Ist diese Website sicher? Drei Fragen, drei Prüfungen

„Ist diese Seite sicher?" ist drei Fragen in einer, und wer sie nicht auseinanderhält, prüft die falsche.

Gemeint sein kann: Kann jemand meine Eingaben mitlesen? Geht die Seite anständig mit meinen Daten um? Oder: Ist die Seite selbst in fremder Hand? Das sind drei verschiedene Risiken mit drei verschiedenen Antworten. Das Schloss in der Adresszeile beantwortet nur die erste — und auch die nur zur Hälfte.

Frage 1: Kann jemand mitlesen?#

Das Schloss bedeutet: Die Verbindung ist verschlüsselt, und das Zertifikat gehört zu dem Namen in der Adresszeile. Nicht mehr.

Es bedeutet ausdrücklich nicht, dass die Seite vertrauenswürdig ist. Zertifikate sind seit Jahren kostenlos und in Minuten ausgestellt. Ein Betrugsshop hat ein Schloss, genau wie eine Bank. Wer das Schloss als Gütesiegel liest, liest es falsch — es ist der Normalzustand, kein Auszeichnungsmerkmal.

Was an der Verschlüsselung tatsächlich prüfbar ist und häufiger schiefgeht, als man denkt:

• Läuft alles über HTTPS oder nur die halbe Seite? Lädt eine verschlüsselte Seite Bilder oder Skripte unverschlüsselt nach, ist die Schutzwirkung teilweise dahin. Browser melden das leise oder gar nicht mehr.
• Erzwingt der Server die Verschlüsselung? Ohne HSTS genügt ein Tippfehler ohne https://, und der erste Aufruf geht im Klartext hinaus — mit allem, was in der Adresse steht.
• Schweigt der Server bei den Schutz-Headern? Fehlen Angaben wie eine Content-Security-Policy, kann ein eingeschleustes Skript im Browser tun, was es will. Das ist kein Fehler, den man sieht, sondern einer, der eine bereits eingetretene Kompromittierung ungebremst wirken lässt.

Der Security-Check prüft diese drei Punkte samt offener Ports für eine beliebige Adresse, ohne Anmeldung.

Frage 2: Geht die Seite anständig mit meinen Daten um?#

Diese Frage hat mit Verschlüsselung nichts zu tun. Eine perfekt abgesicherte Seite kann trotzdem beim ersten Aufruf ein halbes Dutzend Dienste laden, die einen Besucher über andere Seiten hinweg wiedererkennen.

Die aussagekräftige Zahl ist nicht, wie viele Cookies eine Seite setzt, sondern wie viele sie setzt, bevor jemand zugestimmt hat. Alles nach dem Klick auf „Akzeptieren" ist eine Entscheidung des Besuchers. Alles davor ist eine Entscheidung des Betreibers — und bei allem, was nicht technisch notwendig ist, eine, die er nicht treffen darf.

Woran man eine Seite erkennt, die es ernst meint:

• Vor der Einwilligung laden keine fremden Hosts. Keine Schriftarten von externen Servern, keine Karten, keine Videovorschauen.
• Das Banner hat einen Ablehnen-Knopf, der genauso schnell zu finden ist wie der Zustimmen-Knopf.
• Ablehnen führt nicht dazu, dass dieselben Dienste trotzdem laden.

Was eine Seite vor der Einwilligung wirklich tut, zeigt der Datenschutz-Check. Welche Cookies dabei im Einzelnen anfallen und wie man sie selbst sichtbar macht, steht unter Welche Cookies setzt eine Website?

Frage 3: Ist die Seite selbst in fremder Hand?#

Das ist das Risiko, an das die meisten zuerst denken und das am seltensten zutrifft — aber wenn, dann ist es das folgenreichste.

Eine übernommene Seite sieht normal aus. Sie liefert denselben Inhalt wie immer und dazu ein eingeschleustes Skript, eine Weiterleitung für Besucher aus Suchmaschinen oder eine Zahlungsmaske, die die Daten an zwei Stellen schickt.

Der zuverlässigste Hinweis kommt nicht von der Seite selbst, sondern von außen: Suchmaschinen und Browserhersteller führen Listen bekannter Schadseiten, und eine Warnung von dort ist ernst zu nehmen. Was man darüber hinaus selbst prüfen kann — und warum „Virus" bei Websites fast immer etwas anderes meint, als der Begriff nahelegt — steht unter Seite auf Viren prüfen.

Was das Schloss und die Siegel nicht leisten#

Gütesiegel im Fußbereich sind Bilder. Ein Bild lässt sich kopieren, und die meisten gefälschten Siegel verlinken auf nichts oder auf eine Seite auf derselben Domain. Ein echtes Siegel führt immer zu einem Eintrag beim Aussteller, in dem genau diese Domain steht. Wer das prüfen will, klickt darauf; wer es nicht prüft, hat nichts geprüft.

Ebenso wenig sagen Bewertungen etwas aus, die auf der Seite selbst liegen.

Die kurze Fassung#

Für einen einzelnen Verweis, den jemand geschickt hat, lohnt der Umweg über die ganze Seite nicht: Ist dieser Link sicher?