Wir haben 1.000 öffentliche Websites geprüft: 86 % hatten HTTPS, die Hälfte sonst nichts

Das Schloss in Ihrer Adressleiste beantwortet genau eine Frage: Ist die Verbindung zwischen Ihnen und diesem Server verschlüsselt? Menschen lesen daraus eine sehr viel weitreichendere Aussage über die dahinterliegende Website. Wir wollten wissen, wie groß diese Lücke tatsächlich ist, also haben wir sie gemessen.

Was wir getan haben

Wir haben das amtliche Register der französischen Kommunalverwaltungen herangezogen, das die DILA, der Informationsdienst des französischen Premierministers, unter einer offenen Lizenz veröffentlicht, in der Fassung vom 31. Juli 2026. Es enthält 86.051 Einträge, von denen 58.563 mindestens eine Website nennen. Nach Normalisierung der Hostnamen bleiben 26.922 verschiedene Domains.

Daraus haben wir 1.000 zufällig mit einem festen Startwert gezogen und anschließend genau eine GET-Anfrage an jede Startseite geschickt, wobei wir erfasst haben, ob sie über HTTPS antwortete und welche der sechs üblichen Sicherheits-Header zurückkamen.

Wir haben keine Ports gescannt, keine Pfade abgeklopft und keine Subdomains aufgezählt. Jede Domain wurde einmal kontaktiert, also genau das, was Ihr Browser tut, wenn Sie eine Seite öffnen.

Was zurückkam

862 der 1.000 Domains antworteten über HTTPS, also 86,2 %. Die übrigen 138 antworteten gar nicht: 135 Verbindungsfehler, 2 Zeitüberschreitungen und 1 abgebrochene Verbindung.

Jede Zahl weiter unten ist als Anteil jener 862, die geantwortet haben, angegeben, niemals der vollen tausend. Beides zu vermischen würde „sendet diesen Header nicht" mit „hat gar nicht geantwortet" verwischen, und das sind verschiedene Tatsachen.

Zwei Zahlen beschreiben das Bild besser als die Tabelle:

• 412 antwortende Websites, 47,8 %, sendeten keinen der sechs.
• 48, also 5,6 %, sendeten alle sechs.

Rund die Hälfte der Websites, die erfolgreich eine Seite über eine verschlüsselte Verbindung auslieferten, hatte also sonst nichts konfiguriert, und etwa eine von achtzehn hatte den vollständigen Satz.

Dass ein Schloss vorhanden ist und dass eine Tür gesichert ist, sind zwei verschiedene Beobachtungen. Das ist eigentlich der gesamte Befund.

Was das bedeutet und was nicht

Wir sind hier bewusst vorsichtig, denn diese Art von Messung lässt sich leicht überinterpretieren.

Ein fehlender Header ist eine beobachtete Tatsache, keine Schwachstelle. Mehrere dieser Header leisten nur im Zusammenspiel mit anderen Entscheidungen nützliche Arbeit, und ihr Fehlen kann auf einer einfachen statischen Seite ohne Formulare, ohne Anmeldung und ohne Skripte Dritter völlig harmlos sein. Ein Rathaus, das Öffnungszeiten ausliefert, betreibt keine Bank.

Wir haben ausschließlich Startseiten gemessen. Eine Website kann anderswo andere Header setzen.

Es ist eine Momentaufnahme. Die Werte sind die vom 2. August 2026 und sagen nichts über den Tag davor oder danach aus.

Wir benennen niemanden. Der Datensatz enthält Domains, weil er reproduzierbar sein muss, aber er benotet niemanden, stuft niemanden ein und bezeichnet keine Website als unsicher.

Wir extrapolieren nicht. Die Stichprobe ist zufällig, was eine Schätzung für die übrigen 25.922 Domains statistisch möglich macht, aber wir legen keine vor, und sie sollte nicht als Gewissheit unterstellt werden.

Warum das für die tatsächliche Leistung eines VPN wichtig ist

Das ist der Teil, den wir lieber klar aussprechen, als ihn Leserinnen und Leser vermuten zu lassen.

Ein VPN verschlüsselt die Verbindung zwischen Ihrem Gerät und dem VPN-Server. Das schützt Sie davor, dass jemand das Netz beobachtet, in dem Sie sich befinden, und genau das ist die reale Bedrohung in gemeinsam genutzten und öffentlichen WLANs. Es ist wirklich nützlich, und es ist eng begrenzt.

Es ändert überhaupt nichts daran, wie die Zielwebsite konfiguriert ist. Wenn eine Website keine Content-Security-Policy sendet, sendet sie keine, ob Sie sie über ein VPN erreichen oder nicht. Wenn sie Strict-Transport-Security nicht setzt, fügt Ihr VPN keine hinzu. Die von uns gemessenen Header sind Entscheidungen, die von der Website und auf der Website getroffen werden, und kein clientseitiges Werkzeug setzt sie außer Kraft.

Beides schützt vor verschiedenen Dingen, und das Schloss verleitet dazu, sie zu einem einzigen Sicherheitsgefühl zu verschmelzen. Unsere Zahlen zeigen, dass Transportverschlüsselung nahezu allgegenwärtig geworden ist, hier bei 86 %, während alles Übrige nicht im gleichen Tempo nachgezogen hat. Das erste Problem ist weitgehend gelöst. Das zweite ist eine Konfigurationsfrage, die nur der Betreiber der Website beantworten kann.

Die Daten

Die Rohergebnisse, die aggregierten Zahlen und das Erhebungsskript werden gemeinsam veröffentlicht, damit die obigen Zahlen überprüft und nicht bloß geglaubt werden können. Die Stichprobe wird mit dem festen Startwert 20260802 aus der sortierten Domainliste gezogen, was sie auf jedem Rechner identisch macht.

Wenn Sie es ausführen und andere Zahlen erhalten, ist der Unterschied eine tatsächliche Veränderung auf diesen Websites und kein methodischer Unterschied. Genau dafür veröffentlichen wir das Skript zusammen mit den Zahlen.

Die Kurzfassung

Von 1.000 zufällig aus dem amtlichen Register gezogenen französischen Websites der öffentlichen Hand antworteten 86,2 % über HTTPS. Davon sendeten 47,8 % keinen der sechs üblichen Sicherheits-Header und 5,6 % sendeten alle sechs.

Verschlüsselung während der Übertragung ist nahezu erledigt. Die Konfiguration ist es nicht, und das Schloss unterscheidet nicht zwischen beidem. Ein VPN ebenso wenig, denn es schützt den Weg zum Server und nie die Einstellungen des Servers selbst.

Die Grundgesamtheit stammt aus dem Register der französischen Kommunalverwaltungen, das die DILA unter einer offenen Lizenz veröffentlicht, Fassung vom 31. Juli 2026. Die Messungen sind unsere eigenen, erhoben am 2. August 2026 mit dem zusammen mit diesem Datensatz veröffentlichten Skript, eine GET-Anfrage pro Startseite. Die Zahlen beschreiben die 862 Domains, die geantwortet haben, und werden nicht auf den Rest des Registers hochgerechnet. Kommerzielle Links tragen das Attribut rel="sponsored nofollow"; es kann eine Affiliate-Provision anfallen, ohne Mehrkosten für Sie.