RP-Energie-Blog > 2014-12-28

Verschlüsselte Übertragung von Daten beim RP-Energie-Lexikon

Ausnahmsweise sende ich heute einen rein technischen Hinweis zur Website des RP-Energie-Lexikons. Ab sofort ist die Website so ausgestattet, dass die mit den Benutzern ausgetauschten Daten allesamt verschlüsselt übertragen werden. Hierfür wird das bisher genutzte http-Protokoll durch das https-Protokoll ersetzt; beispielsweise lautet der Link auf die Startseite nun https://www.energie-lexikon.info/. Hierbei wird ein sogenanntes SSL-Zertifikat verwendet.

Was bewirkt diese Änderung?

Alle Daten werden zwischen unserem Webserver und den Browsern der Benutzer nun verschlüsselt übertragen, also beispielsweise die Adresse der abgefragten Seite, alle angezeigten Inhalte sowie gelieferte Rückmeldungen der Benutzer.

Darüber hinaus erfolgt eine sichere Identifikation der Domain: Ihr Browser zeigt Ihnen in der Adresszeile ein Schloss-Symbol an, und damit können Sie sich darauf verlassen, dass die Daten wirklich von unserer Domain kommen. (Eine eingehende Verifizierung des Inhabers garantiert das bisher verwendete Zertifikat nicht; das erschien uns hier nicht als notwendig.)

Eine weitere Folge ist, dass eine unentdeckte Änderung der übertragenen Daten auf dem Transportweg unmöglich ist. Damit wird beispielsweise verhindert, dass auf einem Internet-Server, den die ausgelieferten Inhalte auf dem Weg zu Ihnen durchlaufen, schädlicher Code in eine Webseite eingefügt wird.

Ist das überhaupt nötig?

Man könnte argumentieren, dass eine verschlüsselte Übertragung im Falle eines Lexikons nicht notwendig ist, da die angezeigten Inhalte ja ohnehin öffentlich verfügbar sind, also keinerlei geheime Informationen enthalten. Allerdings sind Situationen vorstellbar, in denen die nicht verschlüsselte Übertragung keinen optimalen Datenschutz bietet. Beispielsweise dürfte es jemand, der an einem öffentlichen Hotspot mit nicht verschlüsselndem WLAN auf unseren Seiten surft, durchaus nicht schätzen, wenn jemand mit einem Computer in der Nähe nachvollziehen kann, welche Seiten er abruft. Außerdem könnte es sein, dass uns jemand Rückmeldungen sendet, die nicht durch Dritte einsehbar sein sollten.

Darüber hinaus gibt es gute Gründe, die verschlüsselte Übertragung zum Standard für praktisch alle Websites zu machen. (Bisher geschieht dies fast nur auf Seiten, die besonders heikle Daten übertragen, beispielsweise bei Online-Shops mit Übertragung von Kreditkartennummern.) Anstatt ein solches Sicherheitsmerkmal immer erst dann einzusetzen, wenn eine mögliche Sicherheitslücke konkret erkannt wurde, verwendet man es besser flächendeckend und erhöht damit allgemein die Sicherheit.

Gegen die Verschlüsselung spricht heute ohnehin wenig. Zwar ist bei Server und Client ein wenig mehr Rechenaufwand für die Ver- und Entschlüsselung nötig, aber dies fällt bei diesen vergleichsweise geringen Datenmengen nicht allzu sehr ins Gewicht und wird in manchen Fällen sogar durch neue Entwicklungen wie das Übertragungsprotokoll SPDY mehr als kompensiert. (Unsere Website dürfte jedenfalls weiterhin zu den relativ schnellen gehören.) Die Kosten für das benötigte Zertifikat und der Arbeitsaufwand für die Einrichtung halten sich ebenfalls in Grenzen. Für uns ist dieser Aufwand jedenfalls absolut angemessen im Bemühen, damit zu den Vorreitern im Hinblick auf eine Verbesserung der allgemeinen Datensicherheit zu gehören. Übrigens nehmen wir es auch mit dem Datenschutz sehr ernst.

Umstellung bestehender Links auf das RP-Energie-Lexikon

Links auf die alte http-Version funktionieren nach wie vor durch eine eingerichtete automatische Umleitung auf die verschlüsselte Variante. Trotzdem wäre es vorteilhaft, wenn bereits auf das Lexikon gesetzte Links möglichst vollständig auf https umgestellt würden. Natürlich können wir dem nicht im Einzelfall nachgehen, aber wir sind allen Leuten dankbar, die bei sich die entsprechende Änderung (Einfügen eines "s" beim Protokoll) durchführen.