Was ist ein SSL-Zertifikat? Einfach erklärt

Wie funktioniert SSL?

Ruft ein Besucher https://ihre-firma.de auf, findet vor dem Laden der Seite ein kurzer Handshake statt:

1. Der Browser verbindet sich mit dem Server und nennt die Verschlüsselungsverfahren, die er unterstützt.
2. Der Server schickt sein SSL-Zertifikat. Es enthält Domainnamen, Gültigkeitszeitraum, den öffentlichen Schlüssel des Servers und die ausstellende Zertifizierungsstelle.
3. Der Browser prüft das Zertifikat: Stammt die Signatur von einer vertrauenswürdigen Stelle, ist es abgelaufen, deckt es diese Domain ab?
4. Passt alles, einigen sich Browser und Server auf einen Sitzungsschlüssel, der nur für diese Verbindung gilt.
5. Alle weiteren Daten werden mit diesem Schlüssel verschlüsselt.

Mit TLS 1.3 ist der Handshake nach einem einzigen Hin und Zurück erledigt; Besucher merken davon nichts.

SSL oder TLS?

SSL (Secure Sockets Layer) war das erste Verschlüsselungsprotokoll für das Web und entstand in den 1990er-Jahren. Alle SSL-Versionen hatten gravierende Schwächen, deshalb wurde SSL durch TLS (Transport Layer Security) ersetzt. HTTPS-Verbindungen nutzen heute TLS 1.2 oder TLS 1.3; SSL 3.0 sowie TLS 1.0 und 1.1 unterstützen Browser nicht mehr.

Technisch verwenden wir also TLS. Der Begriff „SSL-Zertifikat“ hat sich aber gehalten, und Anbieter, Control Panels und Nutzer verwenden ihn weiter. Gemeint ist in beiden Fällen dasselbe Zertifikat.

Arten von SSL-Zertifikaten

Je nachdem, was die Zertifizierungsstelle prüft, gibt es drei Arten:

Entscheidend ist: Alle drei verschlüsseln gleich stark. Sie unterscheiden sich darin, wie gründlich die Identität im Zertifikat geprüft wird. Browser heben EV-Zertifikate in der Adresszeile nicht mehr besonders hervor, für die allermeisten Websites reicht daher ein DV-Zertifikat.

Außerdem unterscheiden sich Zertifikate darin, was sie abdecken:

• Einzelne Domain: nur ihre-firma.de, meist zusammen mit www.ihre-firma.de.
• Wildcard: alle Subdomains einer Domain, etwa *.ihre-firma.de.
• SAN / Multi-Domain: mehrere verschiedene Domains in einem Zertifikat.

Reicht ein kostenloses SSL-Zertifikat?

Für die meisten Websites ja. Let's Encrypt ist eine gemeinnützige Zertifizierungsstelle, die kostenlose DV-Zertifikate automatisch ausstellt. Sie verschlüsseln genauso wie kostenpflichtige DV-Zertifikate und funktionieren in allen Browsern. Control Panels wie cPanel und DirectAdmin installieren kostenlose Zertifikate automatisch und verlängern sie vor dem Ablauf.

Ein kostenpflichtiges Zertifikat lohnt sich meist, wenn ein Vertrag oder eine Vorschrift verlangt, dass Ihre Unternehmensdaten im Zertifikat geprüft sind, wenn Ihnen Garantie oder Support des Anbieters wichtig sind oder wenn Sie ein System nutzen, das Zertifikate nicht automatisch verlängern kann.

Die Laufzeiten werden kürzer

Die maximale Laufzeit öffentlicher SSL-Zertifikate legen Browserhersteller und Zertifizierungsstellen gemeinsam fest. Seit dem 15. März 2026 ist sie von 398 auf 200 Tage gesunken, und in den nächsten Jahren wird sie schrittweise weiter verkürzt. Zertifikate von Let's Encrypt laufen ohnehin nur 90 Tage. Zertifikate von Hand zu verlängern ist damit nicht mehr praktikabel; nutzen Sie Hosting oder eine Servereinrichtung mit automatischer Verlängerung.

So richten Sie ein SSL-Zertifikat ein

Im Webhosting:

1. Stellen Sie sicher, dass die DNS-Einträge Ihrer Domain auf den Hosting-Server zeigen. Die Zertifizierungsstelle muss Ihren Server erreichen, um die Domain zu prüfen.
2. Aktivieren Sie das kostenlose Zertifikat in cPanel unter SSL/TLS Status oder in DirectAdmin unter SSL Certificates. Meist geschieht das sogar automatisch.
3. Rufen Sie die Website mit https:// auf und prüfen Sie das Schloss-Symbol.

Auf dem eigenen vServer: Mit Nginx oder Apache holen Sie mit dem Werkzeug Certbot per Befehl ein Let's-Encrypt-Zertifikat und richten die automatische Verlängerung ein:

sudo certbot --nginx -d ihre-firma.de -d www.ihre-firma.de

Certbot holt das Zertifikat, passt die Webserver-Konfiguration an und legt einen Timer für die Verlängerung an.

Nach der Einrichtung

• HTTP auf HTTPS umleiten. Wer über http:// kommt, sollte automatisch auf https:// landen. In Control Panels gibt es dafür meist eine einzige Einstellung wie „Force HTTPS“.
• Gemischte Inhalte beseitigen. Laden Bilder, Skripte oder Stylesheets noch über http://, warnt der Browser oder blockiert sie. In WordPress löst die Umstellung der Website-Adresse auf https:// die meisten Fälle.
• www und ohne www prüfen. Das Zertifikat sollte beide Adressen abdecken, und eine sollte auf die andere umleiten.
• Ablaufdatum überwachen. Auch mit automatischer Verlängerung kann die Erneuerung scheitern, etwa nach einer DNS-Änderung. Ein Monitoring-Werkzeug warnt Sie rechtzeitig.

Häufige SSL-Fehler

• „Dies ist keine sichere Verbindung“ (NET::ERR_CERT_DATE_INVALID): Das Zertifikat ist abgelaufen, oder die Uhr auf dem Rechner des Besuchers geht falsch.
• „NET::ERR_CERT_COMMON_NAME_INVALID“: Das Zertifikat deckt die aufgerufene Domain nicht ab, etwa wenn es für ihre-firma.de ausgestellt wurde, die Seite aber unter www.ihre-firma.de aufgerufen wird.
• Warnsymbol statt Schloss: Die Seite enthält gemischte Inhalte.
• Unvollständige Zertifikatskette: Manche Geräte finden das Zwischenzertifikat nicht. Installieren Sie bei der Einrichtung die vollständige Kette (Fullchain).

SSL ist nur ein Baustein der Sicherheit Ihrer Website. Wie Sie Ihre E-Mails gegen Fälschungen schützen, lesen Sie in SPF, DKIM und DMARC einrichten; wie Sie Ihren Server vor Angriffen schützen, in Was ist ein DDoS-Angriff?

Jeder Tarif im Webhosting von Nodesty enthält ein kostenloses SSL-Zertifikat. Sobald Ihre Domain auf das Hosting zeigt, aktivieren Sie es in cPanel oder DirectAdmin und liefern Ihre Website über HTTPS aus.