Automatische Weiterleitung einrichten: Leiten Sie alle Aufrufe von http:// dauerhaft auf https:// um, damit niemand versehentlich die unverschlüsselte Version erreicht.
- HSTS aktivieren: Mit HTTP Strict Transport Security weisen Sie Browser an, Ihre Seite grundsätzlich nur noch verschlüsselt aufzurufen.
- Auf Mixed Content prüfen: Stellen Sie sicher, dass keine Bilder, Skripte oder Stylesheets mehr über http:// eingebunden sind, da dies die Verschlüsselung teilweise aushebelt.
- Zertifikatslaufzeit im Blick behalten: Achten Sie darauf, dass sich das Zertifikat automatisch verlängert, damit die Verschlüsselung nicht unbemerkt abläuft.
Verschlüsselung schnell überprüfen
Selbst wenn Ihre Seite grundsätzlich über HTTPS erreichbar ist, bleiben oft kleine Lücken: eine fehlende Weiterleitung von der unverschlüsselten Adresse, ein einzelnes Bild, das noch über http:// geladen wird, oder ein bald ablaufendes Zertifikat.
easy-DSGVO.de prüft, ob Ihre Website korrekt verschlüsselt ausgeliefert wird und ob die Weiterleitung von http auf https funktioniert. So sehen Sie in wenigen Minuten, ob Ihre HTTPS-Konfiguration den Anforderungen genügt.