Ein SSL-Zertifikat ist eine kleine Datei auf Ihrem Server, die den Datenverkehr zwischen Ihrer Website und Ihren Besuchern verschlüsselt und belegt, dass die Site wirklich Ihnen gehört. Hier erfahren Sie, was sie tut, warum Browser Sites ohne Zertifikat markieren und wie Sie kostenlos eines erhalten.
Ein SSL-Zertifikat ist eine kleine Datei auf Ihrem Webserver, die zwei Aufgaben erfüllt: Sie verschlüsselt alles, was zwischen Ihrer Website und jedem Besucher übertragen wird, sodass Passwörter, Kartendaten und Nachrichten auf dem Weg weder gelesen noch verändert werden können, und sie belegt dem Browser gegenüber, dass die Site wirklich Ihnen gehört und kein nachgeahmtes Exemplar ist. Ist sie installiert, wird Ihre Site per HTTPS statt per klarem HTTP ausgeliefert, und der Browser zeigt das Schloss. Es ist das günstigste Vertrauenssignal, das eine Website zeigen kann, denn ein gültiges Zertifikat von Let's Encrypt kostet überhaupt nichts, und jeder große Browser markiert Sites ohne eines mittlerweile als nicht sicher.
Ein SSL-Zertifikat ist ein Paar kryptografischer Schlüssel plus einer signierten Angabe darüber, wem die Domain gehört. Die öffentliche Hälfte liegt im Zertifikat, das Ihr Server den Besuchern zeigt; die private Hälfte ist eine geheime Datei, die nur Ihr Server besitzt. Verbindet sich ein Browser, einigen sich beide Seiten innerhalb von Millisekunden auf einen Sitzungsschlüssel, und ab da ist die gesamte Unterhaltung verschlüsselt. Das liefert zwei getrennte Garantien. Vertraulichkeit: Niemand zwischen dem Besucher und Ihrem Server kann mitlesen, was übertragen wird, ob es sich um ein Passwort, eine Zahlung oder eine private Nachricht handelt. Integrität: Wenn jemand den Datenverkehr auf dem Weg manipuliert, ist das entschlüsselte Ergebnis unbrauchbar, und die Verbindung schlägt fehl, statt unbemerkt beschädigt anzukommen. Das Schloss in der Adressleiste ist die Bestätigung des Browsers, dass beide Garantien vorhanden sind.
Klares HTTP überträgt alles als lesbaren Text. In einem ungesicherten Netzwerk kann jeder andere im selben WLAN oder jeder Server dazwischen Sitzungen mitlesen, abgeschickte Formulare abfangen oder sogar zuschauen, wie sich ein Besucher anmeldet, und sich dann mit dessen Zugangsdaten erneut anmelden. Anbieter entlang des Wegs können außerdem Inhalte in die Seite einspeisen, was erklärt, wie Werbung und Tracking-Skripte auf Sites landen, die nie zugestimmt haben. HTTPS macht all das unlesbar. Über den Datenschutz hinaus gibt es drei praktische Folgen. Moderne Browser kennzeichnen jede HTTP-Seite als nicht sicher und verbergen das Schloss, was Vertrauen kostet, sobald es ein Kunde bemerkt. Suchmaschinen behandeln HTTPS als Ranking-Signal, daher verliert gleicher Inhalt auf HTTP an Boden. Und die schnelleren Protokolle HTTP/2 und HTTP/3, die die meisten Server und CDNs für die Nutzung voraussetzen, sind über klares HTTP schlicht nicht verfügbar.
Zertifikate unterscheiden sich darin, wie genau der Aussteller die Identität prüft. Ein Domain-validiertes Zertifikat (DV) bestätigt nur, dass Sie die Domain kontrollieren, wird innerhalb von Minuten, oft automatisch, ausgestellt und ist genau das, was Let's Encrypt kostenlos anbietet; das deckt die überwiegende Mehrheit der Geschäftssites ab. Organisationsvalidierung (OV) gleicht das registrierte Unternehmen mit öffentlichen Registern ab, sodass das Zertifikat Ihre Firma nennt – passend für Sites, die sichtbare Unternehmensglaubwürdigkeit wünschen. Erweiterte Validierung (EV) ist die strengste Form und sorgte früher für den grünen Firmennamen in der Adressleiste; sie wird hauptsächlich von Banken und Zahlungsanbietern genutzt. Dazu wählen Sie die Abdeckung: Ein Einfachnamen-Zertifikat deckt einen Host ab, ein Wildcard jedes Subdomain einer Domain und ein Multidomain-Zertifikat eine Liste von Namen in einem Zertifikat. Für die meisten kleinen und mittleren Sites ist die richtige Antwort ein kostenloses, automatisiertes DV-Zertifikat, das nach einem Zeitplan erneuert wird.
Der kostenlose Weg ist Let's Encrypt mit einem ACME-Client wie Certbot, der Ihre Kontrolle über die Domain prüft, indem eine temporäre Challenge-Datei auf Ihrer Site abgelegt wird, dann das Zertifikat ausstellt, es in Ihrem Webserver installiert und eine automatische Erneuerung einrichtet, sodass Sie nie wieder an Ablaufdaten denken müssen. Die meisten Hosting-Control-Panels und moderne Anbieter binden denselben Ablauf hinter einem Button ein, daher ist bei verwaltetem Hosting alles mit einem Klick erledigt. Welchen Weg Sie auch gehen, deployen Sie in dieser Reihenfolge: Installieren Sie das Zertifikat, dann fügen Sie eine Weiterleitung hinzu, die jede HTTP-Anfrage auf ihr HTTPS-Äquivalent schickt, damit keine unsichere Version der Site mehr erreichbar bleibt, dann prüfen Sie, dass der Erneuerungs-Timer wirklich läuft und Sie eine Warnung erhalten, falls die Erneuerung scheitert. Abschließend erwägen Sie, den Strict-Transport-Security-Header zu senden, sobald HTTPS stabil ist; er weist Browser an, für Ihre Domain immer HTTPS zu verwenden. Jeder VPS, den EGYmass ausrollt, wird ab dem ersten Tag mit so konfiguriertem TLS ausgeliefert.
Das Zertifikat ist erst der Anfang; das Schloss verschwindet, sobald etwas auf der Seite inkonsequent ist. Der häufigste Fall ist gemischter Inhalt: Das HTML wird per HTTPS geladen, aber ein Bild, ein Skript oder eine Schriftart wird mit einer http://-Adresse referenziert, worauf der Browser die Ressource entweder blockiert oder das Schloss entfernt und den Besucher warnt. Beheben Sie jede solche Referenz auf https:// oder machen Sie sie protokollrelativ. Der zweite Fehler ist ein abgelaufenes Zertifikat, das eine ganzseitige Warnung erzeugt, die Besucher sehr ernst nehmen; Erneuerungen laufen zwar automatisch, aber nur, wenn die Automatik weiterläuft – überwachen Sie sie also oder nutzen Sie einen Dienst, der beim Zertifikatsablauf warnt. Der dritte ist das Vergessen des Hostnamens www oder eines alternativen Namens: Ein Zertifikat für example.com deckt www.example.com nicht ab, außer es ist ein Wildcard- oder Multidomain-Zertifikat. Der vierte ist ein selbstsigniertes Zertifikat im Produktivbetrieb: Es verschlüsselt zwar den Datenverkehr, zeigt aber eine Warnung, weil keine vertrauenswürdige Autorität dafür bürgt – in Ordnung für interne Tests, niemals für eine Site, die Kunden bedient.
Nein. Let's Encrypt stellt kostenlos domain-validierte Zertifikate aus, und die Erneuerung ist automatisiert, daher sollte eine Standard-Geschäftssite nie eines kaufen müssen. Kostenpflichtige Zertifikate sind sinnvoll, wenn das Zertifikat zur Glaubwürdigkeit Ihre Organisation benennen soll oder wenn Sie erweiterte Validierung sowie Wildcard- oder Multidomain-Abdeckung benötigen, die das kostenlose Angebot nicht liefert.
Nein. Der TLS-Handshake kostet wenige Millisekunden und findet einmal pro Verbindung statt, und die Verschlüsselung selbst ist auf moderner Hardware vernachlässigbar. In der Praxis ist HTTPS oft sogar schneller, denn es ist die Voraussetzung für HTTP/2 und HTTP/3, die Seiten parallel über eine einzige Verbindung laden und die klares HTTP nicht nutzen kann.
Die Seite lädt einige Ressourcen über http://, während sie selbst per https:// ausgeliefert wird, was der Browser moniert. Öffnen Sie die Browserkonsole oder den Netzwerk-Reiter, um die unsicheren URLs zu finden, und ändern Sie jede auf https:// oder in einen relativen Pfad. Sobald jede Ressource zum Protokoll der Seite passt, verschwindet die Warnung und das Schloss ist wieder sauber.
VPS-Server, die ab dem ersten Tag mit TLS ausgeliefert werden — kostenlose Let's-Encrypt-Zertifikate, automatische Erneuerung und standardmäßig erzwungenes HTTPS.
Die Server-Checkliste, auf der dieser Artikel aufbaut — SSH-Schlüssel, Firewall, automatische Updates, TLS und tägliche Backups.
Neu beim Hosting? Eine einfache Erklärung, was ein VPS ist, wann Sie einen brauchen und wie er sich vom Shared Hosting unterscheidet.
EGYmass übernimmt Hosting, Sicherheit und laufende Verwaltung - damit Sie sich auf Ihr Produkt konzentrieren können.
Kostenlose Beratung