Auch genannt: Hypertext Transfer Protocol Secure, HTTP über TLS
HTTPS ist die abgesicherte Variante von HTTP, dem Protokoll, über das Browser und Webserver Informationen austauschen. Dabei läuft HTTP innerhalb einer TLS-Verbindung. TLS verschlüsselt die Kommunikation zwischen Client und Server und hilft dem Browser außerdem, die Identität des angesprochenen Servers anhand seines Zertifikats zu prüfen. HTTPS schützt damit den Transportweg. Es sagt allein noch nichts darüber aus, wie vertrauenswürdig ein Anbieter ist oder wie dieser Daten nach dem Empfang verarbeitet.
Beim Aufruf einer Webadresse mit https:// verbindet sich ein Browser nicht einfach ungeschützt mit einem Server. Zuerst wird eine TLS-Verbindung aufgebaut. Erst danach werden die normalen HTTP-Anfragen und Antworten übertragen. Die MDN-Dokumentation beschreibt HTTPS als verschlüsselte Version von HTTP, die TLS für die gesamte Kommunikation zwischen Client und Server nutzt.
Das Ziel ist vor allem, dass andere Teilnehmer auf dem Übertragungsweg die Inhalte nicht einfach mitlesen oder unbemerkt verändern können. Ebenso wichtig ist die Identitätsprüfung: Der Browser vergleicht den Namen aus der aufgerufenen Adresse mit der Identität, die der Server in seinem Zertifikat vorlegt. RFC 2818 verlangt diesen Abgleich grundsätzlich, um Man-in-the-Middle-Angriffe zu erschweren.
Das bekannte Schloss im Browser ist deshalb ein Hinweis auf eine geschützte Verbindung, kein Gütesiegel für den Inhalt einer Website. Eine betrügerische Seite kann technisch korrekt HTTPS verwenden. Entscheidend bleibt, ob die Adresse stimmt, ob der Browser vor einem Zertifikatsfehler warnt und ob der Dienst selbst vertrauenswürdig ist.
Zu Beginn baut der Browser eine Verbindung zum Server auf und startet den TLS-Handshake. Dabei handeln Client und Server die Parameter für die Verbindung aus. Der Server präsentiert ein Zertifikat; der Browser prüft unter anderem, ob dessen Identität zum aufgerufenen Hostnamen passt und ob die Zertifikatskette als vertrauenswürdig gilt. Schlägt diese Prüfung fehl, sollte man die Warnung nicht wegklicken, besonders nicht bei Logins oder Zahlungsseiten.
Nach dem Handshake werden die HTTP-Daten als TLS-Anwendungsdaten übertragen. Für Nutzerinnen und Nutzer bleibt das meist unsichtbar: Die Adresse beginnt mit https://, der Browser zeigt seinen Sicherheitsstatus an, und die Seite funktioniert wie gewohnt. Historisch ist für HTTPS über TCP Port 443 der Standardport. Das ist eine Konvention, keine Sicherheitsgarantie und auch keine Voraussetzung dafür, dass TLS auf einem anderen geeigneten Transportweg eingesetzt werden kann.
HTTPS ist also keine eigene Art von Webseite und auch kein Ersatz für HTTP. Es ist die Kombination aus HTTP und dem darunterliegenden Schutzprotokoll TLS. Die Schreibweise der URL zeigt an, welches Schema der Browser verwenden soll; der Schutz entsteht durch die erfolgreich geprüfte TLS-Verbindung, nicht durch die fünf Buchstaben allein.
Jemand öffnet das Online-Kundenkonto eines Energieversorgers. Der Browser ruft die Adresse per HTTPS auf, prüft das Zertifikat für den Domainnamen und verschlüsselt danach Anmeldedaten und angezeigte Vertragsdaten auf dem Weg zum Server. In einem offenen WLAN kann ein anderer Teilnehmer diese Übertragung dadurch nicht einfach als Klartext lesen.
Das Beispiel hat Grenzen. Wer seine Zugangsdaten auf einer ähnlich aussehenden Phishing-Seite eingibt, kann sie trotzdem preisgeben. Und wenn das Kundenkonto selbst übernommen wurde, hilft HTTPS nicht bei der Wiederherstellung der Berechtigungen. HTTPS sichert die Strecke zum richtigen Server, wenn dessen Identität erfolgreich geprüft wird; es ersetzt weder eine sorgfältige Anmeldung noch die Sicherheit des Kontos beim Anbieter.
HTTPS ist der Normalfall für Webanwendungen, bei denen Inhalte, Formulare, Konten oder Sitzungen übertragen werden. Dazu gehören Online-Shops, Banken, Behördenportale, E-Mail-Weboberflächen und interne Unternehmensanwendungen. Auch eine einfache Informationsseite profitiert davon, weil Besucherinnen und Besucher mit HTTPS besser gegen Mitlesen und Manipulation auf dem Weg zur Seite geschützt sind.
Für Betreiber gehört mehr dazu als das einmalige Einrichten eines Zertifikats. Zertifikate müssen rechtzeitig erneuert werden; der Webserver muss TLS korrekt konfigurieren; Änderungen an Domainnamen, Proxys oder Load Balancern können die Zuordnung von Name und Zertifikat beeinflussen. Der Beitrag von Digital Magazin zu digitalen Zertifikaten erklärt den praktischen Zusammenhang: TLS-Zertifikate dienen dazu, Websites abzusichern und die Identität im Netz nachzuweisen.
„HTTPS“ bedeutet nicht, dass Daten überall verschlüsselt bleiben. Der Schutz bezieht sich auf die Verbindung zwischen dem jeweiligen Client und Server. Was der Dienst nach dem Empfang mit Daten macht, ist eine andere Frage. Ein Beitrag von Digital Magazin zur Browser-Synchronisation formuliert diese Grenze treffend: HTTPS verschlüsselt den Transportweg, schützt aber nicht vor einer Kontoübernahme oder davor, dass Daten beim Anbieter verarbeitet werden.
Auch die Aussage „Schloss gleich seriös“ ist falsch. Angreifer können eigene Domains und gültige Zertifikate verwenden. Deshalb sollte man bei sensiblen Vorgängen die vollständige Adresse prüfen und Browserwarnungen ernst nehmen. HTTPS verhindert außerdem keine Schadsoftware auf dem eigenen Gerät, keine schwachen Passwörter und keine Fehler in der Anwendung auf dem Server.
Schließlich ist HTTPS nicht dasselbe wie Ende-zu-Ende-Verschlüsselung. Bei einer Ende-zu-Ende-Lösung sollen nur die vorgesehenen Kommunikationspartner Inhalte entschlüsseln können. Bei HTTPS endet die TLS-Verbindung dagegen am Server oder, je nach Infrastruktur, an einem vorgeschalteten System. Das kann für Webdienste passend sein, beschreibt aber einen anderen Schutzbereich.
Domain bezeichnet einen Namen im Domain Name System, etwa beispiel.de. HTTPS verwendet einen Domainnamen bei der Serveridentitätsprüfung, ist aber kein Namenssystem. Das Domain Name System übersetzt Namen für die Netzkommunikation in passende Informationen; es verschlüsselt nicht automatisch jede Webverbindung. Verschlüsselung ist der Oberbegriff für den Schutz von Daten durch kryptografische Verfahren. HTTPS ist ein konkreter Einsatzfall für Verschlüsselung während der Webkommunikation.
Stand der Quellen: 13. September 2026