Google plant, die Standardeinstellungen des Chrome-Browsers mit der Veröffentlichung von Chrome 154 im Oktober 2026 zu ändern und die auf öffentliche Websites zugeschnittene Option „Immer sichere Verbindungen verwenden“ zu aktivieren. Im Rahmen der Änderung wird Chrome vor dem ersten Zugriff auf eine öffentliche Website ohne HTTPS die Erlaubnis des Nutzers anfordern, anstatt den Aufbau einer unverschlüsselten Verbindung ohne vorherige Warnung zuzulassen.
Die Teams von Chrome Security erklären, dass HTTP-Verbindungen es Angreifern ermöglichen können, den Browser-Vorgang zu kapern und den Nutzer zum Laden von Ressourcen zu zwingen, die sie kontrollieren. Dadurch könnte er Schadsoftware, gezielten Exploits oder Social-Engineering-Angriffen ausgesetzt werden. Das Problem wird dadurch verschärft, dass viele HTTP-Websites sofort auf HTTPS weiterleiten, wodurch die unsichere Verbindung für den Nutzer vor dem Eintreten der Gefahr unsichtbar bleibt.
Von einer optionalen Option zur Standardeinstellung
Google führte die Einstellung „Immer sichere Verbindungen verwenden“ im Jahr 2022 als vom Nutzer aktivierbare Option ein. Dabei versucht Chrome, jede Verbindung über HTTPS herzustellen, und zeigt eine umgehbare Warnung an, wenn das sichere Protokoll nicht verfügbar ist. Nach Jahren der zunehmenden HTTPS-Nutzung ist das Unternehmen der Ansicht, dass der Zeitpunkt gekommen ist, dieses Verhalten zur Standardeinstellung zu machen.
Laut dem HTTPS-Transparenzbericht, den Google seit mehr als einem Jahrzehnt veröffentlicht, stieg der Anteil der HTTPS-Browsing-Vorgänge von etwa 30 bis 45 % im Jahr 2015 auf ungefähr 95 bis 99 % um das Jahr 2020, bevor sich der Fortschritt weitgehend verlangsamte. Google ist der Ansicht, dass die Verbreitung und Reife von HTTPS die Anwendung stärkerer Maßnahmen auf die verbleibenden HTTP-Verbindungen ermöglicht.
Weniger Warnungen für private Websites
Die standardmäßige Änderung wird nicht nur öffentliche Websites umfassen, denn die von Chrome übernommene Variante wird private Websites wie lokale IP-Adressen, Hostnamen mit nur einer Bezeichnung und interne Kurzadressen wie intranet/ ausnehmen. Google erklärt, dass es relativ einfach ist, ein vertrauenswürdiges HTTPS-Zertifikat für eine öffentliche Website zu erhalten, während die Ausstellung eines Zertifikats für nicht eindeutige private Namen wie 192.168.0.1 schwierig ist, da diese auf verschiedenen Netzwerken auf unterschiedliche Geräte verweisen können.
Private HTTP-Verbindungen bleiben ausnutzbar, sind jedoch gewöhnlich weniger riskant als ihre öffentlichen Gegenstücke, da der Angreifer dafür im selben lokalen Netzwerk präsent sein muss, etwa im heimischen WLAN oder im Unternehmensnetzwerk. Den im Artikel genannten Zahlen zufolge steigt der HTTPS-Anteil unter Linux von 84 % auf etwa 97 %, wenn nur öffentliche Websites berücksichtigt werden. Unter Windows steigt er von 95 % auf 98 % und überschreitet unter Android und Mac 99 %.
Einführungszeitplan und erforderliche Maßnahmen
Vor der allgemeinen Aktivierung wird Google in Chrome 147, dessen Veröffentlichung für April 2026 vorgesehen ist, die Variante für öffentliche Websites für mehr als eine Milliarde Nutzer aktivieren, die den Schutz durch Enhanced Safe Browsing ausgewählt haben. Das Unternehmen bestätigte, dass Nutzer die Warnungen deaktivieren können, indem sie die Einstellung „Immer sichere Verbindungen verwenden“ ausschalten.
Google testete die Einstellung in Chrome 141 mit einem kleinen Prozentsatz der Nutzer und stellte fest, dass die Zahl der Warnungen deutlich unter 3 % der Browsing-Vorgänge lag. Der Median-Nutzer sah weniger als eine Warnung pro Woche, während der Nutzer am 95. Perzentil weniger als drei Warnungen pro Woche sah.
Google empfiehlt Website-Entwicklern und IT-Fachleuten, die Einstellung bereits jetzt zu aktivieren, um Websites zu identifizieren, die von HTTP auf HTTPS umgestellt werden müssen. Das Unternehmen wies außerdem darauf hin, dass die kürzlich eingeführte Berechtigung für den Zugriff auf das lokale Netzwerk einigen Seiten zur Einrichtung lokaler Geräte beim Wechsel zu HTTPS helfen könnte, wobei der Zugriff auf das Netzwerk weiterhin mit Zustimmung des Nutzers kontrolliert wird.