Hört auf. Hört einfach auf. HTTPS ist nicht schneller als HTTP.

Lori Mac VittieDistinguished Engineer und Chief Evangelist | F5

Ja, Lori hat mal wieder im Internet gelesen. Und was sie dort gesehen hat, macht die kleine Lori wütend. Außerdem bringt es diese ehemalige Testentwicklerin und Technikredakteurin zum Weinen. Wirklich, ich könnte weinen – sowohl über die Rechtfertigungen für solche Tests als auch über die irreführende Schlagzeile.

Ich habe in den letzten zwei Wochen nicht weniger als zwei konstruierte Vergleiche zwischen „HTTPS“ und „HTTP“ gelesen, die angeblich belegen, dass sicheres HTTP unbestreitbar schneller ist als sein unverschlüsseltes Gegenstück HTTP.

Ach, wenn das nur wahr wäre.

Der Kniff dabei ist, dass in beiden Vergleichen (und zweifellos werden noch viele weitere folgen) sicheres HTTP/2 mit unsicherem HTTP/1.1 verglichen wird. Aus dem oben erwähnten Vergleich: „Unverschlüsseltes HTTP/1.1 wird mit verschlüsseltem HTTP/2 HTTPS verglichen“.

Wie wir alle bereits wissen, ist HTTP/2 selbst aus verschiedenen Gründen, die absolut nichts mit Sicherheit zu tun haben, schneller als HTTP/1.1 – und zwar von Grund auf. Multiplexing, „intelligente“ Header und ein binärer Bitstrom sorgen gemeinsam für ein schnelleres und effizienteres Protokoll, Punkt. Zwar ist es wahrscheinlich, dass eine zusätzliche Sicherheitsschicht (TLS oder SSL) bei HTTP/2 zu geringfügigen Leistungseinbußen führt (weil es mathematisch unvermeidbar ist), doch reichen diese nicht aus, um die Leistung auf das Niveau zu drücken, das wir von HTTP/1.1 gewohnt sind – selbst ohne Verschlüsselung.

Leider werden diese Ergebnisse als unwiderlegbarer Beweis dafür angeführt, dass HTTPS schneller als HTTP sei. Das stimmt schlichtweg nicht. Gegen einen Vergleich von verschlüsseltem HTTP/2 mit unverschlüsseltem HTTP/2 wird eingewandt, dass Browser HTTP/2 ohne Verschlüsselung nicht unterstützen und ein solcher Test daher nicht möglich sei. Also wurde ein Test konstruiert, der vermeintlich die Unterschiede veranschaulicht, tatsächlich aber nichts dergleichen leistet.

Es stimmt, dass ein Vergleich von sicherem HTTP/2 mit unsicherem HTTP/2 äußerst schwierig, wenn nicht gar unmöglich wäre. Obwohl HTTP/2 von der Anforderung abgerückt ist, ausschließlich sichere Verbindungen zuzulassen, und auch unverschlüsselte Verbindungen erlaubt, haben sich alle großen Browser geweigert, unverschlüsselte Verbindungen zu unterstützen, und unterstützen HTTP/2 bislang nur über TLS/SSL. Selbst beliebte Kommandozeilenprogramme wie curl lassen keine unsicheren HTTP/2-Verbindungen zu. Dadurch wird HTTPS de facto zum Standard, auch wenn die Spezifikation dies nicht vorschreibt. Das bedeutet aber nicht, dass man die beiden einfach vergleichen und dann auf Grundlage dieses Tests völlig absurde Behauptungen aufstellen kann, die sich mit einfacher Mathematik widerlegen lassen.

Nehmen wir einmal an, eine über unverschlüsseltes HTTP/2 übertragene Webseite benötigte genau 1,2 Sekunden zum Laden. Fügen wir nun TLS hinzu. Durch TLS (oder auch SSL) fällt mehr Verarbeitungsaufwand an, insbesondere für die Ver- und Entschlüsselung der Daten. Selbst wenn das nur 0,3 Sekunden dauert, bedeutet es dennoch, dass HTTPS ein klein wenig langsamer ist als HTTP. Punkt. Die Mathematik sagt es, und die Mathematik ist unbestechlich. Sie verfolgt keine Absichten, die Ergebnisse sind ihr gleichgültig – sie sagt einfach: „So ist es.“

Und die Mathematik sagt: Wenn man X nimmt und dann Y addiert, erhält man Z, und Z ist immer größer als X oder Y.

Ich verstehe den Wunsch, die Leute zum Umstieg auf HTTP/2 zu bewegen, weil es schneller ist und das erste echte „Upgrade“ für HTTP seit sehr langer Zeit darstellt. Doch das braucht Zeit, insbesondere wenn dafür zahlreiche Upgrades und Änderungen an der Infrastruktur erforderlich sind, die zwangsläufig zu Unterbrechungen führen werden, da alle Beteiligten – von der Anwendungsentwicklung über den IT- und Netzwerkbetrieb bis hin zur IT-Sicherheit – ihre aktuelle Arbeit unterbrechen müssen, um zu testen, bereitzustellen und erneut zu testen. Dabei sind die Anpassungen an Anwendungen, die seit Langem auf HTTP/1.1 und dessen Protokollspezifikation ausgelegt sind, noch gar nicht berücksichtigt. HTTP/2 verändert alles. Und die Auswirkungen erstrecken sich auf das gesamte Rechenzentrum. Gateways verringern zwar die mit der Migration verbundenen Schwierigkeiten und Beeinträchtigungen, doch nicht jeder sieht unbedingt einen zwingenden Grund, auf den HTTP/2-Zug aufzuspringen.

Die Leistungssteigerung, die Unternehmen feststellen werden, bedeutet lediglich, dass HTTP/2 wie von seinen Entwicklern vorgesehen eine höhere Geschwindigkeit und Effizienz bietet. Das bedeutet, dass Unternehmen die für die Umstellung auf den neuen Standard erforderlichen Upgrades der Anwendungs- und Netzwerkinfrastruktur einplanen sollten – unabhängig davon, ob dabei HTTP-Gateways zum Einsatz kommen oder nicht. Es bedeutet nicht, dass HTTPS schneller ist als HTTP.

Nachweislich falsche Behauptungen aufzustellen, um mit einer angeblich überlegenen Leistung reißerische Clickbait-Schlagzeilen zu formulieren, ist schlichtweg inakzeptabel. Ja, beim Umstieg von HTTP/1.1 auf HTTP/2 werden Sie mit ziemlicher Sicherheit eine Leistungssteigerung feststellen, selbst bei erzwungener Verschlüsselung. Doch in keiner Welt, in der Logik und Mathematik gelten, bedeutet das, dass HTTPS schneller ist als HTTP. Wenn Sie Unternehmen helfen möchten, dann vermitteln Sie ihnen, wie sie reibungslos vom alten auf den neuen Standard umsteigen können. Stellen Sie ihnen aussagekräftige Daten zur Verfügung, mit denen sie einen Business Case für ein Upgrade auf den neuesten und besten Standard erstellen können. Geben Sie ihnen die Mittel an die Hand, um zu belegen, dass sich die Investition in den Umstieg von HTTP/1.x auf HTTP/2 langfristig auszahlen wird.

Bieten Sie Richtlinien und Best Practices statt reißerischer Schlagzeilen, bei denen die Kernaussage im Text untergeht.

Über den Autor

Lori Mac VittieDistinguished Engineer und Chief Evangelist | F5

Lori MacVittie ist Distinguished Engineer und Chief Evangelist im Office of the CTO von F5 und verfügt über umfassende Expertise in den Bereichen Anwendungsbereitstellung, Automatisierungsstrategie und Infrastruktur. Sie ist dafür bekannt, Komplexität verständlich zu machen – ob sie Leitplanken für KI-Agenten definiert, fragile Multicloud-Architekturen analysiert oder die Grenzen skalierbarer Systeme auslotet. Sie verfügt über mehr als dreißig Jahre Branchenerfahrung in der Anwendungsentwicklung, IT-Architektur sowie im Netzwerk- und Systembetrieb. Bevor sie zu F5 kam, war sie als mehrfach ausgezeichnete Technologie-Redakteurin tätig. MacVittie hat einen Masterabschluss in Informatik und ist eine produktive Autorin, deren Veröffentlichungen die Bereiche Sicherheit, Cloud und Unternehmensarchitektur abdecken. Außerdem spielt sie leidenschaftlich gern Brett- und Videospiele und vertritt mit voller Überzeugung klare Ansichten zum Thema Käse.

Weitere Blogbeiträge von Lori Mac Vittie