„Ihre Verbindung ist nicht privat“: Was diese SSL-Warnung tatsächlich bedeutet

Eine ganzseitige Warnung mit der Aufschrift „Ihre Verbindung ist nicht privat“ soll Sie aufhalten – und das sollte sie in den meisten Fällen auch tun. Die Warnung deckt jedoch ein breites Spektrum von Ursachen ab, von einem harmlosen abgelaufenen Zertifikat auf einer Website, der Sie vertrauen, bis hin zu einem aktiven Versuch, Ihren Datenverkehr abzufangen. Wenn Sie wissen, um welches Gerät es sich handelt, ändert sich, was Sie als Nächstes tun sollten.

Was wird eigentlich überprüft?

Jede HTTPS-Site verfügt über ein SSL/TLS-Zertifikat, das zwei Dinge beweist: dass die Verbindung verschlüsselt ist und dass Sie wirklich mit der Domain kommunizieren, die Sie zu sein glauben. Ihr Browser überprüft dieses Zertifikat anhand einer Vertrauenskette, bevor er die Seite lädt. Diese Warnung bedeutet, dass die Überprüfung fehlgeschlagen ist – der Browser weigert sich, für die Verbindung zu bürgen, bis Sie sich anders entscheiden.

Der Warnbildschirm benennt das spezifische Problem normalerweise in kleinerem Text: NET::ERR_CERT_AUTHORITY_INVALID, NET::ERR_CERT_DATE_INVALID, NET::ERR_CERT_COMMON_NAME_INVALID oder ähnlich. Dieser Code sagt Ihnen genau, welche Prüfung fehlgeschlagen ist.

Die häufigsten, harmlosen Ursachen

Ein abgelaufenes Zertifikat. Zertifikate haben ein festes Gültigkeitsfenster – oft 90 Tage bis zu einem Jahr – und Websitebesitzer verpassen gelegentlich die Verlängerung. Dies ist die häufigste Ursache und stellt einen Konfigurationsfehler und keinen Angriff dar.

Die Uhr Ihres Geräts ist falsch. Zertifikate sind nur innerhalb eines Datumsbereichs gültig. Wenn das Datum Ihres Computers also nur um einen Tag abweicht, kann jedes Zertifikat ungültig aussehen, selbst bei Websites mit vollkommen guten Zertifikaten. Überprüfen Sie zunächst das Datum und die Uhrzeit Ihres Systems – es handelt sich um eine 30-Sekunden-Korrektur, die überraschend viele dieser Warnungen behebt.

Eine Nichtübereinstimmung zwischen der Domäne und dem Namen des Zertifikats. Dies geschieht, wenn ein Zertifikat für example.com ausgestellt wurde, Sie aber shop.example.com besuchen, oder wenn eine Website kürzlich die Domäne geändert hat und das Zertifikat nicht aufgeholt wurde.

Ein selbstsigniertes oder internes Zertifikat. Interne Tools, Staging-Umgebungen und lokale Entwicklungsserver verwenden häufig Zertifikate, die nicht von einer öffentlichen Behörde ausgestellt wurden. Ihr Browser markiert diese korrekterweise als nicht überprüfbar, auch wenn keine böswillige Absicht vorliegt.

Die Ursache, die Sie ernst nehmen sollten

Sie befinden sich in einem nicht vertrauenswürdigen Netzwerk – öffentliches WLAN, ein gemeinsam genutztes Netzwerk oder hinter einem VPN/Proxy, das Sie nicht kontrollieren. Für dieses Szenario gibt es SSL-Warnungen: Jemand im selben Netzwerk fängt Datenverkehr ab und legt sein eigenes Zertifikat vor, damit er lesen kann, was Sie senden. Wenn Sie sich in einem Café oder am Flughafen im öffentlichen WLAN befinden und plötzlich diese Warnung auf einer Website sehen, die normalerweise gut lädt, ist das ein echtes Signal, anzuhalten und nicht weiterzuklicken.

So überprüfen Sie, um welches es sich handelt

Bevor Sie sich entscheiden, gehen Sie dies der Reihe nach durch:

1. Überprüfen Sie Ihre Systemuhr. Korrigieren Sie das Problem, wenn es falsch ist, und laden Sie es dann neu. Dies allein löst einen Großteil dieser Warnungen.
2. Probieren Sie ein anderes Netzwerk aus – zum Beispiel Ihr Telefon mit mobilen Daten. Wenn die Warnung verschwindet, war etwas in Ihrem ursprünglichen Netzwerk (ein Captive-Portal, ein Proxy oder ein echter Abhörvorgang) die Ursache, nicht die Site selbst.
3. Überprüfen Sie die Website von einer unabhängigen Quelle. Eine serverseitige SSL-Prüfung informiert Sie über den tatsächlichen Aussteller des Zertifikats, das Gültigkeitsfenster und die verbleibenden Tage bis zum Ablauf – unabhängig von Ihrem Browser oder Netzwerk. Wenn ein gültiges, aktuelles Zertifikat gemeldet wird, weist Ihre lokale Warnung auf ein Netzwerk- oder Uhrproblem hin, nicht auf die Site. Wenn das Zertifikat ebenfalls als abgelaufen oder ungültig gemeldet wird, muss der Websitebesitzer es tatsächlich erneuern.
4. Sehen Sie sich die Zertifikatsdetails selbst an. Klicken Sie auf „Nicht sicher“ oder auf den Vorhängeschlossbereich in Ihrer Adressleiste, um den Aussteller und das Ablaufdatum des Zertifikats anzuzeigen – Chrome und Firefox zeigen dies beide an, ohne dass Sie zuerst durch die Warnung klicken müssen.

Wann es sicher ist, fortzufahren, und wann nicht

Wenn Sie bestätigt haben, dass die Ursache ein kürzlich abgelaufenes Zertifikat auf einer Website ist, der Sie bereits vertrauen – der Staging-Link Ihrer Bank, ein internes Unternehmenstool, eine Website, die Sie jahrelang genutzt haben und bei der es gerade zu Problemen bei der Erneuerung kam – ist das Fortfahren eine Entscheidungsfrage mit geringem Risiko, da die Verbindung immer noch verschlüsselt ist. Es ist nur die Verifizierung, die fehlgeschlagen ist.

Fahren Sie unter keinen Umständen fort, wenn: Sie ein Passwort, Zahlungsdetails oder persönliche Daten eingeben; die Warnung erschien plötzlich in einem öffentlichen oder unbekannten WLAN; oder der Zertifikatsfehler besagt ausdrücklich, dass der Domänenname nicht übereinstimmt (ERR_CERT_COMMON_NAME_INVALID) und nicht einfach abgelaufen ist. Daten, die Sie über eine Verbindung übermitteln, die der Browser nicht überprüfen konnte, sind nicht garantiert geschützt, und eine Namensinkongruenz ist eher die klassische Signatur für das Abfangen als ein Erneuerungsschein.

Wenn Sie die Site betreiben

Erneuern Sie das Zertifikat, bevor es abläuft – die meisten Hosts und Zertifizierungsstellen (einschließlich kostenloser wie Let’s Encrypt) unterstützen die automatische Verlängerung, wodurch diese Art von Warnung für Ihre Besucher entfällt. Wenn Sie gerade erneuert haben und Besucher immer noch die alte Warnung sehen, lassen Sie sie eine harte Aktualisierung durchführen. Browser speichern die Ergebnisse der Zertifikatsvalidierung kurz zwischen.

Führen Sie in regelmäßigen Abständen eine kostenlose SSL-Prüfung auf Ihrer eigenen Domain durch, um den Aussteller, die Gültigkeit und die genauen verbleibenden Tage zu sehen – einen Ablauf eine Woche im Voraus zu erkennen, ist viel weniger stressig, als dies anhand des Screenshots eines Besuchers herauszufinden.