World Wide Web erklärt: Technik und Geschichte

Ein Klick auf einen Link, und Sekundenbruchteile später steht eine Seite im Browser. Was so selbstverständlich wirkt, beruht auf einem erstaunlich schlanken Grundprinzip, das seit Jahrzehnten weitgehend unverändert funktioniert. Wer das World Wide Web erklärt haben möchte, stösst schnell auf eine Handvoll Bausteine: Adressen, Dokumente, Verweise und ein Protokoll, das alles miteinander verbindet.

Trotzdem werden die Begriffe im Alltag oft durcheinandergeworfen. Das Internet und das Web gelten vielen als dasselbe, und dass die meisten Daten ursprünglich völlig offen durch die Leitungen reisten, ist kaum bekannt. Genau hier liegt eine der grossen Herausforderungen des Webs: Es wurde für den freien Austausch gebaut, nicht für Vertraulichkeit.

Dieser Ratgeber zeigt, woher das Web kommt, wie eine Webseite technisch den Weg auf den Bildschirm findet und warum Verschlüsselung heute zum Pflichtprogramm gehört. Ausserdem gibt es konkrete Tipps, wie sich Nutzerinnen und Nutzer im Alltag sicherer bewegen, ohne dafür Technikprofis sein zu müssen.

Was ist das World Wide Web – und was nicht?

Das World Wide Web ist ein Dienst, der auf dem Internet aufsetzt, nicht das Internet selbst. Das Internet ist die technische Infrastruktur: Kabel, Router und Protokolle, die Datenpakete zwischen Computern transportieren. Das Web ist eine von vielen Anwendungen, die diese Infrastruktur nutzen – so wie E-Mail, Dateiübertragung oder Messenger-Dienste.

Die Grundidee des Webs ist der Hypertext: Dokumente enthalten Verweise auf andere Dokumente, egal auf welchem Rechner diese liegen. Wer die Frage stellt, seit wann das World Wide Web existiert, bekommt meist eine knappe Antwort: Tim Berners-Lee entwickelte 1989 am CERN das World Wide Web, ursprünglich als Werkzeug, damit Forschende ihre Unterlagen einfacher austauschen konnten. Aus diesem Ansatz folgten drei Bausteine, die bis heute das Fundament bilden: eine Auszeichnungssprache für Dokumente (HTML), ein einheitliches Adressschema (URL) und ein Protokoll für die Übertragung (HTTP).

Entscheidend für den Erfolg war nicht eine einzelne Technik, sondern die Offenheit. Die Grundlagen wurden nicht als geschütztes Produkt vermarktet, sondern frei verfügbar gemacht. Jeder konnte einen Server aufsetzen, jeder konnte einen Browser programmieren. Dadurch wuchs das Web dezentral: Es gibt keinen zentralen Katalog aller Seiten und keine Stelle, die freischalten muss, was online geht. Diese Freiheit ist bis heute seine grösste Stärke – und gleichzeitig der Ursprung vieler Probleme.

Die Herausforderung: Daten reisen offen durchs Netz

Das Kernproblem des Webs ist, dass Vertraulichkeit ursprünglich nicht vorgesehen war. Laut dem Bundesamt für Sicherheit in der Informationstechnik erfolgt die Datenkommunikation im World Wide Web grundsätzlich und zum überwiegenden Teil unverschlüsselt. Das klingt abstrakt, hat aber handfeste Folgen.

Ein alltägliches Szenario macht das greifbar: Jemand sitzt im Café, verbindet sich mit dem offenen WLAN und meldet sich bei einem älteren Forum an, das nur über HTTP erreichbar ist. Benutzername und Passwort wandern dabei als lesbarer Text durch das Funknetz. Wer im selben Netz mit einfachen Mitschnitt-Werkzeugen lauscht, kann diese Daten abfangen, ohne dass das Opfer etwas bemerkt. Das Gleiche gilt für Formulareingaben, Suchbegriffe oder Cookies, mit denen sich eine laufende Sitzung übernehmen lässt.

Warum das offene Design so lange überlebt hat

Dass das Problem so hartnäckig ist, hat einen einfachen Grund: Das Web funktioniert auch ohne Verschlüsselung tadellos. Eine unverschlüsselte Seite lädt genauso schnell und sieht genauso aus wie eine verschlüsselte. Für Betreiber war Verschlüsselung lange ein zusätzlicher Aufwand – Zertifikate mussten beschafft, verlängert und korrekt eingerichtet werden, und ältere Server hatten mit der zusätzlichen Rechenlast zu kämpfen. Solange niemand einen sichtbaren Nachteil spürte, blieb vieles beim Alten.

Hinzu kommt, dass Manipulation nicht nur ein Datenschutzthema ist. Unverschlüsselte Inhalte können unterwegs verändert werden: Ein kompromittierter Router kann Werbung einschleusen, Links umbiegen oder Schadcode in einen Download einbauen. Der Browser hat ohne Verschlüsselung keine Möglichkeit festzustellen, ob die empfangene Seite tatsächlich jene ist, die der Server abgeschickt hat.

Das World Wide Web erklärt: vom Klick zur Seite

Um zu verstehen, wo Verschlüsselung ansetzt, lohnt ein Blick darauf, wie das World Wide Web funktioniert. Der Ablauf folgt immer einer festen Reihenfolge, und jeder Schritt hat eine klar abgegrenzte Aufgabe.

Zuerst zerlegt der World-Wide-Web-Browser die eingegebene Adresse. Eine URL besteht aus dem Protokoll (etwa http oder https), dem Domainnamen und dem Pfad zur gewünschten Ressource. Da Computer mit Namen nichts anfangen können, fragt der Browser im nächsten Schritt das Domain Name System (DNS), welche IP-Adresse hinter dem Namen steckt – vergleichbar mit einem Telefonbuch, das Namen in Nummern übersetzt. Erst dann baut er eine Verbindung zum Server auf und schickt eine HTTP-Anfrage: im Kern die Bitte, ein bestimmtes Dokument zu liefern. Der Server antwortet mit einem Statuscode und dem Inhalt, meist einem HTML-Dokument.

Ein durchgerechnetes Beispiel zeigt, wie viel dabei im Hintergrund passiert. Angenommen, eine einfache Seite besteht aus einem HTML-Dokument, einem Stylesheet für das Layout, einem Skript und drei Bildern. Der Browser lädt zunächst nur das HTML. Beim Einlesen entdeckt er die Verweise auf die weiteren fünf Dateien und fordert jede einzeln an – insgesamt also sechs Anfragen für eine einzige, scheinbar schlichte Seite. Liegen die Bilder auf einem anderen Server, kommt für diesen zusätzlich eine eigene DNS-Abfrage und ein eigener Verbindungsaufbau hinzu. Moderne Nachrichtenportale laden auf diese Weise oft Dutzende bis Hunderte Einzeldateien, was erklärt, warum Werbeblocker oder langsame Mobilverbindungen die Ladezeit so spürbar verändern.

Für die Sicherheit bedeutet das: Jede dieser Anfragen ist ein möglicher Angriffspunkt. Ist die Hauptseite verschlüsselt, ein eingebundenes Skript aber nicht, kann ein Angreifer genau dieses Skript austauschen und damit die gesamte Seite kontrollieren. Browser blockieren solche gemischten Inhalte deshalb zunehmend von sich aus.

HTTPS als Antwort: Verschlüsselung direkt im Browser

Die wirksamste Lösung gegen offene Datenübertragung ist HTTPS, also HTTP über eine verschlüsselte TLS-Verbindung. Dabei ändert sich am eigentlichen Seitenaufbau nichts; die Verschlüsselung legt sich wie ein Tunnel um die bestehende Kommunikation.

Der Mechanismus lässt sich in zwei Phasen gliedern. Beim Verbindungsaufbau weist sich der Server mit einem Zertifikat aus, das von einer vertrauenswürdigen Stelle signiert wurde. Der Browser prüft, ob das Zertifikat zur aufgerufenen Domain passt und noch gültig ist. Anschliessend handeln beide Seiten einen gemeinsamen Sitzungsschlüssel aus, ohne ihn je im Klartext zu übertragen. Ab dann ist jede Anfrage und jede Antwort verschlüsselt und gegen unbemerkte Veränderung geschützt. Wer im Café-WLAN mithört, sieht zwar noch, dass eine Verbindung zu einem bestimmten Server besteht, nicht aber, welche Seiten aufgerufen oder welche Passwörter eingegeben werden.

Wichtig ist die Abwägung dahinter: HTTPS garantiert, dass die Verbindung zum richtigen Server führt und niemand mitliest. Es sagt aber nichts darüber aus, ob der Betreiber seriös ist. Auch eine Phishing-Seite kann ein gültiges Zertifikat besitzen, weil einfache Zertifikate lediglich die Kontrolle über eine Domain bestätigen. Das Schloss-Symbol in der Adresszeile bedeutet also «verschlüsselt», nicht «vertrauenswürdig». Genau diese Verwechslung nutzen Betrüger gezielt aus, indem sie Domains registrieren, die bekannten Adressen zum Verwechseln ähnlich sehen.

Seit Zertifikate kostenlos und automatisiert erhältlich sind, ist die Hürde für Betreiber stark gesunken. Die Mehrheit der häufig besuchten Seiten wird heute verschlüsselt ausgeliefert, und viele Browser markieren unverschlüsselte Seiten ausdrücklich als «nicht sicher». Die Grundarchitektur des Webs bleibt dennoch offen – Verschlüsselung ist eine Ergänzung, die aktiv eingesetzt werden muss.

Praxistipps für den sicheren Alltag im Web

Wer die Technik versteht, kann mit wenigen Gewohnheiten viel Risiko vermeiden. Die folgenden Punkte setzen genau dort an, wo das offene Design des Webs Lücken lässt:

• Adresszeile vor jeder Anmeldung prüfen: Beginnt die URL mit https und stimmt der Domainname Buchstabe für Buchstabe? Tippfehler-Domains wie ein vertauschtes «rn» statt «m» sind ein klassischer Trick.
• Den HTTPS-only-Modus im Browser aktivieren. Die meisten aktuellen Browser bieten diese Einstellung an; sie versucht jede Seite verschlüsselt zu laden und warnt, bevor eine unverschlüsselte Verbindung zustande kommt.
• Warnungen zu Zertifikaten ernst nehmen. Meldet der Browser ein ungültiges oder abgelaufenes Zertifikat, sollte auf dieser Seite nichts eingegeben werden – auch wenn sie vertraut aussieht.
• In öffentlichen WLANs keine sensiblen Vorgänge über unverschlüsselte Seiten abwickeln. Ein VPN kann hier zusätzlich schützen, weil es den gesamten Datenverkehr bis zum VPN-Server verschlüsselt.
• Browser und Betriebssystem aktuell halten. Updates schliessen nicht nur Sicherheitslücken, sondern bringen auch aktualisierte Listen vertrauenswürdiger Zertifizierungsstellen mit.

Für Betreiber einer eigenen Website gilt die Kehrseite: HTTPS sollte ohne Ausnahme aktiv sein, und alle HTTP-Aufrufe sollten automatisch auf die verschlüsselte Version umgeleitet werden. Dazu gehört auch, eingebundene Inhalte von Drittservern zu kontrollieren, damit keine gemischten Inhalte entstehen. Wer Zertifikate automatisch erneuern lässt, verhindert zudem, dass die Seite eines Morgens mit einer Warnmeldung begrüsst, weil ein Ablaufdatum übersehen wurde.

Langfristig hilft vor allem das Grundverständnis: Wer weiss, dass das Web offen gebaut wurde, betrachtet das Schloss-Symbol als Mindeststandard statt als Gütesiegel und prüft bei Links in E-Mails oder Nachrichten lieber zweimal, wohin sie tatsächlich führen.

Häufig gestellte Fragen (FAQ)

Seit wann gibt es das World Wide Web?
Die Grundlagen entstanden Ende der Achtzigerjahre als Werkzeug für den Austausch wissenschaftlicher Dokumente. Einer breiten Öffentlichkeit wurde das Web erst einige Jahre später zugänglich, als grafische Browser das Surfen ohne Fachwissen ermöglichten.

Was ist der Unterschied zwischen Internet und World Wide Web?
Das Internet ist die technische Infrastruktur, die Datenpakete zwischen Computern transportiert. Das World Wide Web ist ein Dienst darauf, der Dokumente über HTTP bereitstellt und per Hyperlinks verknüpft. E-Mail oder Messenger nutzen ebenfalls das Internet, gehören aber nicht zum Web.

Macht HTTPS eine Website automatisch vertrauenswürdig?
Nein. HTTPS verschlüsselt die Verbindung und stellt sicher, dass sie zum Server der aufgerufenen Domain führt. Ob der Betreiber seriös ist, sagt das Schloss-Symbol nicht aus – auch betrügerische Seiten können ein gültiges Zertifikat besitzen.