Sicheres Surfen mit HTTPS in Facebook – Fluch und Segen!

– Gastbeitrag von Thomas Hutter –

Sicherheitsaspekte im Zusammenhang mit Facebook waren in der Vergangenheit öfters Inhalt von weitreichenden Diskussionen und einer der grössten Kritikpunkte gegenüber Facebook. Mit der Einführung des sicheren Surfens via „HTTPS“ (SSL) im Januar 2011 brachte Facebook eine von vielen Nutzern gewünschte Verbesserung der Plattform.

Segen für Surfer

Mit der Aktivierung des sicheren Surfens über die HTTPS-Funktion werden neben den Logindaten auch alle anderen vertraulichen Daten vor dem möglichen sind Mitlesen von Dritten geschützt. Die Gefahr eines Kompromittierens des Facebookbenutzerkontos ist bei aktiviertem HTTPS-Protokoll wesentlich vermindert.

Das „sichere Surfen“ kann in den Kontoeinstellungen im Abschnitt Kontosicherheit aktiviert werden:

Fluch für Seiten- und Applikationsbetreiber

Des einen Freud ist des anderen Leid, Betreiber von Facebookseiten und Facebookapplikationen sind mit der Einführung der HTTPS-Funktionalität laufend vor neue Herausforderungen gestellt. Die (vor-)schnelle Einführung der neuen Sicherheitsfunktionalität zog einige Umstellungen im Zusammenhang mit Facebookapplikationen nach sich. Anbieter und Betreiber von Facebookapplikationen mussten/müssen entsprechende Anpassungen in den Serverumgebungen ebenfalls vornehmen, vorausgesetzt sie möchten den Besuchern mit aktiviertem „sicheren Surfen“ die gleichen Inhalte anbieten, andernfalls werden entsprechende Reiter nicht angezeigt.

Welche Anwendungen sind von HTTPS betroffen?

Nicht alle Anwendungen sind von der HTTPS-Problematik betroffen. Seitenbetreiber, welche individuelle Reiter mit der Standard-FBML-Applikation von Facebook erstellt haben, können in diesem Zusammenhang aufatmen, die Reiter werden nach wie vor allen Surfern richtig angezeigt, unabhängig von der Verwendung von HTTPS oder HTTPS. Alle Seitenbetreiber, die individuelle Reiter oder Anwendungen in die Facebookseite  integriert haben, welche über einen Drittserver und ohne Verwendung der Static-FBML-Applikation erstellt wurden, müssen Ihre Applikation entsprechend erweitern und anpassen, andernfalls werden die Reiter Besuchern mit aktiviertem HTTPS nicht angezeigt: 

Welche Anpassungen müssen vorgenommen werden?

Betreiber von FBML-Applikationen und IFramePageTabs müssen in den Applikationseinstellungen Anpassungen für die Verwendung der Applikation im Zusammenhang mit dem HTTPS-Protokoll vornehmen:

• Leinwand
  Sichere Canvas-URL
• Seiten-Reiter
  Secure Tab URL

Abbildung 2 Anpassung der Einstellungen bei Applikationen

Wird eine der beiden Einstellungen nicht vorgenommen, ist die Applikation, bzw. der Reiter innerhalb einer Facebookseite für den mit HTTPS-surfenden Benutzern nicht sichtbar.

Ebenfalls müssen Entwickler in der Applikation sicherstellen, dass Verlinkungen innerhalb der Applikation ebenfalls eine saubere Einbindung von HTTPS sicherstellen, Verlinkungen zu eingebetteten Scripts und Inhalten müssen ebenfalls via HTTPS-Aufruf verbunden werden, andernfalls kann es zu weiteren Problemen führen.

HTTPS ist nicht HTTPS – Probleme mit Google Chrome

Probleme mit HTTPS können aber auch bei der Verwendung von „shared“-SSL-Zertifikaten auftreten, allerdings macht in diesem Zusammenhang nicht Facebook ein Problem, sondern Google Chrome. Bei iFramePageTabs, welche auf Hostings mit „shared“-SSL-Zertifikaten eingerichtet sind, verweigert unter Umständen Google Chrome die Anzeige der Inhalte, anstelle der gewünschten Inhalte wird eine rote Seite mit einer Warnmeldung angezeigt.

Unzureichende Informationen von Facebook

Leider erwies sich Facebook im Zusammenhang mit den HTTPS-Umstellungen nicht als vorbildlicher Kommunikator. Die Umstellungen in den Applikationen waren bereits vor der Publikation der dazugehörigen Informationen notwendig, einige Seiten- und Applikationsbetreiber haben in den vergangenen Tagen stundenweise nach Ursachen und Fehler von nicht angezeigten Inhalten gesucht. Besonders mühsam sind solche „unangekündigten“ Umstellungen bei laufenden Kampagnen und Gewinnspielen – vor allem wenn diese mit aufwändigen AdKampagnen begleitet werden.

Viele „grosse“ Seiten sind betroffen

Auch Betreiber von grossen Facebookseiten sind von den Umstellungen betroffen und wurden für einmal nicht durch die Keyaccountmanager vorgewarnt. Die HTTPS-Problematik ist beim Vergleich einiger der Facebookseiten der Topbrands gut erkennbar:

Abbildung 3 Vergleich der HTTPS-Problematik bei Seiten der TobBrands

Bei Coca Cola und Starbucks fehlen die Landingtabs bei der HTTPS-Ansicht. Bei Starbucks fehlen sämtliche individuellen Inhaltsseiten. Auch bei Red Bull fehlen bei der HTTPS-Ansicht sämtliche individuellen Inhaltsseiten (Athlets, Web TV, Games und Red Bull), eine Landingpage ist inexistent. Ähnlich bei Disney, während bei Disney die Landingtab zwar bei beiden Versionen angezeigt wird, sind die weiteren individuellen Tabs (Disney Downloads und Fan Board) sowie besonders schmerzhaft der kommerziell interessante Tab „TicketsTogether“ nicht mehr sichtbar.

Fazit

Obwohl ich das sichere Surfen via HTTPS sehr begrüsse, zieht die neu gewonnene Sicherheit einige Probleme mit sich. Wünschenswert wäre eine verbesserte Informationspolitik mit Vorlaufzeit von Seiten Facebook, Entwickler und Betreiber von Facebookseiten hätten eine grössere Sicherheit und müssten sich weniger mit „Halsüberkopf-Aktionen“ um ihre Facebookseiten und –applikationen kümmern. Facebook würde mit einem „überlegteren“ Handeln an Seriosität bei den Kunden punkten,  der Einsatz von Facebook wäre bei grossangelegten Kampagnen berechenbarer und würde so ein kleineres Risiko bürgen…

Über den Autor:

Thomas Hutter (35) ist Inhaber und Geschäftsführer der Hutter Consult GmbH. Er berät Unternehmen und Agenturen in der Schweiz, Deutschland und Österreich rund um Facebook Marketing und Social Media. Neben seiner Beratertätigkeit organisiert er Inhouse-Workshops/Seminare in Unternehmen und Agenturen und hält Vorträge.  Er unterrichtet u.a. für na media workshop, Schweiz. Medienausbildungszentrum (MAZ), Hochschule für Wirtschaft Zürich (HWZ) und für diverse weitere Anbieter. In seinem Blog www.thomashutter.com berichtet er laufend über neue Entwicklungen im Bereich Facebook Marketing und Social Media.