# Kann HTTPS-Verkehr durch einen Man-in-the-Middle abgefangen werden?

Nur wenn man den Client dazu bringt, dem Abfangenden zu vertrauen. Ein Man-in-the-Middle-Angriff auf HTTPS braucht ein Zertifikat, das der Client für den Zielnamen akzeptiert, einen Nutzer, der die Warnung wegklickt, oder eine Anwendung, die Zertifikate nicht richtig prüft. Unternehmen tun das absichtlich mit TLS-Inspection-Proxys, indem sie ein eigenes Stammzertifikat auf verwalteten Geräten installieren. Angreifer versuchen dasselbe, indem sie per Schadsoftware ein falsches Stammzertifikat einschleusen, Nutzer zum Akzeptieren von Warnungen bewegen oder Apps mit fehlerhafter Zertifikatsprüfung ausnutzen. Abwehr: Gewöhnen Sie Mitarbeitende nie daran, Zertifikatswarnungen wegzuklicken, kontrollieren Sie, welche Stammzertifikate auf Firmengeräten installiert sind, halten Sie Apps aktuell und setzen Sie auf Ihren Websites HTTP Strict Transport Security (HSTS) ein, damit Browser unverschlüsselte Verbindungen ablehnen. Certificate Pinning in manchen Apps weist jeden Abfangenden ab, auch Ihren eigenen Proxy. In TLS 1.3 ist das Serverzertifikat verschlüsselt, ein passiver Netzwerksensor kann also nicht prüfen, wer es ausgestellt hat; diese Prüfung gehört auf das Gerät oder in Proxy-Logs.

FAQ: [Verschlüsselung und verschlüsselter Verkehr](https://netsenx.com/de/faq/encryption) · https://netsenx.com/de/faq/can-https-traffic-be-intercepted

## Weiterlesen

- https://netsenx.com/de/encrypted-traffic-analysis
- https://netsenx.com/de/what-is-ndr

## Verwandte Fragen

- [Was ist JA4-TLS-Fingerprinting?](https://netsenx.com/de/faq/what-is-ja4-tls-fingerprinting)
- [Was ist der Unterschied zwischen JA3 und JA4?](https://netsenx.com/de/faq/what-is-the-difference-between-ja3-and-ja4)
- [Was ist SNI, und warum ist es für die Überwachung wichtig?](https://netsenx.com/de/faq/what-is-sni-and-why-does-it-matter-for-monitoring)
- [Was ist Encrypted Client Hello (ECH)?](https://netsenx.com/de/faq/what-is-encrypted-client-hello)
- [Macht Encrypted Client Hello die Netzwerküberwachung blind?](https://netsenx.com/de/faq/does-encrypted-client-hello-blind-network-monitoring)