SSL-Pflicht in Deutschland: Warum HTTPS rechtlich vorgeschrieben ist

Wer in Deutschland eine Website betreibt, kommt an einer Frage früher oder später nicht vorbei: Reicht HTTP noch, oder muss es HTTPS sein? Die kurze Antwort lautet: HTTPS ist längst keine Empfehlung mehr, sondern rechtliche Pflicht. Und das nicht erst seit gestern.

Seit dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung unmittelbar in allen EU-Mitgliedstaaten. Art. 32 DSGVO schreibt vor, dass Verantwortliche geeignete technische Maßnahmen ergreifen müssen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Verschlüsselung steht dort ausdrücklich als Beispiel. Was das konkret für Ihre Website bedeutet, erkläre ich in diesem Artikel - als Webentwickler, nicht als Anwalt, und ohne Rechtsberatung.

Was Art. 32 DSGVO konkret fordert

Der Wortlaut von Art. 32 Abs. 1 lit. a) DSGVO ist eindeutig: Als technische Maßnahme wird die Pseudonymisierung und Verschlüsselung personenbezogener Daten explizit genannt. Personenbezogene Daten sind dabei sehr weit gefasst: Name, E-Mail-Adresse, IP-Adresse, Standortdaten. Wenn ein Nutzer Ihr Kontaktformular ausfüllt und auf "Senden" klickt, überträgt er personenbezogene Daten über Ihr Netz.

Ohne HTTPS wandern diese Daten im Klartext durch das Netz. Jeder Router auf dem Weg vom Browser zum Server kann sie mitlesen. Das entspricht technisch gesehen dem Zustand "keine Schutzmaßnahme" - und genau das beanstandet die DSGVO. Die Anforderung ist dabei risikobasiert formuliert: Je sensibler die Daten, desto höher das Schutzniveau. Ein einfaches Kontaktformular liegt beim unteren Ende, ein Login mit Gesundheitsdaten oder Zahlungsinformationen weit oben. In keinem dieser Fälle ist unverschlüsseltes HTTP vertretbar.

Welche Websites betrifft die SSL-Pflicht?

Kurz gesagt: praktisch jede geschäftsmäßig betriebene Website. Die Aufsichtsbehörden legen den Begriff "geschäftsmäßig" weit aus. Er umfasst nicht nur Online-Shops, sondern jeden, der eine Website für berufliche oder gewerbliche Zwecke betreibt - also auch die Präsenz eines Steuerberaters, eines Architekten, eines Malers oder eines Yoga-Studios.

Selbst eine schlichte Handwerker-Website mit einem einzigen Kontaktformular fällt in diesen Bereich. Die DSGVO unterscheidet nicht zwischen Konzernen und Einzelunternehmern. Ein Elektrobetrieb in Hamburg mit fünf Mitarbeitern unterliegt denselben Anforderungen wie ein DAX-Konzern - der Unterschied liegt nur in der Verhältnismäßigkeit der Sanktionen.

Die Bußgeldrisiken bei fehlender Verschlüsselung

Verstöße gegen Art. 32 DSGVO können nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden. Bei schwerwiegenden Verstößen - wenn etwa durch fehlende Verschlüsselung Daten tatsächlich abgegriffen wurden - steigt die Obergrenze auf 20 Millionen Euro oder 4 Prozent Umsatz.

In der Praxis beginnen Datenschutzbehörden bei erstmaligen Verstößen meist mit einer Verwarnung und einer gesetzten Nachbesserungsfrist von wenigen Wochen. Wer innerhalb dieser Frist nicht handelt, riskiert handfeste Sanktionen. Deutschland gehört zu den Ländern, die DSGVO-Bußgelder aktiv verhängen: 2025 verhängte Deutschland seine damals höchste Einzelstrafe von 45 Millionen Euro - unter anderem wegen IT-Sicherheitsmängeln.

Besonders relevant für kleine Betriebe: Beschwerden bei Aufsichtsbehörden wegen fehlender HTTPS-Verschlüsselung können von jedem eingereicht werden - Mitbewerber, Datenschutzaktivisten oder unzufriedene Kunden. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit hatte bereits 2020 klargestellt, dass HTTPS auf allen Seiten Pflicht ist. Nicht nur auf Unterseiten mit Formularen, sondern auf der gesamten Domain.

TLS-Versionen: Was gilt als Stand der Technik?

Nicht jedes SSL- oder TLS-Protokoll ist gleichwertig. Die Bezeichnung "SSL" ist eigentlich veraltet - technisch wird heute TLS (Transport Layer Security) eingesetzt. Das BSI legt in seiner Technischen Richtlinie TR-02102-2 fest, was als aktueller Stand der Technik gilt. Diese Richtlinie wird regelmäßig aktualisiert und ist für die Frage, ob eine Maßnahme "dem Stand der Technik" entspricht, direkt relevant.

Die meisten modernen Hosting-Pakete aktivieren TLS 1.2 und 1.3 standardmäßig. Mit dem freien SSL-Test von SSL Labs können Sie in zwei Minuten prüfen, welche Protokolle Ihr Server unterstützt und welche Note Ihr Setup bekommt. Alles unter B sollte nachgebessert werden.

Kostenlose Zertifikate: Let's Encrypt als Praxislösung

Ein häufiges Missverständnis bei Kunden: SSL-Zertifikate kosten nicht zwingend Geld. Let's Encrypt ist eine gemeinnützige Zertifizierungsstelle der Internet Security Research Group (ISRG), die kostenlose Zertifikate mit automatischer Erneuerung alle 90 Tage bereitstellt. Die kurze Laufzeit ist dabei kein Nachteil - sie zwingt zur Automatisierung und verhindert, dass abgelaufene Zertifikate jahrelang unentdeckt auf Servern liegen.

Praktisch jeder größere deutsche Hosting-Anbieter hat die Einrichtung in sein Control Panel integriert: IONOS, Hetzner, Strato, All-Inkl, Mittwald - überall gibt es entweder einen "SSL aktivieren"-Button oder eine automatische Bereitstellung beim Domain-Setup.

Für die meisten kleinen und mittelständischen Websites in Deutschland ist Let's Encrypt die richtige Wahl. Wer einen WooCommerce-Shop mit hohem Umsatz betreibt und das Vertrauen durch ein EV-Zertifikat sichtbar stärken möchte, kann zu kommerziellen Anbietern wie DigiCert oder Sectigo greifen. Der Aufpreis liegt je nach Anbieter bei 50 bis 300 Euro pro Jahr.

Was nach der HTTPS-Umstellung zu prüfen ist

Die eigentliche Arbeit beginnt nach der Zertifikats-Installation. Bei einem Kundenprojekt aus Hamburg - einem mittelgroßen Dienstleistungsunternehmen mit WordPress und mehreren Subseiten - haben wir nach der HTTPS-Umstellung festgestellt, dass über 40 interne Bildlinks und drei externe Skript-Einbindungen noch auf HTTP zeigten. Browser blockierten einen Teil davon als Mixed Content, was die Seiten optisch korrumpierte und Sicherheitswarnungen auslöste. Das wirkt sich direkt auf das Nutzererlebnis und indirekt auf die Core Web Vitals aus.

Google und Browser: Auch ohne DSGVO-Druck lohnt HTTPS

Selbst wer die rechtliche Seite ausblendet (was ich nicht empfehle), sollte HTTPS aus pragmatischen Gründen einsetzen. Google hat HTTPS seit 2014 als Rankingfaktor bestätigt. Chrome und Firefox markieren HTTP-Seiten mit Formularen explizit als "Nicht sicher" in der Adressleiste - mit rotem Schloss-Symbol. Das schreckt Besucher ab, noch bevor sie das Formular überhaupt öffnen.

Bei einem Kundenprojekt aus dem Hamburger Umland - ein Handwerksbetrieb, der nach eigener Aussage "eh keine Daten sammelt" - haben wir nach HTTPS-Umstellung und einem kleinen Redesign der Webseite innerhalb von sechs Wochen eine messbare Verbesserung der Formular-Konversionsrate gesehen. Nutzer brachen das Kontaktformular seltener ab. Der direkte Kausalzusammenhang ist schwer zu beweisen, aber das Muster zeigt sich in mehreren Projekten.

Aus Sicht der SEO-Optimierung kommt noch ein weiterer Aspekt hinzu: Google indiziert HTTPS-Seiten bevorzugt, und bei gleichen anderen Faktoren kann das Protokoll den Ausschlag geben. Es ist kein Riesenhebel, aber ein unnötig leicht zu schließendes Loch.

HTTPS und WooCommerce: Noch mehr auf dem Spiel

Für Online-Shops gelten die gleichen DSGVO-Anforderungen wie für andere Websites, aber das Risiko ist höher. Kreditkartendaten und Zahlungsinformationen dürfen technisch ohnehin nie über HTTP übertragen werden. Stripe, Klarna und andere Zahlungsdienstleister setzen HTTPS als technische Voraussetzung durch und verweigern schlicht die Verbindung ohne gültiges Zertifikat.

Darüber hinaus verlangt PCI DSS (der Sicherheitsstandard für Kartenzahlungen) TLS 1.2 als Minimum. Wer einen Online-Shop betreibt, muss also mindestens TLS 1.2 - besser TLS 1.3 - aktiv haben. Das lässt sich über das Hosting-Control-Panel oder per .htaccess-Direktive steuern. Die beiden Zeilen in der .htaccess genügen für Apache-Server:

SSLProtocol all -SSLv3 -TLSv1 -TLSv1.1
SSLHonorCipherOrder on

Nach jeder solchen Änderung lohnt sich ein erneuter Check mit SSL Labs, um sicherzustellen, dass keine alten Protokolle versehentlich noch aktiv sind.

Fazit: Die SSL-Pflicht ist umsetzbar und kostenlos

Die ssl pflicht deutschland ist keine bürokratische Schikane, sondern technisch sinnvoll und seit Jahren erreichbar. Verschlüsselte Verbindungen schützen Ihre Kunden, stärken das Vertrauen und sind heute dank Let's Encrypt ohne zusätzliche Kosten umsetzbar. Das Argument "SSL ist teuer" gilt seit mindestens 2016 nicht mehr.

Der Aufwand für die Einrichtung liegt bei einem typischen WordPress-Projekt bei zwei bis vier Stunden - wenn man den Check nach der Umstellung (Mixed Content, Weiterleitungen, Webhooks) sauber durchführt. Wer eine neue Website erstellen lässt, sollte darauf bestehen, dass HTTPS von Anfang an im Projektumfang steht. Bei meinen Projekten ist das Standard: Zertifikat, Weiterleitung, SSL Labs Check - alles gehört zum Basis-Setup, bevor die Seite live geht.

Haben Sie Fragen zur technischen Umsetzung oder möchten Sie wissen, ob Ihre bestehende Website DSGVO-konform aufgestellt ist? Ich schaue mir das gerne an - einfach über den Kontakt melden.