SSL-Zertifikat: Was ist das und braucht man es?

Was macht ein SSL-Zertifikat eigentlich?

SSL ist ein Zertifikat, mit dem die Website gegenüber dem Browser nachweist, dass sie eine bestimmte Domain kontrolliert. Wenn das Zertifikat gültig ist, wird die Verbindung über HTTPS hergestellt und die Daten zwischen Browser und Server werden verschlüsselt.

Das ist bei einem Kontaktformular, der Anmeldung im Kundenkonto, einer Online-Bestellung, einer Zahlung, dem Hochladen von Dokumenten und jedem anderen Vorgang wichtig, bei dem Informationen übertragen werden. Die Verschlüsselung erschwert das Abfangen und Verändern der Daten auf dem Weg zwischen Client und Server.

Beim Aufrufen einer Website tauschen Browser und Server kurzzeitig Schlüssel aus. Anschließend prüft der Browser das Zertifikat, die Domain und dessen Gültigkeitsdauer und zeigt die Website über HTTPS an. Für den Besucher ist das an einer mit https:// beginnenden Adresse, einem Symbol für eine sichere Verbindung oder den Zertifikatsinformationen erkennbar.

SSL schützt nicht die gesamte Website vor allen Bedrohungen. Es verhindert weder schwache Passwörter und einen infizierten Plugin noch ein gefälschtes Angebot oder einen Angriff auf den Server selbst. Dafür sind Updates, Backups, Zugriffskontrollen und Überwachung erforderlich.

Ist ein SSL-Zertifikat für jede Website erforderlich?

Für eine öffentliche Unternehmenswebsite, einen Onlineshop und ein System mit Anmeldung lautet die Antwort: ja. Eine Website ohne HTTPS lässt sich zwar öffnen, wirkt inzwischen aber wie ein Problem und nicht wie eine normale technische Entscheidung.

Browser kennzeichnen HTTP-Seiten als „nicht sicher“, insbesondere wenn sich darauf ein Formular zur Eingabe von Daten befindet. Das kann Besucher davon abhalten, eine Anfrage zu senden, sich in ihrem Konto anzumelden oder eine Bestellung abzuschließen.

Google verwendet HTTPS als Ranking-Signal. Das bedeutet nicht, dass ein SSL-Zertifikat die Website in den Suchergebnissen nach vorn bringt. Es bedeutet, dass eine Website ohne HTTPS mit einem technischen Nachteil gegenüber einer vergleichbaren, korrekt eingerichteten Website startet.

HTTPS ist auch für zahlreiche moderne Browserfunktionen erforderlich, etwa bestimmte Arten von Benachrichtigungen, den Zugriff auf Geräte und den Betrieb progressiver Web-Apps. Zahlungsanbieter und Anbieter externer Dienste erwarten ebenfalls eine sichere Verbindung, auch wenn ihre konkreten Anforderungen von der jeweiligen Integration abhängen.

Wichtige Klarstellung: Die DSGVO sagt nicht einfach „Kaufen Sie ein SSL-Zertifikat“. Unternehmen müssen je nach Risiko geeignete technische und organisatorische Maßnahmen ergreifen. HTTPS ist eine grundlegende Maßnahme zum Schutz von Daten bei der Übertragung, ersetzt jedoch nicht die übrigen Anforderungen.

Welchen SSL-Zertifikatstyp brauchen Sie?

In den meisten Fällen brauchen Sie nicht das teuerste Zertifikat. Die Wahl hängt von den Domains, Subdomains und der Art ab, wie Sie das Hosting verwalten – nicht von der Größe des Logos oder der Anzahl der Seiten.

Der Preis richtet sich nach der Zertifizierungsstelle, der Anzahl der Domains, den Subdomains, der Laufzeit, der Art der Verwaltung und danach, ob der Hosting-Anbieter das Zertifikat in das Abonnement einschließt. EV zeigt in den meisten Browsern inzwischen keinen speziellen grünen Balken mehr an und sollte daher nicht allein wegen des visuellen Effekts gekauft werden.

Reicht ein kostenloses SSL-Zertifikat aus?

Ja, für einen großen Teil der Websites. Let's Encrypt stellt kostenlose DV-Zertifikate aus, und viele Hosting-Umgebungen installieren und erneuern sie automatisch. Für Besucher bietet ein korrekt eingerichtetes kostenloses DV-Zertifikat dieselbe grundlegende Verschlüsselung wie ein kostenpflichtiges DV-Zertifikat.

Der Unterschied liegt in der Regel in der Verwaltung, dem Support und den Zusatzfunktionen – nicht darin, ob ein Vorhängeschloss angezeigt wird. Ein kostenpflichtiges Zertifikat kann bei speziellen Anforderungen an die Organisation, vielen Domains oder einer zentralen Verwaltung in einer größeren Infrastruktur sinnvoll sein.

Cloudflare kann ebenfalls TLS zwischen dem Besucher und seinem Netzwerk bereitstellen. Das bedeutet jedoch nicht automatisch, dass die Verbindung von Cloudflare zu Ihrem Server korrekt geschützt ist. Es muss der passende Modus gewählt werden, und auf dem Server muss ebenfalls ein gültiges Zertifikat vorhanden sein, wenn die Konfiguration dies erfordert.

Wie richtet man HTTPS ein, ohne die Website lahmzulegen?

1. 01
   Domain und Hosting prüfen

   Ermitteln Sie, wohin der DNS-Eintrag zeigt, wer den Server verwaltet und ob bereits ein Zertifikat ausgestellt wurde. Prüfen Sie außerdem alle verwendeten Subdomains, zum Beispiel www, shop, app und die Adresse des Admin-Bereichs.

2. 02
   Zertifikat ausstellen und installieren

   Wählen Sie ein automatisches DV-Zertifikat oder einen anderen Typ entsprechend dem tatsächlichen Bedarf. Installieren Sie das Zertifikat für die richtigen Domains sowie die Zwischenzertifikate, falls der Aussteller diese verlangt.

3. 03
   Weiterleitung zu HTTPS

   Richten Sie auf Serverebene eine permanente Weiterleitung von HTTP zu HTTPS ein. Prüfen Sie die Version mit www und ohne www separat und wählen Sie eine Hauptadresse. Die Weiterleitung muss den Pfad zur Seite beibehalten und darf nicht alles auf die Startseite führen.

4. 04
   Gemischte Inhalte entfernen

   Ändern Sie die Adressen von Bildern, CSS-Dateien, JavaScript, Schriftarten, Videos und externen Ressourcen von http:// zu https://. Eine einzige alte Ressource kann dazu führen, dass der Browser ein Skript blockiert oder eine Warnung anzeigt.

5. 05
   Formulare, Zahlungen und Integrationen prüfen

   Senden Sie eine Testanfrage, führen Sie eine Testbestellung durch und prüfen Sie API-Verbindungen, Karten, Chat, Tracking und Werbeskripte. Prüfen Sie bei einem Online-Shop außerdem die Rückleitung vom Zahlungsdienstleister, die Zahlung per Nachnahme und die Versanddokumente.

6. 06
   Automatische Erneuerung und Überwachung

   Richten Sie eine Benachrichtigung bei Problemen ein und prüfen Sie das Ablaufdatum. Bei einem automatischen Zertifikat sollten Sie auch den Prozess selbst überwachen – gehen Sie nicht davon aus, dass „automatisch“ bedeutet, dass „es niemals ausfallen wird“.

Welche Fehler treten am häufigsten auf?

Das Zertifikat wurde für die falsche Adresse ausgestellt

Die Website kann unter example.bg funktionieren, aber unter www.example.bg eine Warnung anzeigen, wenn die zweite Adresse nicht im Zertifikat enthalten ist. Dasselbe Problem tritt bei einer vergessenen Subdomain, einer Testumgebung oder einer separaten Adresse für den Admin-Bereich auf.

HTTP- und HTTPS-Versionen existieren gleichzeitig

Wenn keine korrekte Weiterleitung eingerichtet ist, können Suchmaschinen und Besucher zwei Versionen derselben Seite erreichen. Das führt zu doppelten Inhalten, verwirrt die kanonischen Adressen und ermöglicht, dass ein Teil der Website ungeschützt bleibt.

Gemischte Inhalte blockieren Funktionen

Eine über HTTPS aufgerufene Seite kann ein altes Bild, Skript oder eine API-Adresse über HTTP laden. Moderne Browser blockieren aktive gemischte Inhalte häufig, sodass Menü, Formular, Zahlung oder Tracking plötzlich nicht mehr funktionieren können.

Das Zertifikat läuft ab

Ein abgelaufenes Zertifikat zeigt eine deutliche Warnung an und beeinträchtigt das Vertrauen in die Website praktisch vollständig. Dazu kommt es bei manueller Erneuerung, geändertem DNS, fehlenden Berechtigungen oder einem deaktivierten automatischen Prozess.

SSL wird als Ersatz für Sicherheit verstanden

HTTPS behebt kein veraltetes WordPress-Plugin, kein schwaches Passwort und kein angreifbares Formular. Erforderlich sind Updates, eingeschränkter Zugriff, Backups und Überwachung. Bei einer Website, die von einem anderen Anbieter erstellt wurde, sollten Sie zunächst eine technische Prüfung durchführen, bevor Sie Servereinstellungen ändern.

Wer sollte das SSL-Zertifikat verwalten?

Wenn die Website bei einem Managed-Hosting-Anbieter liegt, kann dieser in der Regel die Ausstellung, Installation und Erneuerung übernehmen. Wichtig ist, dass dies klar festgehalten wird: Wer erhält die Benachrichtigungen, wer reagiert bei einem Fehler und ist eine Prüfung nach der Erneuerung enthalten?

Bei einem eigenen Server, einer individuellen Infrastruktur oder mehreren miteinander verbundenen Systemen ist die Verantwortung größer. Das Zertifikat muss auf Reverse Proxy, CDN, Container, API-Adressen, Testumgebung und Zahlungssysteme abgestimmt sein.

Die Wartung besteht nicht nur aus einer einmaligen Installation. Sie umfasst Backups, Updates, die Überwachung von Fristen und die Prüfung, ob Änderungen an der Website nicht wieder eine HTTP-Ressource eingebunden haben. Wenn Sie einen solchen Prozess benötigen, erfahren Sie hier, was die Website-Wartung umfasst.

Bei einer neuen Unternehmenswebsite sollte HTTPS zusammen mit der mobilen Version, den Formularen, den SEO-Einstellungen und den Backups Teil der technischen Grundlage sein. Bei einem Online-Shop sollte die Prüfung den gesamten Weg vom Produkt bis zur Zahlung und zur Bestellbenachrichtigung abdecken – das gehört zu einer professionellen Erstellung eines Online-Shops.

Was können Sie selbst in fünf Minuten prüfen?

• Öffnen Sie die Website mit https:// und prüfen Sie, ob der Browser eine Warnung anzeigt.
• Testen Sie die Adresse mit und ohne www.
• Öffnen Sie eine wichtige Unterseite, das Kontaktformular und die Bestellseite.
• Prüfen Sie, ob Bilder, Skripte oder Schriftarten über HTTP blockiert werden.
• Prüfen Sie das Ablaufdatum und ob eine automatische Verlängerung eingerichtet ist.
• Prüfen Sie, ob die HTTP-Adresse auf die richtige HTTPS-Seite weiterleitet.
• Führen Sie bei einer Website mit Zahlungsfunktion eine Testtransaktion durch oder prüfen Sie die Funktion in einer Testumgebung.

Häufig gestellte Fragen

Hat das SSL-Zertifikat einen starken Einfluss auf SEO? HTTPS ist ein bestätigtes technisches Signal, gleicht aber allein keine schwachen Inhalte, eine langsame Website oder eine schlechte Struktur aus. Der Vorteil besteht darin, einen grundlegenden Mangel zu beseitigen und eine sichere Grundlage für die weitere SEO-Optimierung zu schaffen.

Kann ein Onlineshop ohne SSL betrieben werden? Technisch lassen sich einige Seiten möglicherweise laden, doch das ist eine schlechte und riskante Konfiguration. Formulare, Benutzerkonten, Zahlungen und das Vertrauen der Kunden erfordern HTTPS im gesamten Shop.

Muss ich ein kostenpflichtiges SSL-Zertifikat kaufen? Nicht unbedingt. Ein kostenloses DV-Zertifikat reicht für viele Unternehmenswebsites und Onlineshops aus, wenn es korrekt installiert und verlängert wird. Ein kostenpflichtiges Zertifikat ist sinnvoll, wenn bestimmte Anforderungen an Validierung, Verwaltung oder Infrastruktur bestehen.

Was soll ich tun, wenn das Zertifikat abgelaufen ist? Löschen Sie Zertifikate nicht auf gut Glück und ändern Sie den DNS nicht ohne vorherige Prüfung. Klären Sie, wer das Hosting verwaltet, stellen Sie ein neues Zertifikat aus, prüfen Sie die Zwischenzertifikate und testen Sie nach der Verlängerung alle Domains und Integrationen.