Geschützt und bestätigt
Nachbau. Die echte Adresszeile steht ganz oben in deinem Fenster – dort musst du hinschauen.
In deiner Adresszeile steht ein geschlossenes Schloss, und beim Aufrufen kam keine Warnung.
Auf dem Weg kann niemand mitlesen, und eine unabhängige Stelle bestätigt, dass diese Adresse wirklich zu diesem Server gehört. Wo diese Zusage endet, steht weiter unten.
Das hat dein Browser gerade mitgeschickt
Nichts davon wurde abgefragt – dein Browser sendet es an jede Webseite mit.
- Browser
- Unbekannt
- System
- Unbekannt
- Gerät
- Desktop
- IP-Adresse
- 216.73.216.190
- Land
-
USA
- Protokoll
- HTTP/2.0 Dieser Server bietet auch HTTP/3 an. Der erste Besuch läuft trotzdem über HTTP/2: Erst danach weiss dein Browser davon. Bleibt es dauerhaft dabei, sperrt dein Netz vermutlich UDP.
- Verschlüsselung
- TLSv1.3 TLS_AES_256_GCM_SHA384
Die Kennung im Rohtext
Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)
Diese eine Zeile trägt Browser, Version und System. Sie ist der Grund, warum die Angaben oben möglich sind – und warum sie manchmal danebenliegen. Sie wird seit dreissig Jahren mitgeschleppt: Das „Mozilla/5.0" am Anfang steht in praktisch jedem Browser, auch in solchen, die nichts mit Mozilla zu tun haben.
Und das misst dein Browser selbst
Steht in keiner Anfrage – gemessen auf deinem Gerät, angezeigt auf deinem Gerät. An den Server geht davon nichts zurück.
Bei dir läuft kein JavaScript, deshalb bleibt dieser Teil leer. Es fehlen dadurch: Bildschirm- und Fenstergrösse, Zeitzone, ob Cookies und Speicher erlaubt sind, WebGL, deine Darstellungs-Einstellungen und ein erkannter Inhaltsblocker. Alles darüber steht weiterhin, denn dafür braucht es kein JavaScript.
Das Folgende passiert nur auf deinen Klick – jede dieser Prüfungen kostet etwas.
Dass du klicken musstest, ist eine Entscheidung – keine Regel
Anderswo laufen dieselben Prüfungen beim Laden, ohne Knopf. Und die Liste hier ist die kurze.
Verschlüsselt und bestätigt. So sieht der Normalfall aus – und genau hier fangen die Missverständnisse an.
1. Woran du es erkennst
Ein geschlossenes Schloss, keine Warnung, https:// davor.
Klick einmal auf das Schloss: Jeder Browser zeigt dir dort, für welche Adresse das Zertifikat gilt und wer es ausgestellt hat. Zwei Klicks, und das Symbol ist entzaubert.
2. Was das Schloss sagt
| Es sagt | Es sagt nicht |
|---|---|
| Der Weg dorthin ist geschützt | Dass die Seite ehrlich ist |
| Diese Adresse gehört zu diesem Server | Dass die Adresse die ist, die du meinst |
Der wichtigste Satz dieser Seite: Ein Zertifikat bekommt heute jeder, kostenlos, in Minuten – auch wer eine Betrugsseite betreibt. Fast jede Phishing-Seite hat ein tadelloses Schloss.
Wer gelernt hat „Schloss heisst sicher", ist damit angreifbarer als jemand, der nie darauf geachtet hat.
3. Worauf es stattdessen ankommt
Auf den Namen. Lies ihn von rechts nach links, bis zum ersten Schrägstrich:
konto.beispielbank.ch/login→ du bist bei beispielbank.chbeispielbank.ch.konto-service.net/login→ du bist bei konto-service.net
Beide tragen ein einwandfreies Schloss. Der Unterschied steht im Namen, nicht im Symbol.
4. Und dein Browser selbst?
Wie er im Vergleich dasteht – Quelloffenheit, Unabhängigkeit, Schutz ab Werk – steht auf einer eigenen Seite: Browser im Vergleich. Ohne Gesamtnote, dafür mit den Kriterien, aus denen sich jede Reihenfolge ergibt.
5. Wo die Verschlüsselung endet
Geschützt ist der Weg, nicht die beiden Enden.
- Dein Gerät sieht alles im Klartext – auch jede Erweiterung darauf
- Der Server sieht alles, was bei ihm ankommt
- Der Weg lässt sich aufbrechen, und das Schloss sieht dabei perfekt aus
Aufgebrochene Verbindungen erkennen
Auf verwalteten Geräten – Firmen- oder Schullaptop, teils auch Sicherheitssoftware – ist eine zusätzliche Stelle als vertrauenswürdig eingetragen. Ein Gerät im Netz nimmt deine Verbindung an, liest mit und verschlüsselt zum Ziel neu. Der Browser zeigt ein einwandfreies Schloss, weil das Zertifikat aus einer Quelle stammt, der dein Gerät vertraut. Das nennt sich TLS-Inspection.
So erkennst du es: Klick auf das Schloss und schau, wer das Zertifikat ausgestellt hat. Steht dort der Name deiner Firma oder deiner Sicherheitssoftware statt einer bekannten Zertifizierungsstelle, wird deine Verbindung gelesen.
Was trotz Verschlüsselung sichtbar bleibt
Der Inhalt ist geschützt, der Name der Seite in der Regel nicht – er steht beim Verbindungsaufbau und in der Namensauflösung. Wer im selben Netz sitzt, sieht also üblicherweise, dass du hier bist, nicht was du liest.
Und ein VPN?
Keines der beiden ersetzt das andere. Das Schloss schützt den Inhalt bis zum Zielserver. Ein VPN verlagert nur den ersten Abschnitt: Statt deinem WLAN und deinem Anbieter sieht der VPN-Anbieter, wohin du gehst; ab dessen Ausgang läuft alles wie vorher.
Gegen eine aufgebrochene Verbindung hilft ein VPN nicht – wer mitliest, sitzt dann innerhalb des Tunnels.