Was ist ein SSL-Zertifikat? HTTPS für Einsteiger erklärt

Sie öffnen eine Website, tippen Ihre E-Mail-Adresse in ein Kontaktformular und klicken auf „Absenden“. In diesem Moment reist Ihr Text quer durch das Internet - über Glasfaserkabel, Router und Server, die Sie nie zu Gesicht bekommen. Was verhindert, dass jemand auf diesem Weg mitlesen kann? Die Antwort lautet: ein SSL-Zertifikat und das Protokoll dahinter, das man HTTPS nennt.

Für viele Websitebetreiber ist HTTPS ein grünes Häkchen auf einer To-do-Liste. Dabei steckt dahinter ein elegantes Konzept, das sich lohnt zu verstehen - nicht weil Sie dann selbst Zertifikate programmieren, sondern weil Sie dann genau wissen, warum jede Ihrer Seiten es braucht und was passiert, wenn es fehlt.

HTTP und HTTPS: zwei Protokolle, ein entscheidender Unterschied

HTTP steht für Hypertext Transfer Protocol. Es ist die Sprache, mit der Browser und Webserver miteinander reden. HTTP ist allerdings eine offene Unterhaltung: Was übertragen wird, ist im Klartext lesbar - für jeden, der sich im gleichen Netzwerk befindet oder an einem der Zwischenstationen sitzt.

HTTPS fügt dieser Unterhaltung eine Schutzschicht hinzu: das S steht für Secure. Alle übertragenen Daten werden verschlüsselt, bevor sie das Gerät verlassen, und erst auf der Gegenseite wieder entschlüsselt. Selbst wenn jemand den Datenverkehr abfängt, sieht er nur unleserliches Rauschen.

Den technischen Unterbau liefert dabei nicht mehr das ursprüngliche SSL-Protokoll (das in der Praxis schon länger nicht mehr eingesetzt wird), sondern sein Nachfolger TLS - Transport Layer Security. Wenn heute von „SSL-Zertifikat“ gesprochen wird, ist technisch gesehen TLS gemeint. Der Name SSL hat sich schlicht im allgemeinen Sprachgebrauch gehalten.

Was ein SSL-Zertifikat eigentlich ist

Stellen Sie sich vor, Sie erhalten einen Brief von Ihrer Bank. Woher wissen Sie, dass er wirklich von der Bank stammt und nicht von jemandem, der so tut als ob? Der Brief trägt ein Siegel, eine Unterschrift, vielleicht ein Wasserzeichen - ausgestellt von einer Instanz, der Sie vertrauen.

Genau das leistet ein SSL-Zertifikat für eine Website. Es ist ein digitales Dokument, das von einer anerkannten Stelle - einer sogenannten Zertifizierungsstelle oder Certificate Authority (CA) - ausgestellt wird und bestätigt: Dieser Server gehört tatsächlich zu der Domain, für die er sich ausgibt.

Das Zertifikat enthält unter anderem:

• den Domainnamen, für den es gilt
• den öffentlichen Schlüssel des Servers
• die ausstellende Zertifizierungsstelle
• die Gültigkeit

Browser kennen eine Liste vertrauenswürdiger Zertifizierungsstellen. Wenn eine Website ein gültiges Zertifikat einer solchen Stelle vorzeigt, zeigt der Browser das Schloss-Symbol in der Adresszeile. Fehlt das Zertifikat oder ist es abgelaufen, erscheint stattdessen eine Warnung: „Nicht sicher“.

Der TLS-Handshake: was in Millisekunden passiert

Wenn Ihr Browser eine HTTPS-Seite aufruft, findet vor dem eigentlichen Laden der Seite ein kurzer, automatischer Aushandlungsprozess statt - der sogenannte Handshake. Vereinfacht läuft er so ab:

Der Browser meldet sich beim Server: Er nennt die Verschlüsselungsverfahren, die er beherrscht, und bittet um eine gesicherte Verbindung. Der Server antwortet und schickt sein SSL-Zertifikat mit. Der Browser prüft: Ist dieses Zertifikat gültig? Stammt es von einer Stelle, der ich vertraue? Passt die Domain?

Wenn alles stimmt, einigen sich beide Seiten auf einen gemeinsamen Sitzungsschlüssel - und das ohne diesen Schlüssel jemals direkt zu übertragen. Dafür nutzen sie asymmetrische Kryptografie: Der Browser verschlüsselt eine Zufallszahl mit dem öffentlichen Schlüssel des Servers. Entschlüsseln kann das nur der Server, weil nur er den passenden privaten Schlüssel besitzt. Aus diesem geteilten Geheimnis leiten beide Seiten dann den symmetrischen Schlüssel ab, mit dem die eigentliche Kommunikation verschlüsselt wird.

Dieser gesamte Prozess dauert in der Praxis wenige Millisekunden. Der Besucher bemerkt davon nichts.

Warum jede Website HTTPS braucht

Es gibt drei triftige Gründe, und keiner davon ist optional.

Schutz der Daten Ihrer Besucher. Jedes Kontaktformular, jede Login-Maske, jede Suchanfrage auf Ihrer Seite überträgt Daten. Ohne HTTPS werden diese im Klartext gesendet. In öffentlichen WLAN-Netzen - Cafés, Hotels, Bahnhöfe - ist das Abfangen technisch keine Hürde. Für einen Onlineshop, der Zahlungsdaten oder Adressen verarbeitet, ist HTTPS schlicht Voraussetzung.

Vertrauen und Außenwirkung. Die „Nicht sicher“-Meldung in Chrome, Firefox und Safari ist kein dezenter Hinweis - sie steht direkt neben Ihrer Domain, bevor der Besucher eine einzige Zeile Ihrer Website gelesen hat. Bei einem Kunden, der einen kleinen Beratungsbetrieb führte, haben wir nach der Umstellung auf HTTPS gemessen, dass die Absprungrate auf der Kontaktseite merklich zurückging. Der einzige Unterschied: das Schloss-Symbol war da.

SEO-Grundlage. Suchmaschinen bevorzugen HTTPS als ein Signal für Qualität und Zuverlässigkeit. Es ist kein dominanter Faktor, aber ein Faktor - und gleichzeitig so einfach umzusetzen, dass es keinen Sinn ergibt, darauf zu verzichten.

Kostenlos oder kostenpflichtig: welches Zertifikat brauchen Sie?

Hier trennt sich die Welt in zwei Lager - und die Entscheidung ist weniger schwierig, als manche Anbieter suggerieren.

Let’s Encrypt ist eine gemeinnützige Zertifizierungsstelle, die kostenlose DV-Zertifikate (Domain Validation) ausstellt. Sie bestätigen: Diese Domain existiert und der Antragsteller kontrolliert sie. Das reicht für die Verschlüsselung vollkommen aus - die Stärke der Kryptografie ist identisch mit der kostenpflichtiger Alternativen. Nahezu jeder seriöse Hoster bietet die automatische Einrichtung und Verlängerung von Let’s Encrypt inzwischen per Knopfdruck an.

Bei einem Kunden mit einer kleinen Handwerkerwebsite und einem Kontaktformular läuft seit Jahren ein Let’s Encrypt-Zertifikat - vollautomatisch, ohne eine einzige manuelle Verlängerung.

Kostenpflichtige Zertifikate bieten darüber hinaus zwei weitere Validierungsstufen:

OV-Zertifikate (Organization Validation) prüfen zusätzlich, ob das Unternehmen tatsächlich existiert und im Handelsregister eingetragen ist. EV-Zertifikate (Extended Validation) durchlaufen den strengsten Prüfprozess und verifizieren Firmenname, Sitz und Handelsregistereintrag auf Herz und Nieren. Früher wurde EV durch einen grünen Balken mit Firmennamen in der Adresszeile sichtbar gemacht - das haben moderne Browser inzwischen vereinheitlicht, die zusätzlichen Informationen sind aber im Zertifikat hinterlegt.

Für die große Mehrheit der kleinen und mittleren Unternehmenswebsites und WooCommerce-Shops gilt: Let’s Encrypt reicht vollständig aus.

Was das Schloss-Symbol wirklich aussagt - und was nicht

Das Schloss-Symbol im Browser bedeutet eines: Die Verbindung zwischen Ihrem Browser und dem Server ist verschlüsselt. Es sagt nichts darüber aus, ob die Website, mit der Sie verbunden sind, vertrauenswürdig ist. Eine Phishing-Seite kann problemlos ein gültiges SSL-Zertifikat haben und das Schloss-Symbol zeigen.

Das ist kein Argument gegen HTTPS - im Gegenteil. Es zeigt, dass HTTPS eine notwendige, aber nicht hinreichende Bedingung für Vertrauen ist. HTTPS schützt den Übertragungsweg. Was auf dem Server liegt und wer ihn betreibt, ist eine andere Frage.

Für Ihre eigene Website als Betreiber bedeutet das: HTTPS ist die Grundlage, auf der Vertrauen aufgebaut wird - durch Impressum, echte Inhalte, erkennbare Identität. Ohne HTTPS fehlt schon die Grundlage.

Was zu tun ist, wenn HTTPS fehlt oder nicht richtig funktioniert

Die häufigsten Situationen, die ich in der Praxis antreffe:

Kein Zertifikat vorhanden. Entweder wurde die Website vor Jahren ohne HTTPS eingerichtet, oder der Hoster hat die Einrichtung nicht automatisch übernommen. Lösung: Im Hosterpanel Let’s Encrypt aktivieren und eine 301-Weiterleitung von HTTP auf HTTPS einrichten.

Gemischte Inhalte. Die Seite läuft auf HTTPS, aber einige Bilder, Schriften oder Skripte werden noch über HTTP nachgeladen. Browser zeigen dann statt des Schlosses ein Warnsymbol. In WordPress lässt sich das häufig mit einem Plugin (etwa Really Simple SSL) oder durch einen Suchlauf in der Datenbank beheben.

Abgelaufenes Zertifikat. Let’s Encrypt-Zertifikate verlängern sich normalerweise automatisch. Wenn das aus irgendeinem Grund scheitert, sehen Besucher eine Fehlerseite. Einige Hoster senden vorher eine Warnung per E-Mail - prüfen Sie, ob diese Benachrichtigung bei Ihnen aktiv ist.

Wenn Sie eine neue Website aufbauen oder eine bestehende migrieren, unterstütze ich Sie dabei, HTTPS von Anfang an korrekt einzurichten - zusammen mit allen technischen Grundlagen, die eine professionelle Webseite heute braucht. Details zu den Basics, die vor HTTPS kommen, finden Sie in den Grundlagenartikeln zu Domains und Webhosting.

Kurz zusammengefasst

Ein SSL-Zertifikat macht aus HTTP ein sicheres HTTPS - es identifiziert Ihren Server als vertrauenswürdig und ermöglicht die verschlüsselte Übertragung aller Daten. Der TLS-Handshake, der dabei im Hintergrund abläuft, schützt Ihre Besucher ohne jede spürbare Verzögerung. Für die meisten Unternehmenswebsites ist das kostenlose Let’s Encrypt vollkommen ausreichend. Wer einen Onlineshop betreibt oder mit sensiblen Kundendaten arbeitet, sollte zumindest ein DV-Zertifikat von einem seriösen Anbieter einsetzen - und prüfen, ob ein OV-Zertifikat das Vertrauen seiner Zielgruppe weiter stärkt.

Fehlt HTTPS, verlieren Sie Besucher durch Browser-Warnungen, einen kleinen SEO-Nachteil und das Risiko, dass Daten auf dem Übertragungsweg abgefangen werden. Es gibt keinen vernünftigen Grund, darauf zu verzichten.

Wenn Sie Fragen zur Einrichtung haben oder eine bestehende Website auf HTTPS umstellen möchten, können Sie mich gerne über die Kontaktseite erreichen. Für einen Überblick über alle Leistungen rund um Webseiten oder Online-Shops sowie SEO-Optimierung finden Sie die Details auf den jeweiligen Seiten.

Häufige Fragen

Was ist der Unterschied zwischen SSL und TLS?

SSL (Secure Sockets Layer) ist der ältere Name für das Protokoll, das HTTPS-Verbindungen absichert. TLS (Transport Layer Security) ist die modernere, sicherere Weiterentwicklung. Im Alltag sagen die meisten nach wie vor SSL-Zertifikat, gemeint ist aber technisch gesehen TLS. Für die Praxis spielt diese Unterscheidung keine Rolle - entscheidend ist, dass Ihre Website HTTPS nutzt.

Brauche ich ein SSL-Zertifikat auch wenn ich keine Daten sammle?

Ja. Browser kennzeichnen jede Website ohne HTTPS als nicht sicher, unabhängig davon, ob ein Formular vorhanden ist oder nicht. Das schreckt Besucher ab und schadet dem Vertrauen in Ihr Unternehmen. Außerdem bevorzugt Google HTTPS-Seiten bei der Indexierung. Ein kostenloses Let’s Encrypt-Zertifikat ist in wenigen Minuten eingerichtet - es gibt keinen Grund, darauf zu verzichten.

Wie lange ist ein SSL-Zertifikat gültig?

Let’s Encrypt-Zertifikate laufen nach 90 Tagen ab und werden idealerweise automatisch durch den Hoster erneuert. Kommerzielle Zertifikate haben je nach Anbieter längere Laufzeiten. Wichtig ist, dass die automatische Verlängerung eingerichtet und geprüft ist - ein abgelaufenes Zertifikat zeigt dem Besucher eine Fehlerseite und blockiert den Zugriff.

Was ist der Unterschied zwischen DV, OV und EV-Zertifikaten?

DV (Domain Validation) bestätigt nur den Domainbesitz - ausreichend für die meisten Websites. OV (Organization Validation) prüft zusätzlich die Existenz des Unternehmens. EV (Extended Validation) durchläuft den strengsten Prüfprozess und war früher durch einen grünen Balken mit Firmenname sichtbar. Für einen typischen Unternehmensauftritt oder kleinen Onlineshop ist ein DV-Zertifikat vollkommen ausreichend.

Kann ich ein SSL-Zertifikat selbst ausstellen?

Technisch ja, aber ein selbst ausgestelltes (sogenanntes selbstsigniertes) Zertifikat wird von keinem Browser als vertrauenswürdig anerkannt. Besucher sähen dann eine Sicherheitswarnung statt Ihrer Website. Für produktive Websites brauchen Sie ein Zertifikat von einer offiziell anerkannten Zertifizierungsstelle - Let’s Encrypt bietet das kostenlos und vollautomatisch.

Verlangsamt HTTPS meine Website?

Kaum messbar. Der TLS-Handshake dauert bei modernen Protokollen nur wenige Millisekunden. Mit HTTP/2 und HTTP/3, die ausschließlich über HTTPS funktionieren, lädt eine verschlüsselte Seite in der Praxis sogar schneller als eine unverschlüsselte HTTP-Seite. HTTPS ist kein Performance-Nachteil, sondern ermöglicht erst die schnellsten modernen Übertragungsstandards.

Mein Hoster bietet HTTPS an - muss ich trotzdem etwas tun?

Wenn der Hoster das Zertifikat automatisch einrichtet, müssen Sie lediglich prüfen, ob alle URLs auf HTTPS umgeleitet werden und ob interne Links sowie eingebundene Medien ebenfalls HTTPS verwenden. Gemischte Inhalte (HTTP-Bilder auf einer HTTPS-Seite) können das Schloss-Symbol zerstören. Ein kurzer Test mit dem SSL Labs Server Test gibt Ihnen schnell Sicherheit.