Ein SSL-Zertifikat bestätigt die Identität einer Domain und ermöglicht eine per TLS verschlüsselte Verbindung zwischen Browser und Server. Ohne HTTPS kennzeichnen Browser eine Website als „Nicht sicher“, und Formulardaten werden unverschlüsselt übertragen. Für die meisten Websites genügt ein kostenloses DV-Zertifikat. Maßgeblich sind eine fehlerfreie HTTPS-Umstellung, die automatische Verlängerung (seit März 2026 maximal 200 Tage Laufzeit) sowie gepflegte Software, Backups und Sicherheitsheader.
Website-Sicherheit beginnt beim SSL-Zertifikat
Bevor eine Website ihre Inhalte zeigt, prüft der Browser das SSL-Zertifikat. Ist es abgelaufen, falsch eingerichtet oder fehlt es ganz, sieht der Besucher statt Logo und Startseite eine Warnmeldung. Das Zertifikat ist damit der erste technische Kontaktpunkt zwischen einer Marke und ihren Besuchern. Gleichzeitig deckt es nur einen Teil der Website-Sicherheit ab: Es verschlüsselt die Datenübertragung, schützt aber weder vor veralteten Plugins noch vor schwachen Passwörtern.
So funktionieren SSL-Zertifikat und HTTPS
Ein SSL-Zertifikat ist eine digitale Bescheinigung, die eine von Browsern anerkannte Zertifizierungsstelle für eine Domain ausstellt. Beim Aufruf einer Website legt der Server sein Zertifikat vor, der Browser prüft Gültigkeit, Aussteller und Domain. Anschließend vereinbaren beide einen Schlüssel, mit dem alle weiteren Daten verschlüsselt werden, und die Adresse beginnt mit HTTPS. Die Bedeutung des SSL-Zertifikats liegt also in zwei Funktionen: Identitätsnachweis und Verschlüsselung.
Besucher erkennen eine verschlüsselte Verbindung am „https://“ und am Symbol neben der Adresse. Deutlicher fallen die Warnungen aus. Chrome kennzeichnet seit 2018 jede HTTP-Seite als „Nicht sicher“, und bei abgelaufenen oder fehlerhaften Zertifikaten erscheint eine ganzseitige Warnung, die Besucher aktiv übergehen müssen.
SSL vs. TLS
Technisch ist der Begriff SSL überholt. Die letzte Version SSL 3.0 gilt seit 2015 offiziell als unsicher, heute entsprechen TLS 1.2 und 1.3 dem Stand der Technik. Der Name „SSL-Zertifikat“ hat sich trotzdem gehalten. Welche TLS-Verschlüsselung tatsächlich zum Einsatz kommt, legt die Serverkonfiguration fest. Ein gültiges Zertifikat auf einem Server, der veraltete Protokolle zulässt, bietet daher weniger Schutz, als das Schloss-Symbol vermuten lässt.
SSL-Zertifikat-Arten im Überblick
Bei der Validierung gibt es drei Stufen. Ein DV-Zertifikat (Domain Validation) bestätigt nur, dass der Antragsteller die Domain kontrolliert, und wird automatisiert in Minuten ausgestellt. Bei OV (Organization Validation) wird zusätzlich das Unternehmen geprüft. EV (Extended Validation) ist die umfangreichste Prüfung, deren hervorgehobene Anzeige in der Adresszeile Chrome und Firefox jedoch 2019 entfernt haben.
Bei der Abdeckung sichert ein Einzel-Zertifikat einen Hostnamen, ein Wildcard-Zertifikat alle Subdomains einer Ebene und ein Multi-Domain-Zertifikat mehrere unterschiedliche Domains. Die passende Variante ergibt sich aus Domainstruktur und Hosting-Setup.
Kostenlose Zertifikate wie die von Let’s Encrypt sind DV-Zertifikate mit 90 Tagen Laufzeit und verschlüsseln genauso stark wie kostenpflichtige. Ein kostenpflichtiges Zertifikat lohnt sich vor allem, wenn eine geprüfte Unternehmensidentität im Zertifikat stehen soll oder Compliance-Vorgaben eine bestimmte Validierungsstufe verlangen.
SSL-Zertifikat, SEO und Vertrauen
Google nutzt HTTPS seit 2014 als Rankingsignal, beschreibt es selbst aber als leichtgewichtig (Google). Für SSL-Zertifikat und SEO wiegen die indirekten Folgen schwerer: Eine fehlerhafte Umstellung kann doppelte Inhalte, Weiterleitungsketten oder nicht erreichbare Seiten erzeugen und bestehende Rankings beeinträchtigen.
Hinzu kommt die Wirkung auf Besucher. Eine Browserwarnung erscheint, bevor Logo oder Angebot sichtbar werden. Investitionen in Design, Texte und Werbung erreichen den Besucher dann gar nicht erst. Rechtlich verlangt Art. 32 DSGVO geeignete technische Maßnahmen nach dem Stand der Technik, wozu bei Formularen und Logins eine verschlüsselte Übertragung zählt. Für Onlineshops setzt zudem der Kreditkartenstandard PCI DSS eine verschlüsselte Übertragung von Zahlungsdaten voraus.
HTTPS einrichten und dauerhaft pflegen
Mit der Aktivierung des Zertifikats ist die Umstellung auf HTTPS noch nicht abgeschlossen. Jede HTTP-Adresse braucht eine dauerhafte 301-Weiterleitung auf ihr HTTPS-Gegenstück, ohne Ketten oder Schleifen. Lädt eine HTTPS-Seite Bilder, Skripte oder Schriften weiterhin über HTTP, entsteht Mixed Content: Browser blockieren diese Elemente oder zeigen die Verbindung nicht mehr als sicher an. Interne Links, Canonical-Tags und Sitemaps sollten ebenfalls auf HTTPS verweisen. Solche Altlasten können in Theme-Dateien, Page-Buildern oder der Datenbank stecken und lassen sich nur mit einer systematischen Prüfung zuverlässig finden.
Zertifikat abgelaufen: Kürzere Laufzeiten ab 2026
Ein abgelaufenes Zertifikat löst sofort die Browserwarnung aus, und die zulässigen Laufzeiten sinken. Nach einem Beschluss des CA/Browser Forums dürfen öffentliche Zertifikate seit dem 15. März 2026 höchstens 200 Tage gültig sein, ab März 2027 noch 100 Tage und ab März 2029 nur 47 Tage (dnsimple). Eine jährliche manuelle Erneuerung reicht damit nicht mehr aus. Notwendig sind eine automatisierte Verlängerung und ein Monitoring, das rechtzeitig vor dem Ablauf warnt.
Die technischen Grundlagen der Website-Sicherheit
Das SSL-Zertifikat schützt Daten auf dem Weg zwischen Browser und Server, die Website selbst schützt es nicht. Für CMS, Plugins und Themes erscheinen regelmäßig Sicherheitsupdates, sobald Schwachstellen bekannt werden. Diese sollten zeitnah, aber kontrolliert eingespielt werden, denn ein ungetestetes Update kann Funktionen ausfallen lassen. Professionelle Wartung prüft Updates deshalb zuerst auf einer Testumgebung.
Bei den Zugängen gehören lange, individuelle Passwörter, Zwei-Faktor-Authentifizierung für alle Konten mit Schreibrechten und ein Rechtekonzept nach dem Prinzip der minimalen Berechtigung zum Standard. Backups sollten automatisch und getrennt vom Webserver gespeichert und ihre Wiederherstellung regelmäßig getestet werden. Eine Web Application Firewall filtert zusätzlich typische Angriffsmuster.
Sicherheitsheader weisen den Browser an, die Seite zusätzlich zu schützen. HSTS erzwingt den Aufruf über HTTPS, eine Content-Security-Policy legt fest, aus welchen Quellen Skripte geladen werden dürfen. Falsch konfiguriert, kann sie eingebundene Dienste wie Karten oder Zahlungsanbieter blockieren. Die Grundlage bilden Hosting und Serverkonfiguration mit aktuellen Softwareversionen und einer TLS-Konfiguration ohne veraltete Protokolle. Ob das gegeben ist, zeigt erst eine technische Prüfung.
Was das Schloss-Symbol nicht leistet
Das Schloss belegt eine verschlüsselte Verbindung, über die Seriosität des Betreibers oder den Zustand der Website sagt es nichts aus. Auch Phishing-Seiten können ein gültiges Zertifikat besitzen. Sicherheitssiegel im Footer signalisieren Vertrauen, wehren aber keinen Angriff ab. Ebenso wenig steht der Preis eines Zertifikats für mehr Schutz: Ein EV-Zertifikat verschlüsselt mit denselben Verfahren wie ein kostenloses DV-Zertifikat. Das Budget ist in Wartung, Monitoring und Backups in der Regel besser angelegt. Website-Sicherheit ist zudem kein einmaliges Projekt, denn neue Schwachstellen und sinkende Laufzeiten verändern die Ausgangslage fortlaufend.
Website-Sicherheit als Teil des Markenauftritts
Corporate Design, Bildsprache und Texte bestimmen den Eindruck einer Website. Eine Zertifikatswarnung oder ein kompromittierter Blog bestimmen ihn ebenfalls, und zwar unmittelbar. Werden Gestaltung und Technik getrennt vergeben, können Zuständigkeiten unklar bleiben, etwa bei der Frage, wer das Zertifikat nach einem Hostingwechsel neu einrichtet.
Als Webdesign Agentur aus Braunschweig verbinden wir Markenentwicklung und Webdesign mit der laufenden technischen Betreuung.
Besonders lohnt sich diese Zusammenarbeit, wenn eine Website personenbezogene Daten über Formulare oder einen Shop verarbeitet oder intern die Kapazität für Wartung fehlt.
Das SSL-Zertifikat als Grundlage der Website-Sicherheit
Ein SSL-Zertifikat ist für jede Website Pflicht. Für die meisten Websites reicht ein kostenloses DV-Zertifikat, sofern es automatisch verlängert und überwacht wird, und die sinkenden Laufzeiten bis 2029 machen diese Automatisierung unverzichtbar. Wie sicher eine Website insgesamt ist, hängt zusätzlich von gepflegter Software, geschützten Zugängen, Backups, Sicherheitsheadern und einem solide konfigurierten Server ab. Eine Website, die heute korrekt eingerichtet ist, sollte deshalb fortlaufend geprüft und an neue Anforderungen angepasst werden.
Alles auf einen Blick
- Ein SSL-Zertifikat ist Pflicht: Ohne HTTPS markieren Browser eine Website als „Nicht sicher“, und Formulardaten werden unverschlüsselt übertragen.
- Kostenlos verschlüsselt genauso stark: DV- und EV-Zertifikate nutzen dieselben Verfahren. Der Mehrpreis betrifft allein die Identitätsprüfung.
- Laufzeiten sinken deutlich: Seit März 2026 gelten maximal 200 Tage, ab März 2029 nur noch 47 Tage. Automatische Verlängerung und Monitoring sind notwendig.
- Das Schloss zeigt nur die Verschlüsselung: Updates, Zwei-Faktor-Authentifizierung, Backups und Sicherheitsheader bestimmen die tatsächliche Sicherheit.
- Sicherheit gehört zum Markenauftritt: Eine sichere Website erfordert laufende Betreuung, die Technik und Branding zusammenführt.
