Was ist ein SSL-Zertifikat? Warum HTTPS Pflicht ist

01Wozu dient ein SSL-Zertifikat?

Bei einer unverschlüsselten Verbindung läuft jede Information zwischen Browser und Server als Klartext durch die dazwischenliegenden Netzwerke. In einem öffentlichen WLAN könnte jemand mit schlechten Absichten die Telefonnummer aus dem Kontaktformular oder das Passwort auf der Anmeldeseite sehen. Ein SSL-Zertifikat verschlüsselt diesen Datenverkehr und macht ihn unlesbar.

Die zweite Aufgabe des Zertifikats ist die Identitätsprüfung. Der Browser prüft anhand des Zertifikats, ob der Server, mit dem er sich verbindet, tatsächlich zu dieser Domain gehört. So wird es für einen gefälschten Server, der sich dazwischenschaltet und als Ihre Website ausgibt, deutlich schwerer.

Das heute eingesetzte Protokoll heißt technisch TLS (Transport Layer Security); SSL ist der Name der älteren Versionen und gilt nicht mehr als sicher. Aus Gewohnheit spricht man in der Branche aber weiterhin vom SSL-Zertifikat.

02Was ist HTTPS und wie funktioniert es?

HTTPS ist die per TLS verschlüsselte Variante des HTTP-Protokolls, über das Webseiten übertragen werden. Verbindet sich ein Besucher mit der Website, führen Browser und Server einen kurzen Handshake durch: Der Server legt sein Zertifikat vor, der Browser prüft, dass es von einer vertrauenswürdigen Zertifizierungsstelle stammt und nicht abgelaufen ist, anschließend erzeugen beide Seiten Schlüssel, die nur für diese Sitzung gelten.

Dieser Vorgang dauert Millisekunden, und dank moderner Protokolle ist der Geschwindigkeitsverlust kaum messbar. Zudem funktionieren schnellere Protokolle wie HTTP/2 und HTTP/3 in Browsern nur über HTTPS – Verschlüsselung macht eine Website also oft schneller statt langsamer. Diese serverseitigen Einstellungen gehen wir im Rahmen der Speed- & Performance-Optimierung gemeinsam an.

03Warum ist HTTPS Pflicht?

Die Warnung »Nicht sicher«

Aktuelle Browser kennzeichnen Seiten ohne HTTPS in der Adressleiste mit dem Hinweis Nicht sicher; bei Seiten mit Formularfeldern fällt die Warnung noch deutlicher aus. Ist das das Erste, was ein Besucher sieht, sinkt die Wahrscheinlichkeit, dass er das Kontaktformular ausfüllt oder eine Bestellung aufgibt.

SEO-Wirkung

Google hat offen erklärt, HTTPS als Signal für das Suchranking zu verwenden. Dieses Signal bestimmt das Ranking nicht allein, aber eine unsichere Website startet bei der Seitenerfahrung mit einem Nachteil. Beim Umstieg auf HTTPS bewahrt die Weiterleitung der alten HTTP-Adressen per 301-Weiterleitung auf die neuen Adressen die erworbene Sichtbarkeit in der Suche; diese Details gehören zu einem SEO-optimierten Webdesign.

Zahlungssicherheit

Jede Seite, auf der Kartendaten eingegeben werden, erfordert eine verschlüsselte Verbindung; der Sicherheitsstandard der Kartenbranche, PCI DSS, schreibt vor, dass Kartendaten über offene Netze nur stark verschlüsselt übertragen werden. Prüfen Sie bei der Wahl eines E-Commerce-Systems, ob das Zertifikat auf allen Seiten gilt und automatisch erneuert wird.

Schutz personenbezogener Daten

Websites, die über Kontakt-, Mitglieds- oder Reservierungsformulare Name, Telefonnummer und E-Mail-Adresse erfassen, verarbeiten personenbezogene Daten. Die Verschlüsselung der Daten bei der Übertragung gehört zu den grundlegenden technischen Maßnahmen, die erwartet werden. Details zu Ihren Pflichten klären Sie anhand der aktuellen Datenschutzvorschriften (in der Türkei KVKK, das türkische Datenschutzgesetz, vergleichbar mit der DSGVO) und mit Ihrer Rechtsberatung.

04Welche SSL-Arten gibt es?

SSL-Arten unterscheiden sich in zwei Dimensionen: wie gründlich der Aussteller Sie prüft und wie viele Domains das Zertifikat abdeckt. Die Verschlüsselungsstärke ist bei allen Typen gleich; der Unterschied liegt in der Prüftiefe und im Umfang.

Zertifikate nach Abdeckung

Früher hoben Browser EV-Zertifikate mit dem Firmennamen in der Adressleiste hervor; in aktuellen Browsern wurde dieser optische Unterschied weitgehend abgeschafft. Deshalb genügt für die meisten Websites ein sauber konfiguriertes DV-Zertifikat.

• Einzelne Domain: nur firmaniz.com und in der Regel die www-Variante.
• Wildcard: in der Form *.firmaniz.com, alle Subdomains derselben Ebene (magaza, panel, blog).
• Multi-Domain (SAN): fasst verschiedene Domains in einem Zertifikat zusammen; praktisch für Unternehmen mit mehreren Marken.

05Kostenlos oder kostenpflichtig?

Gemeinnützige Zertifizierungsstellen wie Let's Encrypt stellen kostenlose DV-Zertifikate aus, die dieselbe Verschlüsselungsstärke bieten wie kostenpflichtige DV-Zertifikate. Sie werden mit kurzer Gültigkeit ausgestellt und lassen sich mit Tools zur automatischen Erneuerung problemlos betreiben. Viele Hosting-Panels und CDN-Dienste richten dieses Zertifikat mit einem Klick ein.

Kostenpflichtige Zertifikate sind sinnvoll bei OV- und EV-Prüfung, bei manchen Anbietern mit Versicherung und Support sowie bei älteren Systemen, in denen Automatisierung nicht möglich ist und ein langes Erneuerungsintervall gebraucht wird. Den Preis bestimmen Prüfart, Anzahl der abgedeckten Domains und die Zertifizierungsstelle.

06Checkliste nach der Einrichtung des Zertifikats

Das Zertifikat einzurichten ist erst die halbe Arbeit. Solange die folgenden Schritte fehlen, kann die Website weiterhin Warnungen anzeigen oder an Sichtbarkeit in der Suche verlieren. Die Schritte der Einrichtung auf dem Server haben wir separat in der Anleitung SSL-Zertifikat einrichten beschrieben.

1. Leiten Sie alle HTTP-Anfragen per dauerhafter (301) Weiterleitung auf HTTPS um.
2. Stellen Sie sicher, dass Bilder, Skripte und Stylesheets auf den Seiten nicht per http:// geladen werden; sonst erscheint eine Warnung zu Mixed Content.
3. Aktualisieren Sie Sitemap, Canonical-Tags und interne Links auf HTTPS-Adressen.
4. Prüfen Sie in der Search Console, ob die HTTPS-Version verifiziert ist.
5. Läuft alles reibungslos, weisen Sie den Browser per HSTS-Header an, sich nur noch per HTTPS mit der Website zu verbinden.
6. Richten Sie eine Benachrichtigung ein, die das Ablaufdatum des Zertifikats überwacht.

07Häufige SSL-Fehler

Bevor Zertifikat und Servereinstellungen geändert werden, sollten Sie eine aktuelle Kopie von Website und Datenbank anlegen; so sind Sie im Fehlerfall in Minuten wieder auf dem alten Stand. Die Methoden finden Sie im Beitrag Backup erstellen. Falls Sie sich für die Zukunft der Verschlüsselung interessieren: Unser Beitrag zur Post-Quanten-Kryptografie erklärt, wie sich TLS in den kommenden Jahren verändern wird.