Sicherheitszertifikate für Websites haben mehrere Namen, und genau hier beginnt die meiste Verwirrung. Ein Sicherheitszertifikat für Websites ist dasselbe wie ein SSL-Zertifikat, ein TLS-Zertifikat oder das, was das Schloss in der Adressleiste deines Browsers erscheinen lässt. Andere Begriffe, dieselbe Sache. Wenn das klar ist, wird alles Weitere rund um Sicherheitszertifikate für Websites viel einfacher zu verstehen.
Das Schloss in der Adressleiste, das HTTPS am Anfang einer Webadresse, die Warnung "Nicht sicher" bei Websites ohne Zertifikat: All das geht auf eine einzige Sache zurück, ein Sicherheitszertifikat für Websites. Wie das mit dem größeren Thema Website-Sicherheit zusammenhängt, erklärt der Artikel Warum Website-Sicherheit wichtig ist.
Was ist ein Sicherheitszertifikat für Websites?
Ein Sicherheitszertifikat für Websites ist eine kleine Datei auf einem Webserver, die zwei Dinge tut. Sie verwürfelt die Daten, die zwischen dem Browser des Besuchers und deiner Website gesendet werden, sodass niemand sie unterwegs lesen kann, und sie belegt, dass deine Website die ist, die sie vorgibt zu sein. Wenn beides gegeben ist, zeigt der Browser das Schloss und das Präfix HTTPS in der Adressleiste.
Was es in einfachen Worten tut
- Wenn ein Besucher ein Kontaktformular ausfüllt, sich anmeldet oder Zahlungsdaten eingibt, reisen diese Angaben von seinem Browser zu deinem Server. Ohne Zertifikat reisen sie im Klartext, den jeder im selben Netzwerk lesen könnte
- Mit Zertifikat werden dieselben Angaben verwürfelt, bevor sie den Browser verlassen, und erst wieder lesbar gemacht, wenn sie bei deinem Server ankommen. Niemand dazwischen kann sie lesen
- Das Zertifikat enthält außerdem den Nachweis, dass deine Domain dir gehört. Das sagt dem Browser, dass er mit der echten Website spricht und nicht mit einer Nachahmung
Die verschiedenen Namen
- SSL-Zertifikat ist der gängigste Begriff. SSL steht für Secure Sockets Layer, den ursprünglichen Namen der Technik. Technisch wurde sie durch eine neuere Version namens TLS (Transport Layer Security) ersetzt, fast alle nutzen aber weiterhin den Begriff SSL
- TLS-Zertifikat meint dasselbe mit dem aktualisierten Namen. Wer von einem TLS-Zertifikat spricht, meint dasselbe wie ein SSL-Zertifikat
- HTTPS-Zertifikat wird umgangssprachlich genutzt, weil HTTPS das sichtbare Zeichen dafür ist, dass ein Zertifikat vorhanden ist
- Sicherheitszertifikat für Websites ist die allgemeinverständliche Version, die man nutzt, wenn man es jemandem ohne technischen Hintergrund erklärt
- Alle diese Namen meinen dieselbe Sache. Das Zertifikat selbst ändert sich nicht, je nachdem, wie du es nennst
Einen tieferen Einblick, wie SSL-Zertifikate technisch funktionieren, findest du im Artikel Was ist ein SSL-Zertifikat und wie funktioniert es?
Was ein Sicherheitszertifikat für Websites belegt
Besitz der Domain
Ein einfaches Sicherheitszertifikat, ein Zertifikat mit Domainvalidierung, belegt nur eines: dass der, der das Zertifikat installiert hat, die Domain kontrolliert. Die Zertifizierungsstelle (das Unternehmen, das das Zertifikat ausstellt) prüft vor der Ausstellung, dass dir die Domain gehört. Das Schloss in der Adressleiste des Browsers bedeutet, dass diese Prüfung bestanden wurde.
Diese Art von Zertifikat reicht für die große Mehrheit der Websites. Unternehmenswebsites, Blogs, Portfolios, Dienstleistungswebsites und Onlineshops nutzen alle Zertifikate mit Domainvalidierung. Sie sind kostenlos zu bekommen, auf den meisten Plattformen in Minuten eingerichtet und bieten denselben Datenschutz wie teurere Zertifikatsarten.
Identität der Organisation
Zertifikate der höheren Stufen gehen weiter. Bei einem Zertifikat mit Organisationsvalidierung oder erweiterter Validierung muss die Zertifizierungsstelle die rechtliche Identität des Unternehmens hinter der Website prüfen, nicht nur, dass jemand die Domain kontrolliert.
Banken, Behördenwebsites und große Finanzplattformen nutzen diese in der Regel, weil ihre Besucher geprüfte Belege sehen müssen, wer die Website betreibt. Für eine normale Unternehmenswebsite sind Zertifikate der höheren Stufen nicht nötig. Die Verschlüsselung ist identisch. Der einzige Unterschied ist, wie viele Informationen über die Organisation vom Aussteller geprüft wurden.
Woran du erkennst, dass eine Website ein Sicherheitszertifikat hat
Das Schloss in der Adressleiste
Jeder große Browser zeigt ein Schlosssymbol in der Adressleiste, wenn auf einer Website ein gültiges Sicherheitszertifikat installiert ist. Ein Klick auf das Schloss zeigt Details zum Zertifikat, darunter, wer es ausgestellt hat und wann es abläuft. Kein Schloss heißt kein gültiges Zertifikat.
HTTPS in der Adresse
Das S in HTTPS steht für "Secure" (sicher). Es erscheint in der Adressleiste nur, wenn ein gültiges Zertifikat vorhanden ist und die Verbindung zwischen Browser und Server verschlüsselt ist. Eine Website mit einer Adresse, die mit einfachem HTTP beginnt, hat kein aktives Zertifikat, auch wenn irgendwann eines installiert wurde. Eine vollständige Erklärung, was HTTPS bedeutet und wie es Besucher schützt, findest du im Artikel Was ist HTTPS und wie schützt es deine Website?
Was auf Websites ohne Zertifikat passiert
- Browser zeigen auf jeder Website, die über einfaches HTTP ausgeliefert wird, die Warnung "Nicht sicher" in der Adressleiste an
- Auf Seiten mit Login-Feldern oder Formularen zeigen manche Browser eine auffälligere Warnung, dass die Verbindung nicht privat ist
- Besucher, die diese Warnungen sehen, besonders auf einer Seite, die nach ihren Angaben fragt, machen mit viel geringerer Wahrscheinlichkeit weiter
- Suchmaschinen nutzen HTTPS als Ranking-Signal. Eine Website ohne gültiges Zertifikat ist in den Suchergebnissen gegenüber gleichwertigen Websites mit Zertifikat im Nachteil
Warum jede Website ein Sicherheitszertifikat braucht
Vertrauen der Besucher
Das Schloss ist zu einem grundlegenden Zeichen dafür geworden, dass eine Website sicher genutzt werden kann. Besucher, die online einkaufen, Formulare ausfüllen oder sich in Konten anmelden, haben gelernt, danach zu schauen. Eine Website ohne Schloss wirkt nicht nur weniger sicher. Sie wirkt, als hätte sich niemand um Sicherheit gekümmert. Von diesem Eindruck erholt man sich schwerer, als die meisten Website-Inhaber erwarten.
Bei Seiten mit Kontaktformularen, Konto-Logins oder irgendeiner Art von Checkout ist fehlendes HTTPS ein direkter Grund für Besucher, abzubrechen und zu gehen. Das Zertifikat schützt nicht nur die Daten. Es hält Menschen auf der Seite.
Suchranking
Suchmaschinen werten HTTPS als Ranking-Signal. Seiten mit HTTPS haben gegenüber Seiten mit einfachem HTTP einen Vorteil, wenn alles andere gleich ist. Bei umkämpften Suchbegriffen kann dieser Vorteil einen echten Unterschied machen, wo eine Seite erscheint. Eine Website ohne Zertifikat erfüllt außerdem die Standards zur Seitenerfahrung nicht, die Suchmaschinen bei ihrer Ranking-Bewertung heranziehen.
Datenschutz
Jede Website, die Angaben von Besuchern erfasst, sei es über ein Kontaktformular, eine Login-Seite oder einen Checkout, verarbeitet personenbezogene Daten. Ohne Zertifikat reisen diese Daten im Klartext durchs Netz. Ein Zertifikat sorgt dafür, dass sie verwürfelt werden, bevor sie den Browser verlassen, und nicht gelesen werden können, wenn sie unterwegs abgefangen werden.
In vielen Ländern entsteht für den Website-Inhaber ein rechtliches Risiko, wenn er personenbezogene Daten ohne grundlegende Sicherheitsmaßnahmen erfasst. Ein Sicherheitszertifikat für Websites ist die Basismaßnahme, um Daten bei der Übertragung zu schützen und den Mindeststandard der Datenschutzgesetze zu erfüllen.
So bekommst du ein Sicherheitszertifikat für deine Website
Über deinen Hosting-Anbieter
Viele verwaltete Hosting-Plattformen und Website-Builder enthalten ein Sicherheitszertifikat für Websites in jedem Tarif. In diesem Fall wird das Zertifikat meist automatisch installiert, wenn die Website oder Domain verbunden wird. Du musst nichts getrennt kaufen oder einrichten.
Wenn du schon eine Website hostest und nicht sicher bist, ob ein Zertifikat vorhanden ist, ruf die Website auf und prüfe, ob die Adresse mit HTTPS beginnt und das Schloss erscheint. Wenn ja, ist das Zertifikat schon aktiv. Wenn nicht, schau im Hosting-Panel nach oder frag deinen Anbieter, ob ein Zertifikat enthalten ist oder hinzugefügt werden muss.
Getrennt besorgen
Kostenlose Sicherheitszertifikate für Websites gibt es bei vertrauenswürdigen Zertifizierungsstellen für Websites auf selbst verwaltetem Hosting. Die Prüfung läuft automatisch und dauert Minuten. Das Zertifikat ist 90 Tage gültig und lässt sich so einrichten, dass es sich automatisch erneuert, damit es nicht unbemerkt abläuft.
Kostenpflichtige Zertifikate gibt es ebenfalls, sie decken in der Regel einen längeren Gültigkeitszeitraum ab. Bei einem normalen Zertifikat mit Domainvalidierung ist die kostenlose Variante in jeder wichtigen Hinsicht gleichwertig. Der kostenpflichtige Weg ist eher bei Zertifikaten mit Organisations- oder erweiterter Validierung relevant, die eine manuelle Identitätsprüfung verlangen.
Eine Schritt-für-Schritt-Anleitung, wie du ein Zertifikat bekommst und installierst, findest du im Artikel So bekommst du ein SSL-Zertifikat für deine Website.
So geht WEMASY mit Sicherheitszertifikaten für Websites um
SSL-Zertifikate sind in jedem WEMASY-Tarif enthalten und werden automatisch eingerichtet. Wenn du eine Website anlegst oder eine eigene Domain verbindest, wird das Zertifikat ausgestellt und installiert, ohne dass der Website-Inhaber etwas tun muss. Du musst nichts kaufen, nichts konfigurieren und keine Verlängerung verwalten.
Alle Websites bei WEMASY laufen von Tag eins an standardmäßig über HTTPS. Warnungen vor gemischten Inhalten sind kein Thema, weil alle über die Plattform ausgelieferten Dateien HTTPS nutzen. Weiterleitungen von HTTP auf HTTPS gibt es auf Plattformebene, sodass Besucher immer auf der sicheren Version der Website landen, egal wie sie dorthin kommen.
Was alles dabei ist, siehst du beim Website-Builder von WEMASY. Die Tarife findest du auf der Preisseite.
Häufig gestellte Fragen
Was ist ein Sicherheitszertifikat für Websites?
Ein Sicherheitszertifikat für Websites ist eine Datei auf einem Webserver, die zwei Dinge tut: Sie verwürfelt Daten, die zwischen dem Browser eines Besuchers und der Website gesendet werden, damit sie unterwegs nicht gelesen werden können, und sie belegt, dass die Website die ist, die sie vorgibt zu sein. Bei einem gültigen Zertifikat zeigen Browser ein Schloss in der Adressleiste, und die Adresse der Website beginnt mit HTTPS. Es ist dasselbe wie ein SSL-Zertifikat, ein TLS-Zertifikat oder ein HTTPS-Zertifikat, nur mit anderen Namen beschrieben. Mit dem Website-Builder von WEMASY richtest du das direkt auf deiner Website ein.
Ist ein Sicherheitszertifikat für Websites dasselbe wie ein SSL-Zertifikat?
Ja. SSL-Zertifikat, TLS-Zertifikat, HTTPS-Zertifikat und Sicherheitszertifikat für Websites meinen alle dasselbe. SSL (Secure Sockets Layer) ist der ältere Name der Technik. TLS (Transport Layer Security) ist die aktualisierte Version, die es abgelöst hat. Der Begriff SSL hat sich gehalten, daher nutzen ihn die meisten Menschen und Anbieter weiterhin, obwohl TLS der aktuelle Standard ist. Wie auch immer man es nennt: Das Zertifikat selbst funktioniert gleich und erfüllt dieselbe Aufgabe.
Braucht meine Website ein Sicherheitszertifikat?
Ja. Jede öffentlich erreichbare Website braucht eines, nicht nur solche, die Zahlungen oder sensible Daten verarbeiten. Browser zeigen auf Websites ohne Zertifikat die Warnung "Nicht sicher" an. Das mindert das Vertrauen der Besucher und kann Menschen davon abhalten, Formulare auszufüllen oder weiterzustöbern. HTTPS ist außerdem ein bestätigtes Ranking-Signal, Websites ohne Zertifikat sind in den Suchergebnissen also im Nachteil. Jede Website, die Besucherdaten über Formulare, Logins oder Kommentare erfasst, sollte mindestens ein Zertifikat haben.
Woran erkenne ich, ob meine Website ein Sicherheitszertifikat hat?
Ruf deine Website auf und schau in die Adressleiste. Beginnt die Adresse mit HTTPS und erscheint ein Schlosssymbol, ist ein gültiges Zertifikat vorhanden. Beginnt die Adresse mit einfachem HTTP oder zeigt der Browser den Hinweis "Nicht sicher", fehlt das Zertifikat oder ist nicht richtig eingerichtet. Ein Klick auf das Schloss zeigt Details zum Zertifikat, darunter, wer es ausgestellt hat und wann es abläuft.
Wie bekomme ich ein Sicherheitszertifikat für meine Website?
Prüfe zuerst deinen Hosting-Tarif. Viele Hosting-Anbieter und Website-Builder enthalten automatisch ein Zertifikat. Wenn dein Hosting es enthält, ist das Zertifikat womöglich schon installiert. Wenn nicht, gibt es kostenlose Zertifikate mit Domainvalidierung bei vertrauenswürdigen Zertifizierungsstellen, die du in Minuten einrichten kannst. Eine Schritt-für-Schritt-Anleitung, wie du ein Zertifikat bekommst und installierst, findest du im Artikel "So bekommst du ein SSL-Zertifikat für deine Website".
Was passiert, wenn mein Sicherheitszertifikat für Websites abläuft?
Browser zeigen sofort eine Warnung über die ganze Seite an, wenn das Zertifikat einer Website abgelaufen ist. Besucher sehen eine Meldung, dass die Verbindung nicht privat ist, und die meisten gehen nicht weiter. Die Website ist für die meisten Besucher praktisch nicht erreichbar, bis das Zertifikat erneuert wird. Mit automatischer Verlängerung lässt sich das ganz vermeiden. Auf verwalteten Hosting-Plattformen läuft die Verlängerung automatisch. Auf selbst verwalteten Servern ist es der zuverlässigste Weg, die automatische Verlängerung gleich bei der ersten Einrichtung des Zertifikats zu konfigurieren, damit ein Ablauf nicht unbemerkt bleibt.