SSL-Zertifikat für die Webseite: warum es Pflicht ist und wie es geht
Sie rufen Ihre eigene Seite auf, und neben der Adresse steht „Nicht sicher“. Besucher sehen dasselbe. Viele schließen die Seite sofort, und wer ein Formular ausfüllen soll, zögert. Der Grund ist fast immer ein fehlendes oder falsch eingerichtetes SSL-Zertifikat. Bei den meisten Hostern kostet es nichts und ist in wenigen Minuten aktiv. Schwierig wird es nur bei der Umstellung, und auch die ist mit vier Schritten erledigt.
In aller Kürze: Ein SSL-Zertifikat ist bei guten Hostern kostenlos und mit einem Klick aktiv. Danach richten Sie eine Weiterleitung auf https ein und prüfen, ob alle Bilder über https laden. Fehlt das Zertifikat oder läuft es ab, sehen Besucher eine Warnung, und viele kommen nicht wieder.
Was ein SSL-Zertifikat macht
Ohne Verschlüsselung reisen Daten zwischen Browser und Server wie eine Postkarte. Jeder, der sie unterwegs in die Hand bekommt, kann sie lesen: der Betreiber eines öffentlichen WLANs, ein Angreifer im selben Netz, jeder Knotenpunkt auf dem Weg. Das betrifft alles, was jemand eingibt, vom Kontaktformular bis zum Passwort.
Ein SSL-Zertifikat steckt die Daten in einen verschlossenen Umschlag. Es leistet dabei zwei Dinge:
Verschlüsselung. Browser und Server vereinbaren einen geheimen Schlüssel. Wer die Daten unterwegs abfängt, sieht nur Zeichensalat.
Ausweis. Das Zertifikat bestätigt, dass der Server wirklich zu Ihrer Domain gehört. Ausgestellt wird es von einer Zertifizierungsstelle, die vorher prüft, ob Sie die Domain kontrollieren. So kann sich kein Fremder als Ihre Seite ausgeben.
Zu erkennen ist das am „https“ in der Adresse und am Schloss-Symbol. Der Name SSL ist eigentlich veraltet. Die heutige Technik heißt TLS. Im Alltag sagen trotzdem fast alle SSL, auch die Hoster.
Warum jede Webseite eines braucht
Vielleicht denken Sie: Meine Seite hat kein Formular, also brauche ich das nicht. Doch, aus drei Gründen.
Browser warnen. Alle großen Browser markieren Seiten ohne HTTPS als „Nicht sicher“. Das kostet Vertrauen, auch wenn Ihre Seite nur Öffnungszeiten zeigt.
Suchmaschinen bevorzugen HTTPS. Google hat bestätigt, dass HTTPS in die Bewertung einfließt. Der Effekt ist klein, aber es gibt keinen Grund, ihn zu verschenken.
Datenschutz. Sobald personenbezogene Daten übertragen werden, etwa über ein Kontaktformular, verlangt die DSGVO angemessenen Schutz. Verschlüsselung gehört dazu. Mehr zum rechtlichen Rahmen steht auf der Seite Serverstandort Deutschland.
Kostenlos oder kostenpflichtig?
Früher kosteten Zertifikate Geld. Heute stellt die gemeinnützige Zertifizierungsstelle Let’s Encrypt kostenlose Zertifikate aus, und fast alle Hoster bauen das direkt in ihre Tarife ein. Diese Zertifikate verschlüsseln genauso stark wie gekaufte. Sie sind nur wenige Monate gültig, werden aber automatisch erneuert.
Kurze Laufzeiten werden ohnehin für alle Zertifikate Pflicht. Browserhersteller und Zertifizierungsstellen haben 2025 im CA/Browser Forum beschlossen, die Höchstdauer schrittweise zu senken: ab März 2026 auf 200 Tage, ab März 2027 auf 100 Tage und ab März 2029 auf 47 Tage. Wer heute noch ein gekauftes Zertifikat einmal im Jahr von Hand einspielt, sollte auf automatische Verlängerung umsteigen. Achten Sie außerdem darauf, dass der Server TLS 1.2 oder 1.3 nutzt. Ältere Versionen gelten als unsicher und sind in aktuellen Browsern abgeschaltet.
Das kostenlose Zertifikat ist domain-validiert, kurz DV: Geprüft wird nur, ob Sie die Domain kontrollieren. Bei kostenpflichtigen OV- und EV-Zertifikaten prüft die Stelle zusätzlich, ob die Firma existiert. Stärker verschlüsseln sie nicht, und Browser zeigen den Unterschied heute kaum noch an.
Für private Seiten, Vereine, Blogs und die meisten Firmenseiten reicht das kostenlose Zertifikat. Berechnet ein Hoster für ein einfaches Zertifikat Geld, ist das ein Zeichen für einen veralteten Tarif. Darauf weist auch die Checkliste zur Wahl des Webhosters hin.
HTTPS umstellen in vier Schritten
1. Zertifikat aktivieren
Im Kundenmenü Ihres Hosters gibt es bei der Domain meist einen Schalter für SSL oder Let’s Encrypt. Aktivieren Sie ihn für die Domain und für die Variante mit www. Nach wenigen Minuten ist die Seite unter https:// erreichbar.
2. Weiterleitung einrichten
Jetzt ist Ihre Seite unter zwei Adressen erreichbar, mit und ohne Verschlüsselung. Wer die alte Adresse aufruft, soll automatisch zur sicheren Version geleitet werden. Viele Hoster bieten dafür einen eigenen Schalter an. Bei WordPress stellen Sie außerdem in den Einstellungen die Adresse der Seite auf https:// um.
3. Gemischte Inhalte beheben
Das ist der Schritt, der am häufigsten schiefgeht. Stellen Sie sich vor, Sie verschicken einen Brief im verschlossenen Umschlag und kleben ein Foto außen drauf. Der Brief ist geschützt, das Foto nicht. Genau das passiert, wenn auf Ihrer verschlüsselten Seite ein Bild oder Skript noch über eine alte Adresse mit http:// geladen wird. Der Browser zeigt dann kein vollständiges Schloss. Fachleute nennen das Mixed Content, auf Deutsch gemischte Inhalte.
So finden Sie die Übeltäter: Öffnen Sie die Seite am Computer, klicken Sie mit der rechten Maustaste und wählen Sie „Untersuchen“. Im Reiter „Konsole“ listet der Browser jede Datei auf, die noch über http:// kommt. Ändern Sie diese Adressen in Ihren Texten und Einstellungen auf https://. Bei WordPress ersetzt ein Plugin wie Better Search Replace alle alten Adressen in der Datenbank auf einmal. Machen Sie davor ein Backup.
4. Prüfen und den Ablauf im Blick behalten
Rufen Sie einige Unterseiten auf und klicken Sie auf das Schloss. Dort sehen Sie, wer das Zertifikat ausgestellt hat und bis wann es gilt. Fragen Sie beim Hoster nach, ob die Verlängerung automatisch passiert. Ein abgelaufenes Zertifikat ist schlimmer als keines, weil Browser dann eine ganzseitige Warnung zeigen.
Läuft alles einige Wochen ohne Fehler, können Fortgeschrittene zusätzlich HSTS einschalten. Damit merkt sich der Browser, dass Ihre Seite nur noch verschlüsselt erreichbar ist, und fragt gar nicht mehr über http:// an. Schalten Sie es erst ein, wenn das Zertifikat sicher verlängert wird, denn Browser halten sich je nach Einstellung Monate daran. Was HSTS und SNI genau bedeuten, steht kurz im Webhosting Glossar.
Typische Fehlermeldungen und was sie bedeuten
„Ihre Verbindung ist nicht privat“. Das Zertifikat ist abgelaufen oder passt nicht zur Adresse. Häufig fehlt es für die Variante mit oder ohne www.
Schloss mit Warndreieck. Gemischte Inhalte, siehe Schritt 3.
Endlosschleife beim Aufruf. Zwei Weiterleitungen arbeiten gegeneinander, etwa eine vom Hoster und eine von einem Plugin. Schalten Sie eine davon ab.
Häufige Fragen zum SSL-Zertifikat
Ist ein kostenloses SSL-Zertifikat sicher?
Ja. Die Verschlüsselung ist genauso stark wie bei kostenpflichtigen Zertifikaten. Der Unterschied liegt nur in der Prüfung des Inhabers.
Brauche ich ein SSL-Zertifikat auch für E-Mail?
Ihr Hoster sichert die Verbindung zum Mailserver mit seinem eigenen Zertifikat. Achten Sie im Mailprogramm darauf, dass SSL/TLS oder STARTTLS eingestellt ist. Mehr dazu auf der Seite zur eigenen E-Mail-Adresse.
Wird meine Seite durch HTTPS langsamer?
Nein, nicht spürbar. Moderne Server und Browser verschlüsseln sehr schnell, und neuere Übertragungsverfahren funktionieren ohnehin nur mit HTTPS.
Was passiert mit Links, die noch auf http:// zeigen?
Die Weiterleitung aus Schritt 2 fängt sie ab. Besucher und Suchmaschinen landen automatisch auf der sicheren Adresse.
Muss ich beim Umzug zu einem anderen Hoster ein neues Zertifikat besorgen?
Ja, der neue Hoster stellt eines für Ihre Domain aus. Aktivieren Sie es direkt nach dem Umzug, wie in der Anleitung Website umziehen beschrieben.
In zehn Minuten sicher
Ein SSL-Zertifikat gehört heute zur Grundausstattung. Aktivieren Sie es, richten Sie die Weiterleitung ein und prüfen Sie Ihre Seite auf gemischte Inhalte. Wenn Ihr Tarif das nicht kostenlos anbietet, ist es Zeit für einen Blick auf andere Anbieter.
Verschlüsselung schützt die Daten unterwegs. Gegen ein missglücktes Update, einen Einbruch oder einen falschen Klick hilft sie nicht. Dafür brauchen Sie eine Sicherungskopie, die weit genug zurückreicht.