Kein unverschlüsselter Fallback mehr: Wie HSTS-Enforced sicheres Surfen zum Standard macht

Jedes Mal, wenn Sie eine Website besuchen, steht Ihr Browser vor einer Sekundenentscheidung, die über Ihre Online-Sicherheit entscheiden kann. Moderne Browser ziehen es vor, sich über HTTPS zu verbinden, die verschlüsselte Version des Webprotokolls, die Ihre Daten privat hält. Wenn diese verschlüsselte Verbindung jedoch fehlschlägt, fallen viele Browser stillschweigend auf einfaches, unverschlüsseltes HTTP zurück. Dieser Fallback, der für Kompatibilität entwickelt wurde, ist ein Geschenk für Angreifer. Jemand im selben Netzwerk, etwa ein Spion im öffentlichen WLAN oder ein kompromittierter Heimrouter, kann den HTTPS-Versuch blockieren und Ihren Browser zwingen, die ungeschützte HTTP-Version zu verwenden. Von dort aus kann der Angreifer alles lesen, was Sie senden, und sogar schädliche Inhalte einschleusen, ohne jemals eine Verschlüsselung knacken zu müssen.

Diese Schwäche ist seit über einem Jahrzehnt bekannt, und die derzeitige Lösung basiert auf einem Mechanismus namens HTTP Strict Transport Security (HSTS). Wenn Sie zum ersten Mal eine Website besuchen, die HSTS aktiviert hat, teilt sie Ihrem Browser mit: „Verbinde dich ab jetzt immer sicher mit mir.“ Browser werden außerdem mit einer vorinstallierten Liste von Websites ausgeliefert, die nur HTTPS verwenden, was bereits den ersten Besuch schützt. Aber das sind immer noch Opt-in-Maßnahmen: Website-Betreiber müssen HSTS aktiv aktivieren oder sich in die Preload-Liste eintragen. Die zugrunde liegende Annahme bleibt, dass HTTP der Ausgangspunkt ist und Sicherheit ein Zusatz.

Ein neuer Vorschlag namens HSTS-Enforced zielt darauf ab, diese Annahme vollständig zu kippen. Statt dass Websites Sicherheit aktiv aktivieren müssen, werden sichere Verbindungen zur Grundlage. Unter HSTS-Enforced würden Browser HTTPS für alle Websites als Standard behandeln. Eine Website, die wirklich einfaches HTTP verwenden muss, müsste diese Ausnahme auf eine Weise signalisieren, die kryptografisch sicher und manipulationssicher ist, um zu verhindern, dass Angreifer solche Ausnahmen fälschen. Dieser Wechsel von einem Opt-in- zu einem Opt-out-Modell würde die „älteste Hintertür“ des Webs schließen, die Fähigkeit, Ihre Verbindung stillschweigend herabzustufen, ohne die legitimen, wenn auch seltenen Anwendungsfälle für unverschlüsseltes HTTP zu brechen.

Der Weg zur Einführung ist nicht trivial, da er eine sorgfältige Behandlung unzähliger Altsysteme und ein neues Vertrauensmodell für diese Ausnahmen erfordert. Doch der Nutzen ist beträchtlich: Normale Nutzer wären nicht länger einer Sekundenentscheidung des Browsers ausgeliefert, die sie nie sehen. Während sich dieser Standard weiterentwickelt, gibt es Schritte, die Sie heute zum eigenen Schutz unternehmen können. Die Verwendung des HTTPS-Only-Modus Ihres Browsers, das Aktualisieren der Software und ein waches Auge auf die Netzwerksicherheit helfen alle. Als zusätzliche Verteidigungsschicht kann die Verwendung eines privaten, verschlüsselten DNS-Resolvers wie AEU DNS die Domainnamen-Auflösung absichern, die vor jeder Verbindung stattfindet, und es Angreifern erschweren, Sie zu einem Server zu schicken, der Ihre Sitzung möglicherweise herabstufen möchte.