Formular ohne HTTPS: Unsichere Formular-Übertragung beheben
Sendet ein Formular auf einer https-Seite an eine http-Adresse, gehen eingegebene Daten unverschlüsselt auf die Reise. So finden und beheben Sie das.
Inhaltsverzeichnis
Sendet ein <form>-Element auf einer verschlüsselten https-Seite seine Daten an eine action-Adresse, die mit http:// beginnt, verlassen die eingegebenen Daten die verschlüsselte Umgebung beim Absenden. EverAudit meldet das als Befund in der Kategorie „Security-Header".
Was ist das Problem?#
Das Schloss-Symbol im Browser bezieht sich auf die Verbindung, über die die aktuelle Seite geladen wurde — nicht automatisch auf jede Aktion, die auf dieser Seite ausgelöst wird. Ein Formular kann unabhängig davon eine eigene Ziel-URL für seine action definieren:
<form action="http://example.com/kontakt-verarbeiten" method="post">Auch wenn die Seite selbst über https läuft, überträgt der Browser die Formulardaten beim Absenden an genau diese http-Adresse — unverschlüsselt, im Klartext über das Netzwerk.
Warum prüft EverAudit das?#
EverAudit prüft bei jeder gecrawlten Seite alle <form>-Elemente und deren action-Attribut. Zeigt eine action auf eine http://-URL, während die Seite selbst über https ausgeliefert wird, wird das als Prio-1-Befund gemeldet — unabhängig davon, ob es sich um ein Kontaktformular, ein Login oder eine Newsletter-Anmeldung handelt.
Der Check ist besonders wertvoll, weil dieser Fehler visuell nicht auffällt: Die Seite zeigt weiterhin ein Schloss-Symbol, sodass weder Betreiber noch Besucher das Problem ohne genauere Prüfung bemerken.
Welche Auswirkung hat das?#
Werden Formulardaten unverschlüsselt übertragen, können sie auf dem Übertragungsweg — etwa in einem öffentlichen WLAN oder an anderen Netzwerkpunkten — im Klartext mitgelesen werden. Betroffen sind typischerweise genau die Daten, die Nutzer für vertraulich halten: Name, Adresse, Telefonnummer, Nachrichteninhalt, im schlimmsten Fall auch Zugangsdaten bei einem Login-Formular.
Besucher verlassen sich auf das Schloss-Symbol im Browser als Sicherheitshinweis und haben keinen einfachen Weg, das action-Ziel eines Formulars selbst zu prüfen. Für Betreiber bedeutet ein solcher Fund einen direkten Widerspruch zwischen dem versprochenen Schutzniveau (https-Seite) und dem tatsächlichen Verhalten beim Absenden — ein Umstand, der bei einer genaueren technischen oder rechtlichen Prüfung auffällt.
Wie beheben Sie das?#
Gehen Sie in drei Schritten vor, unabhängig vom CMS:
- Formulare finden: EverAudit listet die betroffenen Seiten und die exakte
action-URL auf. Zusätzlich hilft eine Suche nachaction="http://im Quellcode oder in der CMS-Datenbank. - Ziel-URL korrigieren: Ändern Sie die
action-Adresse aufhttps://, sofern der Empfänger-Endpunkt https unterstützt:<form action="https://example.com/kontakt-verarbeiten" method="post"> - Relative URLs bevorzugen: Wo möglich, ist eine relative
action(z. B./kontakt-verarbeitenstatt einer vollen URL) robuster — sie übernimmt automatisch das Protokoll der aktuellen Seite und verhindert dieses Problem grundsätzlich.
Verweist die action auf einen externen Dienst (z. B. ein Formular-Backend eines Drittanbieters), der selbst kein https anbietet, ist das Formular nicht ohne Rücksprache mit diesem Anbieter zu reparieren — in dem Fall sollte geprüft werden, ob eine https-fähige Alternative des Dienstes existiert.
Fazit#
Ein Formular ohne https-Ziel ist eine leicht zu übersehende, aber ebenso leicht zu behebende Lücke: Meist genügt eine korrigierte action-URL. Da genau hier oft besonders sensible Nutzerdaten eingegeben werden, lohnt sich die Prüfung jedes Formulars auf der Website.
Häufige Fragen
Was bedeutet ein unsicheres Formular konkret?
Ein unsicheres Formular liegt vor, wenn ein <form>-Element auf einer über https ausgelieferten Seite als action-Ziel eine http-URL angibt. Die eingegebenen Daten werden dann beim Absenden unverschlüsselt übertragen.
Warum passiert das trotz https-Seite überhaupt?
Die action-URL eines Formulars wird unabhängig vom Protokoll der aktuellen Seite ausgewertet. Ist sie fest als http hinterlegt — etwa aus einer alten Konfiguration oder einem externen Formular-Endpunkt —, überträgt der Browser trotz https-Seite unverschlüsselt.
Warnt der Browser Nutzer davor?
Moderne Browser zeigen beim Absenden eines solchen Formulars häufig eine explizite Warnung an, dass die Daten nicht sicher übertragen werden. Diese Warnung erscheint aber erst im Moment des Absendens, nicht schon beim Laden der Seite.
Reicht es, nur die action-URL anzupassen?
In den meisten Fällen ja — sofern der Formular-Endpunkt selbst https unterstützt. Läuft der Empfänger (z. B. ein externer Dienst) ausschließlich über http, muss zusätzlich mit dem Anbieter geklärt werden, ob eine https-Variante verfügbar ist.
EverAudit Redaktion
Fachredaktion für Web-Qualität, Barrierefreiheit und DSGVO. Wir prüfen jeden Ratgeber gegen die Kriterien unserer Audit-Engine.