Frag jemanden, was ein SSL-Zertifikat ist, und du bekommst ganz verschiedene Antworten, von "das, was HTTPS möglich macht" bis "keine Ahnung, aber Seiten brauchen eins". Beides liegt näher an der Wahrheit, als es klingt. Ein SSL-Zertifikat ist der digitale Nachweis, der die Verbindung zwischen dem Browser eines Besuchers und einem Webserver verschlüsselt, und es wird speziell für einen Domainnamen ausgestellt. Es beeinflusst, wie deine Seite in Browsern erscheint, wie Suchmaschinen sie behandeln und ob Besucher ihr genug vertrauen, um zu bleiben.
Was ist ein SSL-Zertifikat?
Ein SSL-Zertifikat ist eine digitale Datei, die auf einem Webserver installiert wird und zwei Dinge tut. Erstens verschlüsselt sie die Daten, die zwischen dem Browser eines Besuchers und deinem Server laufen, sodass niemand, der die Verbindung abfängt, die gesendeten Informationen lesen kann, darunter Formularangaben, Zugangsdaten und Zahlungsdaten. Zweitens bestätigt sie, dass der Server zu der Domain gehört, zu der er zu gehören vorgibt, sodass Besucher sicher sein können, auf der richtigen Seite gelandet zu sein.
SSL steht für Secure Sockets Layer. Die Technik wurde über die Jahre weiterentwickelt, und der aktuelle Standard heißt technisch TLS (Transport Layer Security). Der Begriff SSL ist aber gebräuchlich geblieben, und die meisten Menschen, Registrare und Hosting-Anbieter nennen diese Zertifikate weiter SSL-Zertifikate, egal welche Version dahintersteckt.
Ist ein Zertifikat installiert und gültig, zeigen Browser ein Schlosssymbol in der Adressleiste und laden die Seite über HTTPS. Das "S" am Ende von HTTP wird durch SSL möglich. Ohne Zertifikat ist die Verbindung unverschlüsselt, die Adresse zeigt einfaches HTTP, und moderne Browser zeigen Besuchern eine Warnung "Nicht sicher".
Was bedeutet HTTPS und wie macht SSL es möglich?
HTTP ist das Protokoll, mit dem Browser Webseiten anfordern und empfangen. HTTPS ist dasselbe Protokoll mit einer verschlüsselten Schicht obendrauf, die ein SSL-Zertifikat bereitstellt. Jedes Mal, wenn ein Besucher eine Seite lädt, die HTTPS nutzt, führen sein Browser und der Server einen kurzen Prüfungsaustausch durch. Dabei prüft der Browser das SSL-Zertifikat, bestätigt, dass es gültig und für die richtige Domain ausgestellt ist, und baut eine verschlüsselte Verbindung auf. Danach sind alle Daten zwischen Besucher und Server unterwegs verschlüsselt.
Für Besucher heißt das: Alles, was sie in ein Formular eintippen, jede Seite, die sie aufrufen, und alle Daten, die die Seite an ihren Browser zurückschickt, kann ein Dritter, der diese Verbindung beobachtet, nicht lesen. Für Markeninhaber heißt es, dass die Kommunikation zwischen Seite und Besuchern standardmäßig privat und sicher ist.
Das Schlosssymbol in der Adressleiste des Browsers ist die sichtbare Bestätigung, dass HTTPS aktiv und das Zertifikat gültig ist. Ein grünes oder graues Schloss bedeutet, dass die Verbindung verschlüsselt und das Zertifikat geprüft ist. Ein defektes Schloss, ein durchgestrichenes Schloss oder gar kein Schloss bedeutet, dass die Verbindung unverschlüsselt ist oder es ein Problem mit dem Zertifikat gibt.
Wie hängt ein SSL-Zertifikat mit deiner Domain zusammen?
Ein SSL-Zertifikat wird für einen bestimmten Domainnamen ausgestellt. Signiert eine Zertifizierungsstelle, also eine vertrauenswürdige Organisation, die Zertifikate ausstellt und prüft, ein Zertifikat, bindet sie es an einen oder mehrere Domainnamen. Ein Zertifikat für deinemarke.com deckt genau diese Domain ab. Es deckt nicht automatisch die www-Version, Subdomain-Varianten oder andere Domains ab, wenn diese nicht ausdrücklich im Zertifikat enthalten sind.
Das ist die direkte Verbindung zwischen SSL und deiner Domain. Das Zertifikat wird nicht auf irgendeinem Server installiert. Es wird speziell für deinen Domainnamen ausgestellt, und der Browser prüft, ob die Domain im Zertifikat mit der Domain übereinstimmt, die der Besucher erreichen will. Stimmen sie nicht überein, zeigt der Browser eine Sicherheitswarnung, egal ob das Zertifikat selbst gültig ist.
Das vorherige Kapitel zum Schutz deiner Domain vor Hijacking behandelte Bedrohungen auf Kontoebene für deine Registrierung. SSL wirkt auf einer anderen Ebene und schützt, was über die Verbindung passiert, nicht wer die Domainregistrierung kontrolliert. Wer versteht, was ein Domainname ist und wie er als Adresse deiner Seite funktioniert, sieht diese Verbindung klarer. Die Domain ist der Name, an den das Zertifikat gebunden ist, und beides muss in Ordnung sein, damit die sichere Verbindung funktioniert.
Auch die Beziehung zwischen deiner Domain und dem Ort, an dem deine Seitendateien gehostet sind, ist hier wichtig. Das Zertifikat ist auf dem Server installiert, auf dem deine Seite liegt, und die Domain zeigt auf diesen Server, also müssen beide zusammenpassen. Das Kapitel Domain und Hosting im Vergleich erklärt, wie ein Domainname und ein Hosting-Konto zusammenhängen. Das ist dieselbe Infrastruktur, die SSL in der Praxis funktionieren lässt.
Welche Arten von SSL-Zertifikaten gibt es?
SSL-Zertifikate gibt es in drei Hauptstufen der Validierung. Der Unterschied liegt darin, wie gründlich die Zertifizierungsstelle die Organisation hinter der Domain prüft, bevor sie das Zertifikat ausstellt.
Domain Validation (DV)
Ein Domain-Validation-Zertifikat bestätigt, dass die Person, die es beantragt, die Domain tatsächlich kontrolliert. Die Zertifizierungsstelle prüft, ob sie Zugriff auf die DNS-Einträge der Domain oder auf das zugehörige E-Mail-Postfach hat. Die Identität oder rechtliche Existenz der Organisation wird nicht geprüft. DV-Zertifikate werden schnell, oft automatisch ausgestellt und sind die häufigste Art für private Seiten, Blogs und kleine Markenwebsites. Das Schloss erscheint, die Verbindung ist verschlüsselt, und Besucher sehen HTTPS. Für die meisten Seiten reicht DV.
Organization Validation (OV)
Ein Organization-Validation-Zertifikat umfasst eine Prüfung der rechtlichen Existenz und der Kontaktdaten der beantragenden Organisation. Die Zertifizierungsstelle schaut in öffentliche Register, um zu bestätigen, dass die Organisation real ist und die Person, die das Zertifikat beantragt, dazu befugt ist. OV-Zertifikate nutzen meist etablierte Marken und Organisationen, die eine höhere Stufe geprüfter Identität an ihr Zertifikat binden wollen.
Extended Validation (EV)
Ein Extended-Validation-Zertifikat durchläuft das gründlichste Prüfverfahren. Die Zertifizierungsstelle prüft die rechtliche Eintragung, die physische Adresse, ob die Organisation aktiv tätig ist und ob die antragstellende Person das Recht hat, es zu beantragen. EV-Zertifikate waren früher mit einer grünen Adressleiste im Browser verbunden, die meisten modernen Browser zeigen diese optische Unterscheidung aber nicht mehr deutlich. Am häufigsten sind sie bei Finanzinstituten und E-Commerce-Plattformen, bei denen Vertrauen besonders wichtig ist.
Für eine typische Markenwebsite deckt ein DV-Zertifikat, was du brauchst. Die Verschlüsselung und das HTTPS-Schloss sind bei allen drei Arten identisch. Der Unterschied liegt in der Stufe der Organisationsidentität, die geprüft und an das Zertifikat gebunden wurde.
Was passiert mit deiner Seite ohne SSL-Zertifikat?
Eine Seite ohne SSL-Zertifikat lädt über einfaches HTTP. Für Besucher ist die sichtbarste Folge die Browserwarnung. Chrome und andere große Browser zeigen für jede Seite, die nicht über HTTPS läuft, in der Adressleiste den Hinweis "Nicht sicher". Auf Seiten mit Formularen oder Login-Feldern können Browser eine deutlichere Warnung zeigen, die Besucher aktiv davon abhält, Angaben einzugeben.
Das Vertrauenssignal, das davon ausgeht, ist erheblich. Besucher, die den Hinweis "Nicht sicher" sehen, verlassen die Seite eher, bevor sie etwas gelesen haben. Bei einer Seite, auf der Besucher dich kontaktieren, sich irgendwo anmelden oder etwas kaufen sollen, wirkt sich fehlendes SSL direkt darauf aus, wie viele von ihnen den Schritt gehen.
Auch die SEO-Wirkung ist real. Google hat HTTPS als Ranking-Signal bestätigt, also haben Seiten mit SSL in den Suchergebnissen einen messbaren Vorteil gegenüber gleichwertigen Seiten ohne. Der Vorteil allein ist nicht riesig, aber zusammen mit den höheren Absprungraten durch Browserwarnungen kämpft eine Seite ohne SSL an mehreren Fronten bergauf. Dazu mehr im Abschnitt unten.
Wie beeinflusst SSL deine Suchrankings?
Google nutzt HTTPS seit 2014 als Ranking-Signal. Das Signal selbst bringt einen moderaten Ranking-Schub, aber die Folgeeffekte fehlenden SSLs sind oft gewichtiger als das Signal selbst. Eine Seite, die Browser-Sicherheitswarnungen auslöst, sieht höhere Absprungraten, kürzere Verweildauer und weniger Conversions. All diese Verhaltenssignale wirken mit der Zeit auf die Suchleistung zurück.
Auch die Crawler von Google indexieren lieber die HTTPS-Versionen von Seiten. Läuft deine Seite ohne saubere Konfiguration sowohl über HTTP als auch über HTTPS, kann es zu Problemen mit doppeltem Content, geteilten Link-Signalen und verwirrtem Crawling kommen. Ist SSL richtig installiert und konfiguriert, mit einer Weiterleitung von HTTP auf HTTPS, bleiben alle diese Signale auf einer Version deiner Seite gebündelt.
Rein praktisch ist HTTPS heute die Grunderwartung an jede Seite, die ranken und von Besuchern ernst genommen werden will. Es ist weniger ein Wettbewerbsvorteil als der Eintrittspreis.
Wie bekommst du ein SSL-Zertifikat?
Es gibt drei Hauptwege zu einem SSL-Zertifikat für deine Domain, und die richtige Option hängt davon ab, wo deine Seite gehostet ist und wie dein Hosting aufgebaut ist.
Über deinen Hosting-Anbieter oder deine Website-Plattform
Ist deine Seite auf einer Plattform oder bei einem Hosting-Anbieter gehostet, ist der direkteste Weg der über ihn. Viele Hosts und Website-Plattformen enthalten SSL als Teil ihres Angebots und übernehmen die Installation automatisch. Verbindest du deine Domain mit deinem Hosting-Konto, wird das Zertifikat ausgestellt und konfiguriert, ohne dass du manuell etwas tun musst. Dieser Weg macht am wenigsten Reibung und die wenigsten Konfigurationsfehler.
Über deinen Domain-Registrar
Manche Domain-Registrare bieten SSL-Zertifikate als Zusatz zur Domainregistrierung an. Du kaufst das Zertifikat im selben Dashboard, in dem deine Domain registriert ist, und installierst es dann auf deinem Server oder folgst den Anweisungen des Registrars. Der Ablauf ist aufwendiger, als SSL über einen Host zu bekommen, der es automatisiert, aber für Menschen, die ihren Server selbst verwalten, ist es eine unkomplizierte Option. Das Kapitel Domain registrieren ist eine gute Referenz dafür, was Registrare neben der Registrierung typischerweise anbieten.
Kostenloses SSL über eine freie Zertifizierungsstelle
Es gibt eine kostenlose, automatisierte Zertifizierungsstelle, die DV-Zertifikate ohne Kosten ausstellt. Sie wurde geschaffen, um SSL für jede Seite im Internet zugänglich zu machen, und das ist gelungen. Die Mehrheit der Webhosts unterstützt sie entweder direkt oder über Integrationen, und viele richten sie automatisch ein, wenn du eine Domain verbindest. Die Zertifikate werden alle 90 Tage automatisch erneuert, was das Risiko beseitigt, dass ein Zertifikat abläuft und Browserwarnungen verursacht.
Wann ein kostenloses und wann ein kostenpflichtiges SSL-Zertifikat?
Für die meisten Markenwebsites deckt ein kostenloses Zertifikat alles Nötige ab. Die Verschlüsselung ist identisch mit der bezahlter Zertifikate. Das Schloss erscheint. Das HTTPS-Protokoll funktioniert. Besucher sehen eine sichere Seite. Unterstützt dein Host kostenlose Zertifikate und richtet sie automatisch ein, gibt es keinen Grund, für denselben Schutz auf DV-Niveau zu bezahlen.
Bezahlte Zertifikate sind in bestimmten Situationen sinnvoll. Brauchst du ein OV- oder EV-Zertifikat zur Prüfung der Organisation, geht das nur mit einem bezahlten Zertifikat, weil die kostenlose Stelle nur DV ausstellt. Betreibst du einen großen Onlineshop, einen Finanzdienst oder eine andere Plattform, bei der die Identität der Organisation hinter der Seite für Nutzer ein wichtiger Vertrauensfaktor ist, lohnt sich die zusätzliche Prüfung bei OV oder EV.
Bezahlte Zertifikate bringen oft auch Extras wie eine Garantie mit, also eine finanzielle Absicherung für den unwahrscheinlichen Fall, dass ein Zertifikatsfehler ein Sicherheitsproblem verursacht, sowie ausführlicheren Kundensupport. Für eine kleine Markenseite oder eine inhaltsorientierte Website bringen diese Extras in der Praxis selten Nutzen. Bei einer Seite mit großem Transaktionsvolumen können Garantie und Supportzugang relevant sein.
Verlängerung von SSL-Zertifikaten und was bei Ablauf passiert
SSL-Zertifikate haben ein Ablaufdatum. Standardzertifikate sind bis zu 13 Monate gültig (etwa 397 Tage). Läuft ein Zertifikat ab, zeigen Browser sofort jedem Besucher Sicherheitswarnungen, egal wie die Seite am Tag zuvor aussah. Das Schloss verschwindet, der Hinweis "Nicht sicher" erscheint, und Besucher sehen deutliche Fehlerseiten, die davor warnen, dass das Zertifikat der Seite abgelaufen ist.
So verlierst du schnell das Vertrauen der Besucher und organischen Traffic. Warnungen zu abgelaufenen Zertifikaten erfassen auch Monitoring-Tools, und sie können Benachrichtigungen aus der Search Console oder von Uptime-Monitoring-Diensten auslösen, wenn du sie eingerichtet hast.
Die praktische Lösung ist dieselbe wie beim Domain-Ablauf. Automatisiere die Verlängerung. Kostenlose Zertifikate erneuern sich automatisch alle 90 Tage, wenn der Host den Verlängerungsprozess richtig eingerichtet hat. Auch viele Anbieter bezahlter Zertifikate bieten automatische Verlängerung an. Verwaltest du dein Zertifikat selbst, setze lange vor dem Ablaufdatum eine Kalendererinnerung, damit du ohne Lücke verlängern und neu installieren kannst.
Was ist ein Wildcard-SSL-Zertifikat?
Ein Standard-SSL-Zertifikat deckt eine bestimmte Domain und optional die www-Version ab. Ein Wildcard-Zertifikat deckt die Hauptdomain und alle ihre Subdomains auf einmal ab. Ein Wildcard für deinemarke.com würde auch shop.deinemarke.com, blog.deinemarke.com, app.deinemarke.com und jede andere Subdomain abdecken, die du anlegst, ohne dass du für jede ein eigenes Zertifikat brauchst.
Wildcard-Zertifikate sind nützlich für Marken, die mehrere Dienste oder Bereiche einer Seite auf verschiedenen Subdomains betreiben. Das Kapitel Eigene Domain oder Subdomain behandelt, wann Subdomains sinnvoll sind und wie sie mit deiner Hauptdomain zusammenhängen. In diesem Zusammenhang werden Wildcard-Zertifikate relevant.
Für eine einfache Markenseite auf einer einzigen Domain mit www-Version reicht ein Standardzertifikat. Ein Wildcard ist ein sinnvoller nächster Schritt, wenn deine Domainstruktur mehrere aktive Subdomains umfasst.
So geht WEMASY mit SSL um
WEMASY enthält SSL für alle Seiten, die auf der Plattform gehostet sind. Verbindest du eine Domain mit deiner WEMASY-Seite, wird automatisch ein SSL-Zertifikat ausgestellt und konfiguriert. Die HTTPS-Weiterleitung ist standardmäßig eingerichtet, sodass die Domain ohne manuelle Konfiguration sicher aufgelöst wird. Die Verlängerung des Zertifikats übernimmt die Plattform, also musst du kein Ablaufdatum im Blick behalten und keinen Verlängerungsprozess verwalten.
Bei Domains, die über WEMASY registriert oder verbunden werden, deckt das Zertifikat die Domain ab, die du konfiguriert hast. Was jeder Tarif enthält, siehst du unter WEMASY Preise.
Häufig gestellte Fragen
Schützt ein SSL-Zertifikat meine Seite vor Hackern?
Ein SSL-Zertifikat verschlüsselt die Daten, die zwischen dem Browser eines Besuchers und deinem Server laufen. Es schützt die Dateien, die Datenbank oder den Code deiner Seite nicht vor unbefugtem Zugriff. Eine Seite kann ein gültiges SSL-Zertifikat haben und trotzdem für Angriffe auf den Server, das Content-Management-System oder die Anwendung selbst anfällig sein. SSL deckt ein bestimmtes Risiko ab, das Abfangen von Daten auf dem Weg, und nichts darüber hinaus. Plattform und Software aktuell zu halten, deckt die breitere Kategorie der Seitensicherheit ab. Mit dem Website-Builder von WEMASY kannst du das direkt auf deiner Website einrichten.
Kann ich SSL auf einer Seite haben, aber nicht auf anderen?
Nein. Ein SSL-Zertifikat gilt für die gesamte Domain, nicht für einzelne Seiten. Ist HTTPS konfiguriert und werden HTTP-Anfragen auf HTTPS umgeleitet, lädt jede Seite der Domain über eine sichere Verbindung. Du kannst die Verschlüsselung nicht gezielt nur auf manche Seiten derselben Domain anwenden. Manche Seiten laden Mixed Content, also HTTPS-Seiten, bei denen Ressourcen wie Bilder oder Skripte noch über einfaches HTTP geladen werden. Das ist aber ein Konfigurationsproblem und kein gewolltes Setup. Browser markieren das als Sicherheitsproblem.
Gehen meine bestehenden Links kaputt, wenn ich von HTTP auf HTTPS wechsle?
Externe Links, die auf die HTTP-Version deiner URLs zeigen, funktionieren weiter, wenn du eine saubere 301-Weiterleitung von HTTP auf HTTPS einrichtest. Eine 301-Weiterleitung schickt Besucher und Suchmaschinen automatisch von der alten HTTP-Adresse zur HTTPS-Version und erhält dabei den größten Teil des Link-Werts. Ohne Weiterleitung führen HTTP-Links je nach Serverkonfiguration zu einer unverschlüsselten Version deiner Seite oder zu einem Fehler. Die Weiterleitung richtig einzurichten, ist ein Standardschritt jeder SSL-Installation.
Brauche ich für jede Domain-Endung, die ich besitze, ein eigenes SSL-Zertifikat?
Ja. Ein SSL-Zertifikat wird für eine bestimmte Domain ausgestellt. Besitzt du deinemarke.com und deinemarke.net als getrennte Registrierungen, braucht jede ein eigenes Zertifikat. Das Zertifikat für deinemarke.com gilt nicht für deinemarke.net. Die Domain-Endung gehört zu dem, was das Zertifikat abdeckt. Das Kapitel Was ist eine Domain-Endung? erklärt, wie TLDs als eigene Kennungen funktionieren. Das hilft zu verstehen, warum jede Domain ein eigenes Zertifikat braucht.
Was ist der Unterschied zwischen SSL und Domain-Datenschutz?
Das sind zwei getrennte Dinge, die verschiedene Anliegen abdecken. SSL verschlüsselt die Verbindung zwischen dem Browser eines Besuchers und deinem Server und schützt Daten auf dem Weg. Der Domain-Datenschutz (WHOIS-Datenschutz) verbirgt die persönlichen Kontaktdaten des Domaininhabers in der öffentlichen WHOIS-Datenbank, sodass dein Name und deine Adresse für niemanden sichtbar sind, der die Domain nachschlägt. Das eine schützt Besucherdaten beim Surfen, das andere die persönlichen Daten des Inhabers vor öffentlicher Abfrage. Beides ist sinnvoll, aber sie haben völlig verschiedene Aufgaben.
Mein SSL-Zertifikat wird als gültig angezeigt, aber Besucher sehen trotzdem eine Sicherheitswarnung. Woran liegt das?
Die häufigste Ursache ist Mixed Content. Das passiert, wenn eine HTTPS-Seite eine oder mehrere Ressourcen über HTTP lädt, etwa ein Bild, ein Skript oder ein Stylesheet von einer ungesicherten URL. Der Browser markiert die Seite als unsicher, weil nicht ihr ganzer Inhalt verschlüsselt ist. Suche im Quellcode deiner Seite nach Links oder eingebetteten Ressourcen, die mit "http://" statt "https://" beginnen, und stelle sie auf ihre sicheren Versionen um. Die meisten Entwicklertools im Browser können Mixed-Content-Quellen direkt erkennen.
Das nächste Kapitel behandelt 301-Weiterleitungen: was sie sind, wie sie funktionieren und wann du eine brauchst, um Traffic und Link-Wert von einer URL auf eine andere zu übertragen.