Am 24.07.2018 wurde die Ver­sion 68 von Chrome ver­öf­fent­licht. Google ändert mit die­sem jüngs­ten Update sei­nes Brow­sers die Poli­tik in Sachen SSL/TLS: Neu wird nicht spe­zi­ell aus­ge­zeich­net, wer SSL/TLS benutzt (Beloh­nung), son­dern es wird gewarnt, wenn eine Web­seite noch immer keine Ver­schlüs­se­lung anbie­tet (Bestra­fung).

Dar­über, dass SSL/TLS in Zei­ten von letsencrypt.org als Stand der Tech­nik im Sinne der gel­ten­den Daten­schutz­ge­setze in der Schweiz (DSG, VDSG) und der EU (DSGVO/GDPR) gel­ten, habe ich mich bereits in die­sem Post (Ver­wen­dung von SSL/TLS ist heute Stand der Tech­nik) geäus­sert.

Mit der Soft­ware von letsencrypt.org erhält jeder Admin gra­tis und franko sein SSL-Zer­ti­fi­kat. Letsencrypt.org ist Open Source und wird von einer brei­ten Alli­anz von Tech­no­lo­gie­un­ter­neh­mun­gen unter­stützt. Neu­er­dings unter­stützt letsencrypt.org sogar Wild­card­zer­ti­fi­kate für Sub­do­mains. Bis anhin musste für jede Sub­do­main ein neues Zer­ti­fi­kat erstellt wer­den. Mit dem cert­bot von letsencrypt.org kann man aus­ser­dem sogar mit dem simp­len Befehl certbot renew sämt­li­che Zer­ti­fi­kate auf einen Schlag erneu­ern. Auto­ma­ti­sie­ren lässt sich das ganze via Cron-Eintrag.

Es ist nur eine Frage der Zeit, bis auch Fire­fox, Safari und Micro­soft Edge nachziehen.

Der Umstieg von HTTP auf HTTPS ist aus regu­la­to­ri­scher Sicht längst über­fäl­lig (Daten­schutz­kon­for­mi­tät) und wird sich mit die­ser Enfor­cingstra­te­gie der Brow­ser­her­stel­ler auch ganz prak­tisch aus­wir­ken. Betrof­fene Kun­den einer Web­seite wer­den den Sup­port kon­tak­tie­ren und “Feh­ler­mel­dun­gen” mel­den, auch wenn aus tech­ni­scher Sicht gar kein Feh­ler besteht. Am bes­ten also, man wech­selt mög­lichst rasch auf HTTPS.

Neben­be­mer­kung zu HTTP/2: Der Nach­fol­ger von HTTP sah ursprüng­lich vor, dass die Über­tra­gung per SSL stan­dard­mäs­sig akti­viert war. Das fand lei­der kei­nen Ein­gang in die RFC, die von der IETF letz­ten Endes ver­ab­schie­det wur­den (RFC 7540 und RFC 7541). Wer also ein­fach HTTP/2 auf sei­nem Ser­ver imple­men­tiert, ist noch nicht daten­schutz­kon­form unterwegs.