HTTPS: Eine verschlüsselte Verbindung ist kein Gütesiegel

HTTPS schützt die Verbindung zwischen deinem Browser und der aufgerufenen Website. Es sagt nicht, dass deren Betreiber vertrauenswürdig ist oder ein angebotenes Produkt tatsächlich liefert. Auch eine betrügerische Seite kann eine technisch verschlüsselte Verbindung verwenden.

Was du beim Einkaufen zusätzlich brauchst

Prüfe Anbieteridentität, nachvollziehbare Kontaktmöglichkeiten und Vertragsbedingungen. Sei vorsichtig, wenn ein angeblicher Support dich auf eine ungewöhnliche Zahlungsart oder einen anderen Kommunikationskanal drängt. Technische Transportverschlüsselung beantwortet keine dieser Fragen.

So liest du eine Adresse statt nur das Schloss

Prüfe bei einer unerwarteten Anmeldung den eigentlichen Domainnamen. In der erfundenen Adresse konto.bank.example ist bank.example die entscheidende Basis. Bei bank.example.anmeldung.invalid ist «bank.example» nur ein vorgestellter Teil; die Adresse gehört zu anmeldung.invalid. Die reservierten Beispieldomains dienen hier nur der Erklärung.

Ein Markenname kann auch im Pfad hinter dem Domainnamen oder im Seitentitel stehen. Beides macht die Website nicht zur Seite dieser Marke. Bei Unsicherheit ist es einfacher, die bekannte App zu öffnen, als eine verdächtige Adresse weiter zu untersuchen.

Was eine Zertifikatswarnung für dich bedeutet

Eine Browserwarnung zur Verbindung solltest du bei Logins und Zahlungen nicht einfach wegklicken. Prüfe zuerst, ob du die richtige Adresse selbst aufgerufen hast. Nutze gegebenenfalls einen anderen vertrauenswürdigen Zugang oder kläre den Fehler mit dem Anbieter. Eine vorübergehende technische Störung rechtfertigt nicht die Eingabe von Geheimnissen in eine ungeprüfte Verbindung.

Umgekehrt bedeutet eine warnungsfreie HTTPS-Verbindung lediglich, dass der Browser für diesen Verbindungsweg die entsprechenden Prüfungen bestanden sieht. Auch eine betrügerische Domain kann HTTPS verwenden.

Dein kurzer Prüfablauf vor einer Eingabe

Frage: Habe ich diesen Vorgang selbst gestartet? Bin ich über die bekannte Adresse oder App gekommen? Passt die verlangte Information zur Aufgabe? Ein Paketstatus sollte dich beispielsweise nicht zur Eingabe des Passworts deines E-Mail-Kontos bewegen.

Erledigt, wenn: Du hast den behaupteten Vorgang im echten Dienst bestätigt. Ist das nicht möglich, gib nichts ein. Falls bereits Daten übermittelt wurden, findest du im Phishing-Ratgeber die nächsten Schritte nach Art der Eingabe.

Weiterlesen und Quellen

Bei gescannten Links hilft dir QR-Codes sicher prüfen: mit Modelladressen, Zahlungsprüfung und dem Unterschied zwischen Website-Aufruf und Geräteverknüpfung.

MDN: Transport Layer Security

Redaktioneller Stand: 1. Oktober 2026.