Die HTTPS-Nutzung hat sich dieses Jahr *verdoppelt*

Obwohl es HTTPS seit über 20 Jahren gibt, wurde es nur zögerlich genutzt – bis jetzt. Daten aus zwei unabhängigen Quellen zeigen: Die HTTPS-Nutzung hat sich im letzten Jahr mehr als verdoppelt – ein beispielloser, massiver Anstieg bei der Nutzung dieser Sicherheitsmaßnahme.

Die Statistiken von BuiltWith legen nahe, dass sich die HTTPS-Nutzung mehr als verdreifacht hat: von 2,9 % auf 9,6 % innerhalb eines Jahres. Daten des HTTP Archive zeigen einen ähnlichen Trend: Die Zahl der HTTPS-Websites stieg um das 2,3-Fache, von 5,5 % auf 12,4 %. Dabei ist der zeitliche Verlauf wichtig: Es dauerte weniger als ein Jahr, dieselbe Anzahl an Websites abzusichern, für deren Schutz zuvor 20 Jahre nötig waren!

Das sind großartige Neuigkeiten für das Web – sowohl wegen des Nutzens von HTTPS als auch, weil es selten vorkommt, dass eine Sicherheitsmaßnahme sichtbar häufiger genutzt wird. In diesem Beitrag werfen wir einen Blick auf die Daten, versuchen die Gründe für den Anstieg zu erklären und zeigen, was wir aus der HTTPS-Nutzung lernen können, um andere Sicherheitspraktiken zu fördern.

BuiltWith-Statistiken

Am einfachsten lässt sich die HTTPS-Nutzung mit BuiltWith verfolgen, einem Portal, das die Verbreitung von Technologien im Web zeigt. BuiltWith bietet einen Bericht namens „SSL By Default“, der Websites erfasst, die Besucher zu HTTPS weiterleiten. Die folgende Grafik zeigt diese Statistiken für die vergangenen Jahre bei den 1 Million und 10.000 meistbesuchten Websites. Die folgende Abbildung zeigt die HTTPS-Nutzung unter den 1 Mio. Top-Websites laut BuiltWith:

Die Grafik zeigt einen beeindruckenden Anstieg der HTTPS-Nutzung im vergangenen Jahr. Bei den 1 Mio. Top-Websites stieg der Anteil von etwa 2,9 % im letzten August auf jetzt 9,6 % – mehr als eine Verdreifachung innerhalb eines Jahres! Bei den 10.000 meistbesuchten Websites stieg die Nutzung im selben Zeitraum von 6,3 % auf 12,8 % und hat sich damit mehr als verdoppelt.

Beachten Sie auch, dass HTTPS bei beliebteren Websites generell häufiger genutzt wird. Das bedeutet, dass der Anteil der über HTTPS aufgerufenen Seiten höher ist als der Anteil der Websites, die HTTPS aktiviert haben, denn eine Website mit besonders vielen Besuchern erzeugt mehr Traffic als eine weniger beliebte.

Diese Statistiken sind ziemlich verblüffend. Tatsächlich wirken sie fast zu schön, um wahr zu sein – ein Eindruck, den der ungewöhnliche Rückgang in den BuiltWith-Berichten des letzten Monats noch verstärkt. Um die Zahlen zu überprüfen, stellen wir dieselbe Frage anhand eines völlig unabhängigen Datensatzes: dem HTTP Archive.

HTTP-Archive-Statistiken

Das HTTP Archive, kurz HA, ist eine Initiative von Steve Souders, die im Zeitverlauf erfassen soll, woraus Websites bestehen. Seit fast sechs Jahren scannt das Projekt zweimal im Monat eine wachsende Zahl von Websites und speichert Kennzahlen zu deren Seitenladezeiten. Derzeit scannt HA mit jedem Durchlauf die 500.000 meistbesuchten Websites.

Auf die Daten von HA kann mit BigQuery zugegriffen werden (danke an Ilya Grigorik). So können wir jeden Monat die Websites ermitteln, die zu HTTPS weitergeleitet haben. Die folgende Grafik zeigt den Anteil der Websites unter den 500.000 meistbesuchten, die zu HTTPS weiterleiten. Die folgende Abbildung zeigt den rasanten Anstieg der HTTPS-Websites (Statistiken aus dem HTTP Archive):

Wie Sie sehen, hat sich der Anteil der HTTPS-Websites im letzten Jahr mehr als verdoppelt: von 5,5 % Mitte 2015 auf 12,4 % ein Jahr später – ein Anstieg um das 2,3-Fache. Das Wachstum ist zwar etwas geringer als bei BuiltWith, aber dennoch schlichtweg beeindruckend.

Technischer Hinweis: HA wechselte im März von IE zu Chrome. Das wirkte sich geringfügig auf die Zahlen aus und könnte den leichten Rückgang der Nutzung in diesem Monat erklären.

Wie kam es dazu?

Wenn etwas schiefgeht, empfiehlt es sich, eine (schuldzuweisungsfreie!) Nachbesprechung durchzuführen, um zu verstehen, was schiefgelaufen ist und wie sich das beim nächsten Mal vermeiden lässt. In diesem Fall sollten wir genauso vorgehen, um zu verstehen, warum dieser positive Aufschwung stattfindet – und warum jetzt?

Antworten auf diese Fragen können uns helfen, den Schwung beizubehalten und die gewonnenen Erkenntnisse auf andere Bereiche zu übertragen, in denen wir die Sicherheit verbessern wollen. Im Folgenden finden Sie einige der wichtigsten Gründe, die meiner Meinung nach zu diesem Wandel geführt haben.

Geringere Kosten

Früher war die Umstellung auf HTTPS stets ein kostspieliges Vorhaben. Sie mussten Zertifikate kaufen, mehr für das Hosting bezahlen, mehr für Ihr CDN ausgeben … Diese Kosten summierten sich. Deshalb zogen die Umstellung nur Unternehmen durch, die HTTPS wirklich brauchten oder wollten.

Heute erhalten Sie ein kostenloses Zertifikat von Let’s Encrypt. Die SSL/TLS-Auslieferung ist bei vielen CDNs enthalten (allen voran Cloudflare), und Plattformen wie WordPress und GitHub Pages aktivieren HTTPS standardmäßig und ohne Zusatzkosten.

Die geringeren Kosten sind zum Teil auf die steigende Nachfrage und zum Teil auf die gesunkenen Kosten der Plattformanbieter selbst zurückzuführen. In jedem Fall fällt es den Befürwortern leichter, die Umstellung durchzusetzen, wenn HTTPS nicht mehr so teuer ist.

Bessere Tools und Ressourcen

Diese neuen Tools machen die Umstellung auf HTTPS nicht nur günstiger, sondern auch einfacher.

Mit Let’s Encrypt lassen sich Zertifikate ganz einfach automatisch erstellen. So können Plattformen sie für ihre Nutzer generieren und Ops-Teams für jeden Microservice ein eigenes Zertifikat ausstellen. SSLTest und das Chrome Security Panel prüfen, ob Sie alles richtig konfiguriert haben. IsTlsFastYet erklärt, wie Sie HTTPS schnell machen, und listet auf, welche Plattformen die einzelnen Funktionen unterstützen.

Bessere Tools sind ein wichtiger Faktor für weitere Kostensenkungen, denn Menschen sind oft der teuerste Teil jedes IT-Projekts. Wenn Aufwand und Kosten niedrig genug sind, kann eine engagierte Entwicklerin oder ein engagierter Entwickler einfach loslegen und HTTPS aktivieren, ohne es erst einplanen und priorisieren zu müssen.

Attraktivere Anreize

Bei Sicherheit – und damit auch bei HTTPS – geht es darum, Risiken zu verringern. Risiken sind jedoch leider unsichtbar. Allzu oft lässt sich nicht einmal ein Arbeitstag rechtfertigen, wenn sich am Ende keine konkrete Verbesserung des Geschäftsergebnisses vorweisen lässt. Eine Änderung, die neue Funktionen ermöglicht oder einen spürbaren Gewinn bringt, lässt sich viel leichter voranbringen.

Für HTTPS gibt es inzwischen einige solcher Anreize, die Projekte voranbringen. Neue Webstandards wie HTTP2, Geolocation und ServiceWorker sind nur über HTTPS verfügbar – HTTPS ist damit Voraussetzung für bestimmte Funktionen. Google stuft HTTPS-Websites höher ein als vergleichbare HTTP-Websites, und mobile Plattformen setzen für native App-APIs standardmäßig HTTPS voraus.

In manchen Fällen motivieren diese Anreize Unternehmen zur Umstellung auf HTTPS, die von den Sicherheitsvorteilen nicht wirklich überzeugt sind. In anderen Fällen liefern sie den Befürwortern im Unternehmen die nötige Begründung, um die erforderlichen Genehmigungen zu erhalten.

Netzwerkeffekt

Zu guter Letzt ist das Web nach wie vor ein Netzwerk, in dem die Handlungen einer Website andere beeinflussen. Jedes Mal, wenn eine Website auf HTTPS umstellt (und vielleicht sogar darüber schreibt), steigt die Wahrscheinlichkeit, dass auch ihre Mitbewerber nachziehen. Eine Website, die auf HTTPS umstellt, benötigt Drittanbieter-Beacons, die HTTPS unterstützen – und das erleichtert wiederum dem nächsten Kunden die Umstellung. Und wenn genügend Websites in einer Community HTTPS nutzen, fühlen sich die anderen sozial unter Druck gesetzt, ebenfalls aufzurüsten.

Ich glaube, dieser letzte Punkt erklärt, warum sich die HTTPS-Nutzung immer schneller verbreitet. Den Netzwerkeffekt in Gang zu bringen, ist schwierig. Doch wenn er einmal ins Rollen kommt, nimmt er ganz von selbst Fahrt auf.

Zusammenfassung

Zunächst einmal ist das ein guter Anlass zur Freude.

Viele von uns setzen sich im Web schon lange für mehr Sicherheit im Allgemeinen und insbesondere für HTTPS ein. Diese Daten beweisen, dass unsere Bemühungen Früchte tragen. Wenn Sie sich also für HTTPS starkgemacht haben, ist jetzt ein guter Zeitpunkt für einen kleinen Freudentanz!

Falls Sie noch nicht auf den HTTPS-Zug aufgesprungen sind, ist jetzt der richtige Zeitpunkt dafür. Eine ausführlichere Liste der Gründe für den Wechsel finden Sie in meinem Blogbeitrag vom letzten Sommer.

Über HTTPS hinaus sollten wir dieselben Ansätze auch auf andere Bereiche übertragen. Wie können wir Kosten senken und die Umsetzung anderer Sicherheitsziele vereinfachen? Welche Anreize können wir zusätzlich zu den Sanktionen schaffen? Und wie können wir den Schwung mithilfe des Netzwerkeffekts verstärken, sobald wir einmal in Fahrt gekommen sind?

Bei Snyk versuchen wir, diese Erkenntnisse zu nutzen, um Open Source sicherer zu machen, und würden uns freuen, wenn sie sich in der gesamten Security-Welt verbreiten.