HTTPS, Cookies & Co.: Die unsichtbaren Sicherheitsmerkmale einer seriösen Website

HTTPS und SSL/TLS: mehr als nur ein Schloss-Symbol

Das Schloss-Symbol in der Adresszeile steht für HTTPS, also eine verschlüsselte Verbindung zwischen Browser und Server über ein SSL/TLS-Zertifikat. Ohne dieses Zertifikat markieren moderne Browser eine Seite aktiv als «nicht sicher» – ein Warnsignal, das Besucherinnen und Besucher zuverlässig abschreckt, unabhängig davon, wie vertrauenswürdig der Inhalt tatsächlich ist.

Sicherheits-Header: CSP und HSTS

HTTPS allein reicht aber nicht aus. Sicherheits-Header wie Content-Security-Policy (CSP) legen fest, welche Skripte und Ressourcen eine Seite überhaupt laden darf, und erschweren so Angriffe wie Cross-Site-Scripting. HTTP Strict Transport Security (HSTS) zwingt Browser, eine Seite ausschliesslich verschlüsselt aufzurufen, selbst wenn jemand versehentlich die unverschlüsselte Adresse eingibt.

Cookies und Einwilligung: rechtliche und technische Seite

Cookies und das Einholen einer Einwilligung dazu sind ein weiterer, oft unterschätzter Baustein: Wer Analyse- oder Marketing-Cookies ohne gültige Einwilligung setzt, verstösst gegen geltendes Datenschutzrecht – unabhängig davon, ob die Website technisch sicher ist. Eine sauber umgesetzte Cookie-Einwilligung schützt also nicht nur rechtlich, sondern signalisiert auch gegenüber Besucherinnen und Besuchern, dass mit ihren Daten sorgfältig umgegangen wird.

Unsere Einordnung: Diese Massnahmen sind für Laien meist unsichtbar, solange sie funktionieren – aber bei jedem Projekt, das wir umsetzen, gehören SSL/TLS-Zertifikat, Sicherheits-Header und eine korrekte Cookie-Einwilligung zur Grundausstattung, nicht zur Kür. Gerade bei KMU-Websites wird das erfahrungsgemäss am ehesten vernachlässigt, weil es auf den ersten Blick nicht auffällt.

Sandro Geissmann | Geissmann Webconsulting

Alle Beiträge sind allgemeine fachliche Einordnungen und ersetzen keine individuelle Rechts- oder Fachberatung.