Was ist ein SSL-Zertifikat und warum braucht jede Website HTTPS?

Ein SSL-Zertifikat gehört heute zur grundlegenden technischen Ausstattung einer professionellen Webseite. Es sorgt dafür, dass die Verbindung zwischen dem Browser eines Besuchers und dem Webserver verschlüsselt wird.

Korrekterweise handelt es sich heute um ein TLS-Zertifikat. Der Begriff „SSL-Zertifikat“ hat sich jedoch im allgemeinen Sprachgebrauch etabliert und wird von Hosting-Anbietern, Agenturen und Webseitenbetreibern weiterhin häufig verwendet.

Eine verschlüsselte Webseite erkennen Sie grundsätzlich an https:// in der Adresse.

HTTPS schützt übertragene Daten davor, während der Verbindung zwischen Browser und Server einfach mitgelesen oder manipuliert zu werden. Firefox beschreibt TLS-Zertifikate entsprechend als Grundlage für einen verschlüsselten Datenaustausch zwischen Browser und Webseite.

Für moderne Unternehmenswebseiten sollte HTTPS heute selbstverständlich sein.

Was ist ein SSL-Zertifikat?

Ein SSL-Zertifikat ist ein digitales Zertifikat, das für den Aufbau einer verschlüsselten HTTPS-Verbindung verwendet wird.

Technisch wird heute nicht mehr das veraltete SSL-Protokoll, sondern TLS, Transport Layer Security, eingesetzt.

Das Zertifikat erfüllt dabei unter anderem zwei wichtige Aufgaben:

• Es bestätigt, dass der Betreiber beziehungsweise Server die Kontrolle über die im Zertifikat enthaltene Domain besitzt.
• Es ermöglicht eine verschlüsselte Verbindung zwischen Browser und Webserver.

Browser überprüfen dabei zusätzlich, ob das Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde und gültig ist.

SSL oder TLS: Was ist der Unterschied?

SSL steht für Secure Sockets Layer.

TLS steht für Transport Layer Security und ist die modernere Weiterentwicklung von SSL.

SSL 2.0 und SSL 3.0 gelten schon lange als unsicher. Auch TLS 1.0 und TLS 1.1 werden heute nicht mehr empfohlen.

Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt grundsätzlich TLS 1.2 oder TLS 1.3 und bevorzugt die modernere Version TLS 1.3.

Wenn heute von einem SSL-Zertifikat gesprochen wird, ist damit deshalb in aller Regel ein Zertifikat gemeint, das für eine aktuelle TLS-Verbindung verwendet wird.

Was ist HTTPS?

HTTPS steht für Hypertext Transfer Protocol Secure.

Es handelt sich um die verschlüsselte Variante von HTTP.

Wird eine Webseite über HTTP aufgerufen, erfolgt die Verbindung grundsätzlich ohne die durch HTTPS bereitgestellte TLS-Transportverschlüsselung.

Bei HTTPS wird dagegen eine verschlüsselte Verbindung zwischen Browser und Server aufgebaut.

Dadurch werden übertragene Informationen besser vor dem Mitlesen oder Manipulieren während der Übertragung geschützt.

Braucht jede Website ein SSL-Zertifikat?

Für eine moderne öffentlich erreichbare Unternehmenswebseite lautet die praktische Antwort: ja.

Die frühere Unterscheidung, dass SSL beziehungsweise HTTPS nur bei Online-Shops, Login-Bereichen oder Kontaktformularen notwendig sei, ist überholt.

Auch reine Informationsseiten sollten heute vollständig über HTTPS ausgeliefert werden.

Das BSI sieht für Webserver eine sichere Verschlüsselung über TLS bei Verbindungen über nicht vertrauenswürdige Netze vor. Werden HTTPS-Verbindungen genutzt, sollen auch sämtliche Inhalte darüber ausgeliefert werden. Mixed Content sollte vermieden werden.

HTTPS gehört damit zur technischen Grundausstattung einer professionellen Webseite.

Wann ist HTTPS besonders wichtig?

Besonders relevant ist die Verschlüsselung immer dann, wenn Daten übertragen werden.

Das betrifft beispielsweise Webseiten mit:

• Kontaktformularen
• Login-Bereichen
• Kundenkonten
• Buchungssystemen
• Reservierungsformularen
• Newsletter-Anmeldungen
• Bewerbungsformularen
• Online-Shops
• Zahlungsfunktionen
• Kundenportalen
• internen Bereichen

Gerade bei personenbezogenen oder vertraulichen Informationen darf deren sichere Übertragung nicht dem Zufall überlassen werden.

Was schützt ein SSL-Zertifikat?

Ein korrekt eingerichtetes TLS-Zertifikat ermöglicht eine verschlüsselte Verbindung.

Dadurch wird insbesondere der Datenverkehr zwischen Browser und Server geschützt.

Das betrifft beispielsweise:

• eingegebene Formulardaten
• Login-Daten
• personenbezogene Informationen
• übertragene Inhalte
• Session-Daten

Die Verschlüsselung erschwert es Dritten, diese Daten während der Übertragung mitzulesen oder unbemerkt zu verändern.

Was schützt HTTPS nicht?

Ein SSL- beziehungsweise TLS-Zertifikat macht eine Webseite nicht automatisch sicher.

HTTPS schützt die Verbindung, nicht die gesamte Website.

Es schützt beispielsweise nicht automatisch vor:

• unsicheren Plugins
• Schadsoftware
• gestohlenen Passwörtern
• kompromittierten Administratorzugängen
• fehlerhafter Programmierung
• SQL Injection
• Cross-Site-Scripting
• unsicheren Servereinstellungen
• Datenverlust
• DDoS-Angriffen

Website-Sicherheit benötigt deshalb zusätzliche Maßnahmen wie Updates, Backups, sichere Benutzerkonten, Monitoring und eine geeignete Serverkonfiguration.

Ist eine HTTPS-Webseite automatisch vertrauenswürdig?

Nein.

Ein gültiges Zertifikat zeigt zunächst, dass die Verbindung zur aufgerufenen Domain verschlüsselt ist und die Kontrolle über die Domain bei der Zertifikatsausstellung überprüft wurde.

Es ist jedoch kein allgemeines Qualitätssiegel für den Betreiber oder die Inhalte einer Webseite.

Auch eine betrügerische Webseite kann grundsätzlich HTTPS verwenden.

Nutzer sollten deshalb weiterhin auf Domainname, Inhalt und Seriosität eines Angebots achten.

Das Schloss beziehungsweise die Anzeige einer sicheren Verbindung bedeutet vor allem: Die Verbindung ist verschlüsselt.

Wie erkennt man eine verschlüsselte Webseite?

Eine verschlüsselte Webseite verwendet HTTPS.

Die Adresse beginnt beispielsweise mit:

https://www.beispiel.de

Moderne Browser zeigen den Sicherheitsstatus zusätzlich in oder neben der Adressleiste an.

Die genaue Darstellung unterscheidet sich je nach Browser und Version. Ein Schloss-Symbol ist deshalb nicht mehr bei jedem Browser die einzige oder auffälligste Kennzeichnung.

Entscheidend ist, dass eine HTTPS-Verbindung ohne Zertifikatswarnung aufgebaut wird.

Was passiert bei einem ungültigen SSL-Zertifikat?

Ist ein Zertifikat ungültig, abgelaufen oder falsch eingerichtet, kann der Browser eine Sicherheitswarnung anzeigen.

Typische Ursachen sind:

• Zertifikat abgelaufen
• falscher Domainname
• unvollständige Zertifikatskette
• nicht vertrauenswürdige Zertifizierungsstelle
• fehlerhafte Serverkonfiguration

Browser können Nutzer in solchen Fällen ausdrücklich davor warnen, die Webseite aufzurufen oder sensible Informationen einzugeben.

Deshalb sollte die Gültigkeit von Zertifikaten automatisch überwacht werden.

Welche Arten von SSL-Zertifikaten gibt es?

Zertifikate können nach mehreren Kriterien unterschieden werden.

Wichtiger als frühere Produktbezeichnungen wie „Rapid SSL“ ist heute beispielsweise die Frage, welche Domains ein Zertifikat abdeckt und welche Art der Validierung durchgeführt wird.

Single-Domain-Zertifikat

Ein Single-Domain-Zertifikat gilt für einen bestimmten Domainnamen beziehungsweise für die konkret im Zertifikat hinterlegten Namen.

Beispielsweise kann ein Zertifikat folgende Adresse absichern:

www.beispiel.de

Je nach ausgestelltem Zertifikat können zusätzlich weitere Varianten enthalten sein.

Multi-Domain-Zertifikat

Ein Multi-Domain-Zertifikat kann mehrere unterschiedliche Domainnamen enthalten.

Solche Zertifikate verwenden sogenannte Subject Alternative Names, kurz SAN.

Damit lassen sich beispielsweise mehrere Domains oder Hostnamen mit einem Zertifikat abdecken.

Wildcard-Zertifikat

Ein Wildcard-Zertifikat eignet sich für mehrere Subdomains derselben Domain.

Beispielsweise:

*.beispiel.de

Damit können unter anderem folgende Subdomains abgedeckt werden:

shop.beispiel.de

kunden.beispiel.de

blog.beispiel.de

Wichtig: Ein Wildcard-Eintrag wie *.beispiel.de deckt nicht automatisch jede denkbare Domainstruktur ab. Auch die Hauptdomain beispiel.de muss gegebenenfalls zusätzlich im Zertifikat enthalten sein.

DV-, OV- und EV-Zertifikate

Eine weitere Unterscheidung betrifft die Validierung bei der Ausstellung.

Domain Validation, DV

Bei einem DV-Zertifikat wird geprüft, ob der Antragsteller die Kontrolle über die Domain besitzt.

Für viele klassische Webseiten ist ein DV-Zertifikat vollkommen ausreichend.

Organization Validation, OV

Bei einem OV-Zertifikat werden zusätzlich Angaben zur Organisation geprüft.

Extended Validation, EV

Bei EV-Zertifikaten erfolgt eine umfangreichere Prüfung der Organisation.

Für die eigentliche Transportverschlüsselung bedeutet ein EV-Zertifikat jedoch nicht automatisch eine stärkere Verschlüsselung als ein korrekt konfiguriertes DV-Zertifikat.

Die Unterschiede liegen vor allem im Validierungsprozess.

Sind kostenlose SSL-Zertifikate sicher?

Ja.

Kostenlose Zertifikate können eine technisch ebenso sichere TLS-Verschlüsselung ermöglichen wie kostenpflichtige Zertifikate.

Ein bekanntes Beispiel ist Let’s Encrypt.

Entscheidend für die Sicherheit sind unter anderem:

• aktuelle TLS-Versionen
• sichere Serverkonfiguration
• Schutz des privaten Schlüssels
• korrekte Zertifikatskette
• zuverlässige Verlängerung
• passende kryptografische Verfahren

Der Preis eines Zertifikats sagt deshalb nicht automatisch etwas über die Stärke der Verschlüsselung aus.

Wie lange ist ein SSL-Zertifikat gültig?

TLS-Zertifikate besitzen eine begrenzte Laufzeit.

Viele Hosting-Systeme erneuern Zertifikate inzwischen automatisch.

Das ist wichtig, denn ein abgelaufenes Zertifikat führt zu Browserwarnungen und kann eine Webseite für Besucher praktisch unbenutzbar machen.

Die automatische Verlängerung sollte deshalb überwacht werden.

Benötigt jede Subdomain ein eigenes Zertifikat?

Nicht zwingend.

Mehrere Subdomains können beispielsweise über ein Wildcard-Zertifikat oder ein Zertifikat mit mehreren Domainnamen abgedeckt werden.

Alternativ können auch einzelne Zertifikate für die jeweiligen Subdomains verwendet werden.

Welche Variante sinnvoll ist, hängt von Hosting, Serverstruktur und Sicherheitskonzept ab.

SSL bei WordPress

Auch eine WordPress-Webseite sollte vollständig über HTTPS betrieben werden.

Nach der Einrichtung eines Zertifikats müssen unter anderem folgende Punkte stimmen:

• WordPress-Adresse verwendet HTTPS
• Website-Adresse verwendet HTTPS
• HTTP wird auf HTTPS weitergeleitet
• interne Links verwenden HTTPS
• Bilder und andere Ressourcen werden über HTTPS geladen
• Canonical-URLs sind korrekt
• Weiterleitungen funktionieren
• Sitemap verwendet HTTPS

Eine unvollständige Umstellung kann zu sogenanntem Mixed Content führen.

Was ist Mixed Content?

Mixed Content entsteht, wenn eine Webseite über HTTPS geladen wird, einzelne Ressourcen jedoch weiterhin über unverschlüsseltes HTTP eingebunden werden.

Das können beispielsweise sein:

• Bilder
• JavaScript-Dateien
• CSS-Dateien
• Schriftarten
• Videos
• externe Ressourcen

Solche Mischformen sollten vermieden werden.

Das BSI empfiehlt bei einer HTTPS-Verbindung, sämtliche Inhalte über HTTPS bereitzustellen.

HTTP automatisch auf HTTPS weiterleiten

Nach der Einrichtung des Zertifikats sollte die unverschlüsselte HTTP-Version einer Webseite auf HTTPS weitergeleitet werden.

Beispiel:

http://beispiel.de

wird weitergeleitet auf:

https://beispiel.de

Dadurch landen Besucher auch dann auf der verschlüsselten Version, wenn sie eine alte HTTP-Adresse aufrufen.

Was ist HSTS?

HTTP Strict Transport Security, kurz HSTS, ist ein zusätzlicher Sicherheitsmechanismus.

Ein Webserver kann dem Browser damit mitteilen, dass die Domain ausschließlich über HTTPS verwendet werden soll.

Der Browser merkt sich diese Vorgabe anschließend für einen bestimmten Zeitraum.

Mozilla beschreibt HSTS als Mechanismus, mit dem Webseiten Browser dazu anweisen können, sichere Verbindungen zu verwenden.

HSTS sollte allerdings sorgfältig konfiguriert werden, da eine fehlerhafte Einrichtung zu Erreichbarkeitsproblemen führen kann.

SSL-Zertifikat und SEO

HTTPS spielt auch im Zusammenhang mit Suchmaschinenoptimierung eine Rolle.

Google verwendet HTTPS bereits seit Jahren als Ranking-Signal.

Für Unternehmen ist der SEO-Aspekt jedoch nur einer von mehreren Gründen für HTTPS.

Wichtiger sind:

• sichere Datenübertragung
• Vermeidung von Browserwarnungen
• technische Professionalität
• Schutz von Nutzerdaten
• zuverlässige Nutzung moderner Webfunktionen

HTTPS sollte deshalb nicht als SEO-Trick betrachtet werden, sondern als technischer Standard.

Verbessert ein SSL-Zertifikat automatisch das Google-Ranking?

Nein.

Die Installation eines Zertifikats führt nicht automatisch zu deutlich besseren Rankings.

Google berücksichtigt zahlreiche Signale bei der Bewertung von Webseiten.

HTTPS schafft eine wichtige technische Grundlage, ersetzt aber keine:

• hochwertigen Inhalte
• technische SEO
• schnelle Ladezeiten
• gute Seitenstruktur
• interne Verlinkung
• nutzerfreundliche Gestaltung

Ein Zertifikat allein macht aus einer schlecht optimierten Webseite keine gut rankende Webseite.

SSL-Zertifikat und Datenschutz

Sobald personenbezogene Daten über eine Webseite übertragen werden, ist eine sichere Übertragung besonders wichtig.

Das betrifft beispielsweise:

• Kontaktformulare
• Bewerbungsformulare
• Bestellungen
• Kundenkonten
• Newsletter-Anmeldungen
• Terminbuchungen

TLS schützt diese Informationen während ihrer Übertragung zwischen Browser und Server.

Datenschutz umfasst allerdings deutlich mehr als HTTPS. Speicherung, Verarbeitung, Zugriffskontrolle und Löschung personenbezogener Daten müssen ebenfalls berücksichtigt werden.

Häufige Fehler bei SSL und HTTPS

Zertifikat abgelaufen

Ohne automatische Erneuerung kann ein Zertifikat seine Gültigkeit verlieren.

Mixed Content

Einzelne Dateien werden weiterhin über HTTP geladen.

Falsche Weiterleitungen

HTTP- und HTTPS-Versionen bleiben parallel erreichbar oder erzeugen Weiterleitungsschleifen.

Falsche Domain im Zertifikat

Das Zertifikat deckt beispielsweise www.beispiel.de, aber nicht beispiel.de ab.

Unsichere TLS-Konfiguration

Auch mit gültigem Zertifikat können veraltete Protokolle oder ungeeignete Einstellungen verwendet werden.

Das BSI empfiehlt TLS 1.2 oder TLS 1.3 und bevorzugt TLS 1.3.

Häufig gestellte Fragen zu SSL-Zertifikaten

Was ist ein SSL-Zertifikat einfach erklärt?

Ein SSL- beziehungsweise TLS-Zertifikat ermöglicht eine verschlüsselte Verbindung zwischen einer Webseite und dem Browser des Besuchers.

Benötigt jede Website ein SSL-Zertifikat?

Für moderne Unternehmenswebseiten sollte HTTPS grundsätzlich eingesetzt werden, auch wenn kein Login oder Online-Shop vorhanden ist.

Ist SSL noch aktuell?

Der Begriff SSL wird weiterhin verwendet. Technisch kommt heute jedoch TLS zum Einsatz. SSL selbst ist veraltet.

Ist HTTPS wirklich sicher?

HTTPS schützt die Verbindung zwischen Browser und Server. Es schützt jedoch nicht automatisch die gesamte Webseite vor Hackerangriffen oder Schadsoftware.

Ist ein kostenloses SSL-Zertifikat ausreichend?

Für viele Webseiten ja. Entscheidend sind eine vertrauenswürdige Zertifizierungsstelle, eine sichere TLS-Konfiguration und eine zuverlässige automatische Erneuerung.

Was kostet ein SSL-Zertifikat?

Viele Hosting-Anbieter stellen kostenlose Zertifikate bereit. Kosten können jedoch durch Hosting, Einrichtung, Administration oder spezielle Zertifikatstypen entstehen.

Brauche ich für WordPress ein SSL-Zertifikat?

Ja. Eine professionelle WordPress-Webseite sollte vollständig über HTTPS betrieben werden.

Brauche ich für ein Kontaktformular HTTPS?

Ja. Über Kontaktformulare werden regelmäßig personenbezogene Informationen übertragen. Die Verbindung sollte deshalb verschlüsselt sein.

Braucht ein Online-Shop ein SSL-Zertifikat?

Ja. Bei einem Online-Shop werden sensible Informationen wie Kunden-, Login- und gegebenenfalls Zahlungsdaten übertragen. HTTPS gehört hier zur grundlegenden Sicherheitsinfrastruktur.

Woran erkenne ich HTTPS?

Die URL beginnt mit https://. Zusätzlich zeigt der Browser Informationen über den Sicherheitsstatus der Verbindung an.

Was bedeutet „Verbindung ist nicht sicher“?

Eine solche Warnung kann beispielsweise darauf hinweisen, dass keine sichere HTTPS-Verbindung besteht oder ein Problem mit dem Zertifikat vorliegt. Sensible Daten sollten in diesem Fall nicht übertragen werden.

SSL-Zertifikat und HTTPS für Ihre Webseite

Alle von uns erstellten Webseiten werden standardmäßig für den Betrieb über HTTPS eingerichtet.

Dabei achten wir nicht nur auf die Installation eines Zertifikats, sondern auch auf eine technisch saubere HTTPS-Konfiguration, Weiterleitungen und die Vermeidung von Mixed Content.

Auf Wunsch übernehmen wir darüber hinaus die laufende technische Betreuung Ihrer Webseite mit Updates, Backups und Sicherheitsmaßnahmen.

Erfahren Sie mehr über unsere Sicherheits- und Wartungsleistungen oder kontaktieren Sie uns für ein individuelles Angebot.