Wenn du eine Webseite im Browser aufrufst, siehst du in der Adresszeile entweder ein kleines Schloss oder die Meldung „Nicht sicher“. Dieses eine Detail entscheidet darüber, ob deine Verbindung zum Server verschlüsselt ist oder nicht. Was dahintersteckt, heißt SSL.
Was ein SSL-Zertifikat ist.
SSL steht für Secure Sockets Layer. Der aktuelle Standard nennt sich eigentlich TLS, aber der Begriff SSL hat sich durchgesetzt. Beide meinen dasselbe, nämlich eine verschlüsselte Verbindung zwischen dem Browser des Besuchers und dem Server, auf dem deine Webseite liegt.
Ohne diese Verschlüsselung werden alle Daten, die jemand auf deiner Seite eingibt, ungesichert übertragen. Das betrifft nicht nur Passwörter oder Zahlungsdaten, sondern auch ein einfaches Kontaktformular. Mit SSL läuft die gesamte Kommunikation verschlüsselt. Der Browser verschlüsselt, was er schickt, der Server verschlüsselt, was er zurückschickt. Dazwischen kann niemand mitlesen.
Das Schloss in der Adresszeile zeigt, dass diese Verschlüsselung aktiv ist. Es sagt nichts über die Qualität der Webseite oder die Seriosität des Betreibers. Es sagt nur, dass diese Verbindung gesichert ist.
Was passiert, wenn SSL fehlt.
Browser zeigen eine Warnung. Alle gängigen Browser, ob Chrome, Firefox oder Safari, markieren Webseiten ohne SSL mit „Nicht sicher“, direkt neben der Adresse. Das sieht jeder, der die Seite aufruft. Die meisten klicken dann weg.
Suchmaschinen werten es als Rankingfaktor. HTTPS ist seit 2014 ein direktes Rankingsignal. Webseiten ohne SSL erscheinen in den Suchergebnissen weiter hinten. Nicht weil der Inhalt schlechter ist, sondern weil die technische Grundlage fehlt. Das ist einer der Gründe, warum Webseiten trotz guter Inhalte keine Kunden bringen.
Die DSGVO verlangt geeignete Schutzmaßnahmen. Sobald Besucher auf deiner Seite Daten eingeben, auch in einem einfachen Kontaktformular, müssen diese Daten geschützt übertragen werden. SSL ist der anerkannte Standard dafür. Fehlt es, ist das ein Datenschutzverstoß, der abgemahnt werden kann.
Woran du erkennst, ob deine Webseite SSL hat.
Die schnellste Prüfung dauert drei Sekunden und braucht kein Fachwissen.
// Selbsttest
Ruf deine Webseite im Browser auf und schau in die Adresszeile. Beginnt die Adresse mit https:// und zeigt ein Schloss? Dann ist SSL aktiv.
Steht dort nur http:// oder zeigt der Browser „Nicht sicher“, fehlt das Zertifikat oder es ist nicht korrekt eingebunden.
Genauer prüfen kannst du es mit SSL Labs. Dort gibst du deine Adresse ein und siehst, ob das Zertifikat korrekt konfiguriert ist, wann es abläuft und ob es Probleme gibt.
Was ein SSL-Zertifikat kostet.
Für die meisten Webseiten: nichts. Let's Encrypt ist ein gemeinnütziger Dienst, der SSL-Zertifikate kostenlos ausstellt. Alle gängigen Browser akzeptieren sie als vertrauenswürdig. Wer gutes Hosting hat, bekommt das Zertifikat automatisch eingerichtet und erneuert, ohne selbst etwas tun zu müssen.
Kostenpflichtige Zertifikate gibt es für Sonderfälle, etwa wenn der Firmenname direkt im Zertifikat sichtbar sein soll, oder wenn viele Subdomains unter einem einzigen Zertifikat laufen müssen. Für eine normale Unternehmenswebseite ist das nicht nötig.
Die Kosten hängen weniger vom Zertifikat selbst ab, als davon, ob dein Hosting es automatisch mitliefert. Wenn nicht, lohnt es sich, das Hosting zu hinterfragen. Was gutes Hosting ausmacht und worauf es dabei ankommt, erklären wir in unserem Artikel Was ist Webhosting?
Was noch stimmen muss, damit SSL richtig funktioniert.
Ein Zertifikat allein reicht nicht. Wer deine Seite über http:// aufruft, muss automatisch auf https:// weitergeleitet werden. Fehlt diese Weiterleitung, ist die Seite über zwei verschiedene Adressen erreichbar, einmal gesichert, einmal nicht.
Außerdem müssen alle Dateien auf der Seite, Bilder, Schriften, Skripte, ebenfalls über HTTPS geladen werden. Passiert das nicht, spricht man von „Mixed Content“. Die Seite hat zwar ein Zertifikat, lädt aber einzelne Inhalte noch über die unsichere Verbindung nach. Das passiert häufig, wenn eine Webseite nachträglich auf HTTPS umgestellt wird und alte Verlinkungen nicht aktualisiert wurden. Der Browser zeigt dann kein Schloss mehr, aber die Verschlüsselung greift trotzdem nicht vollständig.
SSL-Zertifikate laufen ab und müssen regelmäßig erneuert werden. Bei Let's Encrypt ist das alle 90 Tage. Das klingt nach Aufwand, ist es aber nicht. Gutes Hosting übernimmt die Erneuerung automatisch. Wird sie vergessen, gilt die Seite plötzlich als nicht sicher, obwohl sich technisch nichts geändert hat.
Was tun, wenn SSL fehlt oder abgelaufen ist.
Der erste Schritt ist zu wissen, ob das Problem beim Zertifikat selbst liegt oder bei der Konfiguration. SSL Labs zeigt das kostenlos an. Danach gibt es zwei Wege: den Hosting-Anbieter direkt ansprechen und fragen, ob SSL inklusive ist und wie es aktiviert wird, oder das Hosting wechseln zu einem Anbieter, der das automatisch mitliefert.
Für Webseiten, die bereits online sind, gibt es meistens eine schnelle Lösung. Ein SSL-Zertifikat einzurichten dauert in der Regel wenige Minuten. Die Weiterleitung von HTTP auf HTTPS und die Bereinigung von Mixed-Content-Problemen braucht etwas mehr Sorgfalt, ist aber kein Großprojekt.
Was du tun kannst, wenn du nicht weißt was du hast.
Ruf deine Webseite im Browser auf und schau in die Adresszeile. Steht dort „Nicht sicher“ oder kein Schloss, fehlt SSL oder ist das Zertifikat abgelaufen. Wer genauer wissen will, wo es hakt, gibt seine Adresse bei SSL Labs ein und sieht in Sekunden den genauen Status.
Frag deinen Hosting-Anbieter, ob SSL inklusive ist und wie es eingerichtet wird. Wer darauf keine klare Antwort gibt, sagt damit schon etwas.
Wer das nicht selbst übernehmen möchte, ist bei uns richtig. SSL, Weiterleitung, automatische Erneuerung, Überwachung. Wenn etwas nicht stimmt, merken wir es, bevor du es merkst.
SSL ist heute kein optionales Extra. Es ist die technische Grundlage dafür, dass eine Webseite in Browsern als sicher gilt, in Suchmaschinen richtig bewertet wird und datenschutzrechtlich sauber aufgestellt ist.
Wie wir Webseiten aufsetzen und betreiben, findest du auf unserer Webentwicklungsseite. SSL, Weiterleitung und automatische Erneuerung sind bei uns von Anfang an dabei.