1. Einführung: das Schloss in der Adresszeile
Ein kleines Schloss-Symbol links neben Ihrer Internetadresse entscheidet darüber, ob Besucher bleiben oder sofort wieder abspringen. Fehlt es, blendet der Browser groß „Nicht sicher“ ein, noch bevor jemand Ihre Startseite gelesen hat. Genau dieses Schloss steht für ein gültiges SSL Zertifikat. Es verschlüsselt jede Verbindung zwischen Browser und Webserver und macht aus einer offenen Postkarte einen versiegelten Brief.
Auf einen Blick:
- Let’s Encrypt sichert mit kostenlosen Zertifikaten mehr als 700 Millionen Websites (Let’s Encrypt / ISRG).
- Ein Let’s-Encrypt-Zertifikat ist standardmäßig 90 Tage gültig und verlängert sich automatisch (Let’s Encrypt).
- Die DSGVO nennt in Artikel 32 ausdrücklich die Verschlüsselung personenbezogener Daten als geeignete Schutzmaßnahme (DSGVO, Art. 32).
- Google nutzt HTTPS seit 2014 als leichtes Ranking-Signal (Google Search Central).
- Kostenlose und kostenpflichtige Zertifikate verschlüsseln technisch gleich stark; der Unterschied liegt in der Validierung.
Ein SSL Zertifikat ist eine kleine Datendatei, die einen kryptografischen Schlüssel an die Identität einer Website bindet und so eine verschlüsselte Verbindung zwischen Browser und Webserver herstellt. Erkennbar wird das am Schloss-Symbol in der Adresszeile und am Protokoll https. Ohne gültiges SSL Zertifikat warnen moderne Browser vor der Seite und schrecken Besucher ab.
Es gibt einen Grund, warum Sie nach diesem Thema gesucht haben: Vielleicht steht eine Umstellung auf https an, vielleicht hat Ihr Hoster ein Zertifikat angeboten, das Geld kostet. Dieser Ratgeber ordnet das ein, ohne Fachchinesisch. Wenn Sie die Umstellung lieber abgeben möchten, übernimmt das unser Team für professionelles Webdesign in Göttingen komplett für Sie.
2. Warum ein SSL Zertifikat heute Pflicht ist
Vier Gründe machen das SSL-Zertifikat von der Kür zur Pflicht.
Der erste ist sichtbar: Moderne Browser markieren jede Seite ohne Verschlüsselung als „Nicht sicher“. Diese Warnung sehen Ihre Kunden, bevor sie ein Wort gelesen haben.
Der zweite Grund ist rechtlich. Sobald Sie ein Kontaktformular betreiben, verarbeiten Sie personenbezogene Daten. Die DSGVO nennt in Artikel 32 als erste technische Maßnahme „die Pseudonymisierung und Verschlüsselung personenbezogener Daten“. Eine verschlüsselte Verbindung ist damit faktisch Standard.
Der dritte Grund ist Sichtbarkeit. Google nutzt HTTPS seit 2014 als Ranking-Signal. Es ist ein leichtes Signal, das weniger als ein Prozent der Suchanfragen beeinflusst, doch es wirkt zusammen mit unserer Suchmaschinenoptimierung in die richtige Richtung.
Der vierte Grund ist Vertrauen. Kennen Sie das Gefühl, wenn eine Seite Sie warnt? Sie schließen den Tab. Genau so geht es Ihren potenziellen Kunden mit einer unverschlüsselten Seite. Wie Sie die IT-Sicherheit in Ihrem Unternehmen insgesamt aufstellen, zeigen wir in dieser Praxis-Checkliste.
3. Wie ein SSL Zertifikat funktioniert
Stellen wir uns die Verschlüsselung als versiegelten Brief vor. Ohne SSL reisen Ihre Daten wie eine Postkarte durchs Netz, jeder auf dem Weg kann mitlesen. Mit SSL liegt alles in einem Umschlag, den nur der richtige Empfänger öffnet.
Technisch arbeitet ein SSL-Zertifikat mit einem Schlüsselpaar. Der öffentliche Schlüssel verschlüsselt die Daten, der dazu passende private Schlüssel auf dem Webserver entschlüsselt sie wieder. So werden sensible Angaben wie ein Passwort oder Zahlungsdaten unlesbar übertragen. SSL steht dabei für „Secure Sockets Layer“ und wurde längst vom moderneren Protokoll TLS, der Transport Layer Security, abgelöst. Beide Begriffe werden bis heute synonym verwendet.
Die Identität dahinter beglaubigt eine Zertifizierungsstelle, englisch Certificate Authority. Sie ist wie eine Ausweisbehörde: Sie prüft, wem eine Domain gehört, und stellt erst dann das digitale Zertifikat aus. Browser und Betriebssysteme führen eine Liste vertrauenswürdiger Zertifizierungsstellen und vertrauen nur deren Zertifikaten. Was sonst noch zu einem Domain-Setup ohne Fehler gehört, lesen Sie im eigenen Beitrag.
Mozilla bringt es in seiner Entwicklerdokumentation auf den Punkt: „Sowohl TLS als auch SSL sind Client-Server-Protokolle, die die Vertraulichkeit der Kommunikation gewährleisten, indem sie kryptografische Protokolle nutzen, um Sicherheit über ein Netzwerk zu bieten“ (Original: „Both TLS and SSL are client / server protocols that ensure communication privacy by using cryptographic protocols to provide security over a network“, Mozilla MDN).
4. Diese Zertifikatstypen gibt es
SSL-Zertifikate unterscheiden sich nicht in der Verschlüsselungsstärke, sondern darin, wie streng der Aussteller die Identität prüft. Es gibt drei Validierungsstufen.
- DV (Domain Validation): Geprüft wird nur, ob Ihnen die Domain gehört. Schnell, oft kostenlos, ideal für Blogs und kleine Firmenseiten.
- OV (Organization Validation): Hier prüft die Zertifizierungsstelle zusätzlich Ihr Unternehmen. Passend für seriöse Geschäftsauftritte.
- EV (Extended Validation): Die strengste Prüfung, früher mit grüner Adresszeile. Üblich bei Banken und großen Shops.
Daneben zählt, wie viele Domains ein Zertifikat absichert. Ein Einzelzertifikat schützt eine Domain. Ein Wildcard-Zertifikat deckt eine Hauptdomain samt aller Subdomains ab. Multidomain-Zertifikate bündeln mehrere getrennte Domains in einem Zertifikat.
| Typ | Prüfung | Kosten | Passt für |
| DV | nur Domain | oft kostenlos | Blog, kleine Firmenseite |
| OV | Domain + Unternehmen | kostenpflichtig | Geschäftsauftritt |
| EV | strenge Identitätsprüfung | kostenpflichtig | Bank, großer Shop |
HTTPS-Umstellung ohne Mixed-Content-Stress
- Zertifikat einrichten und automatisch verlängern
- Saubere 301-Weiterleitungen von http auf https
- Mixed-Content-Fehler aufspüren und beheben
- Fester Ansprechpartner aus Göttingen
5. Kostenlos oder kostenpflichtig: Let’s Encrypt im Vergleich
Hier sitzt die wichtigste Entscheidung.
Und die gute Nachricht zuerst: Für die meisten kleinen und mittleren Websites reicht ein kostenloses SSL-Zertifikat vollkommen aus.
Der bekannteste Anbieter ist Let’s Encrypt. Auf der eigenen Seite beschreibt sich das Projekt so: „Let’s Encrypt ist eine gratis, automatisierte, und offene Zertifizierungsstelle“ (Let’s Encrypt). Inzwischen sichert die gemeinnützige Initiative mehr als 700 Millionen Websites ab. Die Zertifikate sind 90 Tage gültig und erneuern sich beim Hoster automatisch, sodass kein gültiges SSL-Zertifikat ausläuft.
Warum zahlt dann überhaupt jemand? Der Unterschied liegt nicht in der Verschlüsselung, denn ein kostenloses und ein kostenpflichtiges Zertifikat verschlüsseln gleich stark. Bezahlt wird für die strengere Validierung (OV und EV), für eine Haftungsgarantie und für direkten Support.
Kostenpflichtige SSL-Zertifikate lohnen sich also dort, wo die geprüfte Identität ein echtes Verkaufsargument ist: bei einem großen Onlineshop, einer Bank oder einer Plattform mit besonders sensiblen Daten. Für die klassische Firmen- oder Vereinsseite ist ein kostenloses DV-Zertifikat die richtige Wahl.
6. SSL einrichten und Mixed Content vermeiden
Ein SSL-Zertifikat zu aktivieren ist heute meist ein Klick im Hosting-Menü. Die eigentliche Arbeit beginnt danach. In über 15 Jahren und zahlreichen HTTPS-Umstellungen sehen wir bei Kreativschock immer wieder denselben Stolperstein: das Schloss bleibt grau, obwohl das Zertifikat aktiv ist.
Die Ursache heißt Mixed Content. Die Seite lädt über https, einzelne Bilder oder Skripte aber noch über das alte http. Das ist wie eine Panzertür mit einem offenen Kellerfenster daneben. Der Browser stuft die ganze Seite herab und zeigt kein sicheres Schloss mehr an.
- Zertifikat aktivieren: Im Hosting-Panel SSL für Ihre Domain und alle Subdomains einschalten.
- Intern auf https umstellen: Alle internen Verweise, Bilder und Skripte von http auf https ändern.
- Weiterleitungen setzen: Per 301-Redirect jede http-Adresse dauerhaft auf die https-Version leiten.
- Ergebnis prüfen: Mit den Entwicklertools des Browsers Mixed-Content-Warnungen suchen und das Schloss kontrollieren.
Wann haben Sie zuletzt geprüft, ob wirklich jede Unterseite das Schloss zeigt? Genau das ist der Punkt: Eine einzige vergessene Bilddatei reicht, damit die Warnung zurückkehrt. Wer hier gründlich arbeitet, hat Ruhe.
7. Fazit
Ein SSL Zertifikat ist kein Luxus, sondern die Grundausstattung jeder Website.
Es verschlüsselt Daten, erfüllt eine rechtliche Erwartung und schafft das Vertrauen, ohne das niemand ein Formular ausfüllt.
Für die meisten Seiten genügt ein kostenloses Zertifikat, kostenpflichtig wird es erst bei hohem Vertrauensbedarf. Entscheidend ist die saubere Einrichtung ohne Mixed Content.
Das Ziel ist ein konkretes Bild: Sie öffnen Ihre Seite, das Schloss in der Adresszeile ist geschlossen, jede Unterseite lädt über https, und keine Warnung steht mehr zwischen Ihnen und Ihren Besuchern. Die Anfragen über das Kontaktformular kommen wieder an, weil niemand vorher abspringt. Dieses ruhige, sichere Gefühl ist der eigentliche Wert eines gültigen SSL-Zertifikats.
8. Anhang: Ihre SSL-Checkliste
- Gültiges SSL-Zertifikat für die Domain aktiv (Schloss-Symbol sichtbar)
- Auch alle Subdomains durch das Zertifikat abgedeckt
- Automatische Verlängerung beim Hoster eingerichtet
- 301-Weiterleitung von http auf https für jede Adresse
- Kein Mixed Content: alle Bilder und Skripte über https geladen
- Eine neue Website von Anfang an verschlüsselt aufsetzen lassen, etwa als neue Homepage erstellen lassen
Kontakt aufnehmen
Sie möchten Ihre Website sicher auf https umstellen oder ein neues Zertifikat einrichten lassen? Schreiben Sie uns, wir melden uns innerhalb von 24 Stunden:
Häufige Fragen zum SSL Zertifikat
Disclaimer: Alle genannten Angaben zu Zertifikaten, Gültigkeitsdauern und Kosten sind Erfahrungswerte und können je nach Anbieter und Hosting abweichen. Dieser Beitrag ersetzt keine fachjuristische Beratung; rechtliche Anforderungen prüfen Sie im Zweifel mit Ihrer Rechtsberatung.
