Was bedeutet „SSL-Zertifikat“?

Ein SSL-Zertifikat ist heute technisch ein TLS-Zertifikat: Es ordnet einen öffentlichen Schlüssel einer Domain zu und ermöglicht dem Browser, den Webserver beim Aufbau einer verschlüsselten HTTPS-Verbindung zu authentifizieren. Der Begriff „SSL“ ist historisch; moderne Websites verwenden TLS für die Transportverschlüsselung.

Die Begriffe erfüllen unterschiedliche Aufgaben: HTTPS bezeichnet die geschützte HTTP-Verbindung, TLS ist das Sicherheitsprotokoll und das Zertifikat dient der Authentifizierung. Ein umgangssprachlich als HTTPS-Zertifikat bezeichnetes Zertifikat verschlüsselt die Verbindung daher nicht allein. Erst das Zusammenspiel aus TLS, Zertifikat und sicherer Serverkonfiguration schützt die übertragenen Daten.

Ein SSL-Zertifikat bestätigt, für welche Domain ein öffentlicher Schlüssel verwendet werden darf. TLS nutzt diese Information, um den Server zu authentifizieren und eine verschlüsselte HTTPS-Verbindung aufzubauen.

Was ist ein SSL-Zertifikat?

Ein SSL-Zertifikat ist eine digital signierte Datei, die einen öffentlichen Schlüssel mit einer Domain und gegebenenfalls mit einer geprüften Organisation verbindet. Öffentlich vertrauenswürdige Zertifikate werden von einer Zertifizierungsstelle ausgestellt, auf Englisch Certificate Authority oder kurz CA.

Zum Schlüsselpaar gehört außerdem ein privater Schlüssel. Der private Schlüssel bleibt geschützt auf dem Server und darf nicht veröffentlicht oder unkontrolliert weitergegeben werden. Wird der private Schlüssel kompromittiert, muss der Betreiber das betroffene SSL-Zertifikat ersetzen und, soweit erforderlich, widerrufen lassen.

Obwohl häufig noch von SSL-Verschlüsselung gesprochen wird, sind SSL 2.0 und SSL 3.0 technisch überholt. Die IETF untersagt in RFC 9325 auch die Aushandlung von TLS 1.0 und TLS 1.1. Sichere Implementierungen müssen mindestens TLS 1.2 unterstützen und sollten TLS 1.3 bevorzugen.

Wie funktioniert ein SSL-Zertifikat bei HTTPS?

Beim Aufbau einer HTTPS-Verbindung prüft der Browser das SSL-Zertifikat und handelt mit dem Webserver kryptografische Sitzungsschlüssel aus. Für Dich als Betreiber ist entscheidend, dass Domain, Gültigkeit, Zertifikatskette und Serverkonfiguration zusammenpassen.

1. Der Browser ruft die HTTPS-Adresse auf. Der Webserver übermittelt sein Serverzertifikat und die benötigten Zwischenzertifikate.
2. Der Browser prüft die Domain. Der aufgerufene Domainname muss im SSL-Zertifikat enthalten sein.
3. Der Browser prüft das Ablaufdatum. Das Zertifikat muss zum Zeitpunkt des Aufrufs gültig sein.
4. Der Browser prüft die Zertifikatskette. Das Serverzertifikat muss über ein oder mehrere Zwischenzertifikate auf ein vertrauenswürdiges Root-Zertifikat zurückgeführt werden können.
5. Browser und Server stellen Sitzungsschlüssel her. TLS authentifiziert den Server mithilfe des Zertifikats und schützt die weitere Datenübertragung mit symmetrischer Verschlüsselung.
6. Die Website wird über HTTPS geladen. Übertragene Inhalte und Formulardaten sind während des Transports gegen einfaches Mitlesen und unbemerkte Veränderungen geschützt.

Die Transportverschlüsselung schützt den Übertragungsweg zwischen Browser und Server. Das SSL-Zertifikat sagt dagegen nichts darüber aus, wie sicher Daten auf dem Server gespeichert, verarbeitet oder an weitere Systeme übertragen werden.

Die Zertifikatskette eines SSL-Zertifikats

Browser vertrauen einem Serverzertifikat normalerweise nicht isoliert. Das Vertrauen entsteht über eine Zertifikatskette aus drei Ebenen:

• Serverzertifikat: Das konkrete SSL-Zertifikat für Deine Domain oder für mehrere eingetragene Domains.
• Zwischenzertifikat: Ein von einer übergeordneten Zertifizierungsstelle signiertes Zertifikat, über das die CA Serverzertifikate ausstellt.
• Root-Zertifikat: Der oberste Vertrauensanker, der im Betriebssystem oder Browser hinterlegt ist.

Der Webserver muss neben dem Serverzertifikat die erforderlichen Zwischenzertifikate korrekt ausliefern. Fehlt ein Zwischenzertifikat, können Browser oder Geräte eine Zertifikatswarnung anzeigen, obwohl das Serverzertifikat selbst gültig ist.

Validierungsarten für SSL-Zertifikate

Domain Validation (DV), Organization Validation (OV) und Extended Validation (EV) bezeichnen unterschiedliche Prüfverfahren der Zertifizierungsstelle. Die Validierungsart bestimmt, welche Angaben vor der Ausstellung eines SSL-Zertifikats geprüft werden. Sie bestimmt nicht automatisch die Stärke der späteren Transportverschlüsselung.

• Domain Validation: Bei der Domainvalidierung weist der Antragsteller nach, dass er die betreffende Domain kontrolliert. Der Nachweis kann beispielsweise über einen DNS-Eintrag oder eine technisch bereitgestellte Prüfdatei erfolgen.
• Organization Validation: Bei der Organization Validation prüft die CA zusätzlich Angaben zur Organisation, etwa den Unternehmensnamen und die Geschäftsadresse.
• Extended Validation: Bei der Extended Validation prüft die CA die rechtliche Identität des Betreibers nach umfangreicheren standardisierten Vorgaben.

Ein kostenpflichtiges OV- oder EV-Zertifikat ist kein allgemeines Qualitätssiegel für eine Website. Ein DV-Zertifikat kann dieselben modernen TLS-Protokolle und Verschlüsselungsverfahren unterstützen wie ein OV- oder EV-Zertifikat. Der Unterschied liegt im Umfang der Identitätsprüfung.

Laufzeit und automatische Erneuerung eines SSL-Zertifikats

Jedes SSL-Zertifikat besitzt ein festes Ablaufdatum. Nach dem Ablauf zeigen Browser eine Sicherheitswarnung oder erschweren den Zugriff. Auch Schnittstellen, Formulare und angebundene Dienste können die Verbindung ablehnen.

Öffentlich vertrauenswürdige TLS-Serverzertifikate dürfen nur begrenzt gültig sein. Nach den Baseline Requirements des CA/Browser Forums beträgt die maximale Laufzeit für Zertifikate, die vom 15. März 2026 bis zum 14. März 2027 ausgestellt werden, 200 Tage. Ab dem 15. März 2027 sinkt die Obergrenze auf 100 Tage und ab dem 15. März 2029 auf 47 Tage.

Let’s Encrypt stellt standardmäßig Zertifikate mit einer Laufzeit von 90 Tagen aus und bietet zusätzlich Zertifikate mit sechs Tagen Laufzeit an. Kurze Laufzeiten begrenzen die Folgen kompromittierter Schlüssel und fördern die automatisierte Zertifikatsverwaltung.

Für eine Unternehmenswebsite sollte die automatische Erneuerung deshalb der Normalfall sein. Zusätzlich braucht das SSL-Zertifikat eine unabhängige Ablaufüberwachung. Die AutomatisierungAutomatisierung ist die Ausführung wiederkehrender Aufgaben und regelbasierter Prozesse durch Software, Systeme oder Maschinen, damit ein Ablauf ohne ständiges manuelles Eingreifen zuverlässig weiterläuft. Der... Klicken und mehr erfahren kann etwa nach einem Hosting-Wechsel, einer geänderten DNS-Konfiguration oder durch fehlende Zugriffsrechte scheitern.

In meiner Arbeit mit KMU ist selten die Ausstellung das eigentliche Problem. Kritisch ist der laufende Betrieb: Das Ablaufdatum wird nicht überwacht, die Erneuerung schlägt fehl oder nach einem Relaunch werden nicht alle Domainvarianten korrekt auf HTTPS weitergeleitet. Bei unserer Webdesign- und Website-Entwicklung behandeln wir die Verwaltung von SSL-Zertifikaten deshalb als wiederkehrenden Betriebsprozess.

Wildcard-Zertifikat und mehrere Domains

Ein Wildcard-Zertifikat deckt mehrere Subdomains einer Domain ab. Ein SSL-Zertifikat für *.beispiel.it kann etwa für shop.beispiel.it und portal.beispiel.it gelten. Die Hauptdomain beispiel.it ist dadurch nicht automatisch eingeschlossen und muss gegebenenfalls zusätzlich eingetragen werden.

Alternativ kann ein Serverzertifikat mehrere konkrete Domainnamen enthalten. Diese Variante eignet sich beispielsweise für eine Hauptdomain, zusätzliche Sprachdomains und ausgewählte Subdomains. Die passende Lösung hängt von der Systemarchitektur, der Zahl der Domains und den Zuständigkeiten für die privaten Schlüssel ab.

Typische Warnungen bei einem SSL-Zertifikat

Eine Browserwarnung beweist nicht automatisch einen Angriff. Die Warnung bedeutet jedoch, dass der Browser die Identität oder Gültigkeit des Webservers nicht zuverlässig bestätigen kann. Du solltest eine solche Meldung daher nicht ignorieren.

• Das SSL-Zertifikat ist abgelaufen: Die automatische Erneuerung ist gescheitert oder das neue Zertifikat wurde nicht aktiviert.
• Der Domainname stimmt nicht: Die aufgerufene Domain ist nicht im Zertifikat enthalten.
• Die Zertifikatskette ist unvollständig: Ein erforderliches Zwischenzertifikat fehlt auf dem Server.
• Die Zertifizierungsstelle ist nicht vertrauenswürdig: Das Root-Zertifikat ist im Browser oder Betriebssystem nicht als Vertrauensanker hinterlegt.
• Das Zertifikat ist noch nicht gültig: Die Gültigkeit beginnt erst später oder die Systemzeit des Geräts ist falsch.
• Der private Schlüssel passt nicht: Zertifikat und privater Schlüssel gehören nach einer fehlerhaften Installation nicht zum selben Schlüsselpaar.

Bei technischen Störungen helfen zusätzlich die Server-Protokolle. Der Beitrag über Server-Logs für KMU erklärt, welche Informationen Webserver erfassen und wie Du Fehler systematisch eingrenzen kannst.

Ein SSL-Zertifikat korrekt in die Website integrieren

Die Installation des Zertifikats ist nur der erste Schritt. Die gesamte Website sollte konsequent über HTTPS erreichbar sein und keine parallelen HTTP-Versionen ausliefern.

• HTTP-Weiterleitung einrichten: Alle HTTP-Aufrufe sollten dauerhaft auf die entsprechende HTTPS-Adresse weitergeleitet werden. Pfade und Parameter müssen erhalten bleiben.
• Domainvarianten prüfen: Das gilt für Domains mit und ohne „www“ sowie für Sprach- und Subdomains.
• Interne Verweise aktualisieren: Navigation, Bilder, Downloads, Skripte und Schnittstellen sollten direkt auf HTTPS-Adressen verweisen.
• Mixed Content beseitigen: Eine HTTPS-Seite sollte keine Bilder, Schriften, Skripte oder Stylesheets unverschlüsselt über HTTP laden.
• Erneuerung überwachen: Automatische Abläufe benötigen Fehlermeldungen, verantwortliche Ansprechpartner und einen dokumentierten Ersatzprozess.
• Änderungen testen: Hosting-Wechsel, DNS-Umstellungen, neue Subdomains und Relaunches können eine funktionierende Zertifikatskonfiguration beeinträchtigen.

Bei gewachsenen Websites hilft eine Bestandsaufnahme aller Domains, Medien und technischen Abhängigkeiten. Eine Website-Inhaltsinventur macht alte HTTP-Ressourcen und übersehene Domainvarianten vor einem Relaunch sichtbar.

Was ein SSL-Zertifikat nicht leistet

HTTPS ist eine notwendige Grundlage moderner Website-Sicherheit, aber kein vollständiges Sicherheitskonzept. Ein gültiges SSL-Zertifikat verhindert weder Schadsoftware noch unsichere Passwörter, veraltete Software, fehlerhafte Zugriffsrechte oder Sicherheitslücken in Erweiterungen und Schnittstellen.

Auch für den Datenschutz ist die Transportverschlüsselung nur eine technische Schutzmaßnahme. HTTPS macht eine Website nicht automatisch datenschutzkonform. Zusätzlich relevant sind unter anderem Datenminimierung, Rechtsgrundlagen, Aufbewahrungsfristen, externe Dienste, Zugriffsregelungen und der Umgang mit personenbezogenen Daten. Der Beitrag über Privacy by Design für KMU erklärt, wie DatenschutzDatenschutz schützt personenbezogene Daten natürlicher Personen vor unrechtmäßiger Verarbeitung, Missbrauch und Kontrollverlust. Datenschutz für KMU bedeutet deshalb: Du entscheidest bewusst, welche Daten Du erhebst,... Klicken und mehr erfahren bereits bei der Systemplanung berücksichtigt wird.

HTTPS schützt Daten während der Übertragung. Website-Sicherheit und Datenschutz müssen zusätzlich die Anwendung, den Server, gespeicherte Daten und organisatorische Prozesse berücksichtigen.

Checkliste für Dein SSL-Zertifikat

• Der Server unterstützt mindestens TLS 1.2 und möglichst TLS 1.3.
• Das SSL-Zertifikat gilt für alle tatsächlich verwendeten Domains.
• Der Server liefert die vollständige Zertifikatskette aus.
• Die automatische Erneuerung ist eingerichtet, getestet und überwacht.
• HTTP-Aufrufe werden dauerhaft auf HTTPS weitergeleitet.
• Interne Links, Bilder, Skripte und Schriftdateien verursachen keinen Mixed ContentContent umfasst alle gezielt veröffentlichten digitalen Inhalte auf Websites, in Shops, in Social-Media-Kanälen, in Newslettern und in anderen digitalen Umgebungen. Wenn Du wissen willst,... Klicken und mehr erfahren.
• Private Schlüssel werden geschützt gespeichert und bei einer Kompromittierung ersetzt.
• Verantwortlichkeiten für Zertifikatswarnungen und Ausfälle sind dokumentiert.

Fragen und Antworten zum SSL-Zertifikat

Was kostet ein SSL-Zertifikat?

Ein DV-Zertifikat kann beispielsweise über Let’s Encrypt kostenlos ausgestellt werden. Kosten können durch Hosting, Einrichtung, Überwachung und Betreuung entstehen. Kostenpflichtige OV- oder EV-Zertifikate umfassen zusätzliche Identitätsprüfungen, bieten aber nicht automatisch eine stärkere Verschlüsselung.

Wie lange ist ein TLS-Zertifikat gültig?

Die Laufzeit hängt von der Zertifizierungsstelle und dem Zertifikatstyp ab und ist durch Branchenregeln begrenzt. Weil die maximal zulässigen Laufzeiten sinken, solltest Du ein SSL-Zertifikat automatisch erneuern und sein Ablaufdatum zusätzlich überwachen.

Was passiert, wenn ein SSL-Zertifikat abläuft?

Browser können eine Sicherheitswarnung anzeigen und den Zugriff erschweren. Schnittstellen, Zahlungsdienste und andere automatisierte Systeme können die Verbindung ablehnen, bis ein gültiges Zertifikat installiert ist.

Brauche ich für jede Subdomain ein eigenes Zertifikat?

Nicht zwingend. Ein Wildcard-Zertifikat kann mehrere Subdomains derselben Domain abdecken. Ein Zertifikat mit mehreren Domainnamen kann stattdessen konkrete Domains zusammenfassen. Die passende Lösung richtet sich nach Deiner technischen Struktur und danach, wer Zugriff auf den privaten Schlüssel haben darf.

Warum braucht meine Website eine HTTP-Weiterleitung?

Die HTTP-Weiterleitung führt unverschlüsselte Aufrufe automatisch auf die entsprechende HTTPS-Adresse. Dadurch vermeidest Du parallele Seitenvarianten und stellst sicher, dass Besucher die geschützte Version der Website aufrufen.

Was bedeutet Mixed Content?

Mixed Content entsteht, wenn eine HTTPS-Seite einzelne Bilder, Schriften, Skripte oder andere Dateien weiterhin über HTTP lädt. Browser können solche Ressourcen blockieren oder Warnungen anzeigen. Deshalb sollten alle Bestandteile der Seite über HTTPS eingebunden werden.

Bedeutet das Schloss-Symbol, dass eine Website vertrauenswürdig ist?

Das Symbol bestätigt eine technisch geschützte Verbindung zur angegebenen Domain. Es bewertet weder die Seriosität des Anbieters noch die Qualität der Inhalte, die Sicherheit der Anwendung oder die Datenschutzkonformität der Website.

Ist ein EV-Zertifikat sicherer als ein DV-Zertifikat?

Ein EV-Zertifikat umfasst eine umfangreichere Identitätsprüfung des Betreibers. Die Verschlüsselungsstärke kann bei DV, OV und EV dennoch identisch sein, wenn dieselben TLS-Protokolle und kryptografischen Verfahren verwendet werden.

Reicht HTTPS für eine sichere und datenschutzkonforme Website?

Nein. HTTPS schützt primär die Datenübertragung zwischen Browser und Server. Eine sichere und datenschutzbewusste Website benötigt zusätzlich gepflegte Software, sichere Zugänge, passende Berechtigungen, Datensparsamkeit und klare organisatorische Prozesse.

Quellen

1. IETF RFC 9325: Recommendations for Secure Use of TLS and DTLS — ietf.org (2022)
2. Baseline Requirements for Publicly-Trusted TLS Server Certificates — cabforum.org (2026)
3. Certificate Lifetime Rationale and Plans — letsencrypt.org (2026)
4. Information for the Public: Types of SSL Certificates — cabforum.org