Der Unterschied in einer Minute
Bei HTTPS authentifiziert der Browser die Website über ein Zertifikat und verschlüsselt die Sitzung bis zu dieser Website. Das lokale Netzwerk, der Internetanbieter und der VPN-Server können den HTTPS-Inhalt dann nicht lesen, auch wenn sie für das Routing notwendige Metadaten beobachten können.
Bei einem VPN verschlüsselt das System den vorgesehenen Datenverkehr bis zum VPN-Server. Von diesem Server aus läuft der Datenverkehr weiter zu seinem Ziel. Wird zusätzlich HTTPS verwendet, bleibt er bis zur Website verschlüsselt; andernfalls erhält der Abschnitt hinter dem VPN-Server nicht auf magische Weise HTTPS-Schutz.
| Frage | VPN | HTTPS |
|---|---|---|
| Beginn | Gerät oder VPN-App | Browser oder Anwendung |
| Ende | VPN-Server | Website oder Dienst |
| Von der Website gesehene IP-Adresse | Ausgangsserver | Wird nicht geändert |
| Schützt vor gefälschten Websites | Nein | Das Zertifikat hilft, verhindert aber kein Phishing |
Quellen und Referenzen
Wer kann was sehen?
Das lokale Netzwerk sieht hauptsächlich eine verschlüsselte Verbindung zum VPN-Server. Der VPN-Anbieter sieht die Informationen, die zur Weiterleitung der Verbindung nötig sind, doch HTTPS schränkt seine Möglichkeit ein, den mit der Website ausgetauschten Inhalt zu lesen.
Die Website sieht die Ausgangs-IP-Adresse des VPN und alles, was Sie ihr mitteilen: angemeldetes Konto, Cookies, Formularinhalte und Browserkennungen. HTTPS schützt diese Daten während der Übertragung, nicht vor dem Empfänger selbst.
Beispiel im Hotel-WLAN
Sie öffnen Ihre Bank per HTTPS bei aktivem VPN. Das Hotel-WLAN sieht den Seiteninhalt nicht, sondern eine Verbindung zum VPN. Der VPN-Server leitet die Verbindung weiter, der Bankinhalt bleibt dank HTTPS jedoch bis zur Bank verschlüsselt.
Zeigt eine Seite eine Zertifikatswarnung an, ignorieren Sie sie nicht mit der Begründung, das VPN sei aktiv. Der Tunnel prüft die Identität der Website nicht anstelle des Browsers.
Häufige Missverständnisse
Das Schloss im Browser bedeutet nicht, dass die Website seriös ist: Es bedeutet vor allem, dass die Verbindung zu dieser Domain gemäß dem Zertifikat verschlüsselt und authentifiziert ist. Auch eine Phishing-Website kann HTTPS verwenden.
Umgekehrt verbirgt HTTPS Ihre IP-Adresse nicht vor der Website. Das VPN kann die Ausgangsadresse ändern, doch Konten und Cookies bleiben für die Website sichtbar.
- HTTPS auch mit VPN beibehalten.
- Eine Zertifikatswarnung niemals umgehen, ohne ihre Ursache zu verstehen.
- Den Umfang der VPN-App oder -Erweiterung prüfen.
- Den VPN-Anbieter als vertrauenswürdigen Vermittler behandeln.