SSL-Zertifikat

Rufst du eine Seite über HTTPS auf, schickt der Server zuerst sein Zertifikat. Der Browser prüft, ob es noch gültig ist und ob eine anerkannte Zertifizierungsstelle es für genau diese Domain ausgestellt hat. Stimmt alles, handeln beide einen Schlüssel aus. Ab dann laufen alle Daten verschlüsselt, und Formulareingaben oder Zahlungsdaten kann unterwegs niemand mitlesen.

Streng genommen heißt das Verfahren heute TLS (Transport Layer Security). SSL war der Vorgänger und gilt seit Jahren als unsicher. Im Sprachgebrauch ist „SSL-Zertifikat“ trotzdem geblieben.

Aktuelle Browser kennzeichnen Seiten ohne HTTPS als „Nicht sicher“. Auf Seiten mit Formularfeldern fällt der Hinweis besonders deutlich aus. Wer ihn sieht, schickt ungern eine Anfrage ab.

Auch Google achtet darauf: Seit 2014 ist HTTPS ein Rankingsignal. Der Effekt ist klein, eine Seite ohne Verschlüsselung startet aber mit einem Nachteil. Wie Google Seiten sonst noch bewertet, erklärt der Ratgeber SEO-Grundlagen.

• Domain Validated (DV): Geprüft wird nur, ob du die Domain kontrollierst. Für die meisten Websites genügt das. Let's Encrypt stellt solche Zertifikate kostenlos aus.
• Organization Validated (OV): Zusätzlich prüft die Zertifizierungsstelle, ob das Unternehmen existiert.
• Extended Validation (EV): die strengste Prüfung. Browser zeigen den Firmennamen inzwischen nicht mehr gesondert an, deshalb hat EV an Bedeutung verloren.

Jedes Zertifikat läuft ab. Seit März 2026 dürfen öffentliche Zertifikate höchstens 200 Tage gelten, bis 2029 sinkt die Grenze schrittweise auf 47 Tage. Wer noch von Hand verlängert, sollte auf die automatische Erneuerung umstellen, die die meisten Hoster anbieten.

• Gemischte Inhalte: Die Seite läuft über HTTPS, einzelne Bilder oder Skripte kommen aber noch über HTTP. Der Browser blockiert sie dann oder zeigt kein Schloss.
• Fehlende Weiterleitung: Die alte HTTP-Adresse muss per 301-Weiterleitung auf die HTTPS-Fassung zeigen, sonst existiert jede Seite doppelt.
• Abgelaufenes Zertifikat: Der Browser zeigt eine ganzseitige Warnung, und kaum jemand klickt weiter.
• Alte Verweise: Interne Links und Canonical-Angaben zeigen noch auf http://. Das funktioniert dank Weiterleitung, kostet aber bei jedem Aufruf einen Umweg.

Ob das Zertifikat sauber läuft und rechtzeitig erneuert wird, gehört zu den Dingen, die bei der laufenden Betreuung einer Website mitgeprüft werden sollten (Pflege).

Verwandte Begriffe: Webhosting · CMS · Domain · 301-Weiterleitung