Das Schloss in der Adressleiste eines Browsers gehört zu den bekanntesten Symbolen im Web. Ein SSL-Zertifikat sorgt dafür, dass es dort erscheint, und es leistet mehr, als die meisten Besucher ahnen. Es entscheidet, ob Daten, die über deine Website gesendet werden, verschlüsselt reisen oder im Klartext, den jeder lesen kann, der die Verbindung abfängt. Wenn du verstehst, wie SSL funktioniert und wo seine Grenzen liegen, schützt du deine Besucher besser.
SSL ist die Technik, die HTTPS möglich macht. Wenn sich der Browser eines Besuchers mit einer Website mit gültigem SSL-Zertifikat verbindet, baut er eine verschlüsselte Verbindung auf, bevor Daten fliessen. Das Schlosssymbol, das Präfix HTTPS in der Adressleiste und das Fehlen einer Browserwarnung "Nicht sicher" entstehen alle dadurch, dass das Zertifikat vorhanden und gültig ist. Warum Sicherheit für deine ganze Website wichtig ist, erfährst du im Artikel Warum Website-Sicherheit wichtig ist.
Was macht ein SSL-Zertifikat eigentlich?
Ein SSL-Zertifikat erfüllt zwei verschiedene Aufgaben gleichzeitig. Es verschlüsselt Daten bei der Übertragung und es bestätigt die Identität der Website.
Verschlüsselung
- Verschlüsselung bedeutet, dass alle Daten zwischen Browser und Server während der Übertragung in eine unlesbare Form verwürfelt werden
- Nur der vorgesehene Empfänger, also der Browser oder der Server, besitzt den Schlüssel, um sie wieder lesbar zu machen
- Ohne Verschlüsselung reisen Formulardaten, Zugangsdaten und Zahlungsdaten als Klartext durch Netzwerke und können gelesen werden, wenn sie abgefangen werden
Authentifizierung
- Ein SSL-Zertifikat wird von einer Zertifizierungsstelle ausgestellt, einer unabhängigen Organisation, die die Identität einer Website prüft, bevor sie das Zertifikat ausstellt
- Diese Prüfung bestätigt, dass die Domain, für die das Zertifikat gilt, von der Organisation kontrolliert wird, die behauptet, ihr zu gehören
- Wenn ein Browser das Zertifikat prüft, bestätigt er zweierlei: dass die Verbindung verschlüsselt ist und dass die Website die ist, die sie vorgibt zu sein, und keine Fälschung
Wie funktioniert die SSL-Verschlüsselung?
Die Verschlüsselung läuft automatisch und unsichtbar ab, sobald sich ein Browser mit einer Website verbindet. Sie besteht aus einer Abfolge von Schritten, die TLS-Handshake heisst. TLS (Transport Layer Security) ist der moderne Name des Protokolls, das ursprünglich SSL hiess.
Der Ablauf der Verbindung
- Der Browser fordert eine sichere Verbindung an, und der Server antwortet, indem er sein SSL-Zertifikat sendet
- Der Browser prüft das Zertifikat bei der Zertifizierungsstelle, die es ausgestellt hat, und bestätigt, dass es gültig und nicht abgelaufen ist
- Beide Seiten einigen sich auf ein Verschlüsselungsverfahren und tauschen Schlüssel aus. So entsteht ein sicherer Kanal
- Alle Daten, die ab diesem Moment übertragen werden, sind für die Dauer der Sitzung verschlüsselt
Was die Verschlüsselung schützt
- Daten aus Kontaktformularen, einschliesslich Namen, E-Mail-Adressen und Nachrichten
- Zugangsdaten, einschliesslich Benutzernamen und Passwörtern
- Zahlungskartendaten und Rechnungsangaben
- Alle anderen Eingaben, die ein Besucher über deine Website absendet
Was SSL nicht schützt
- SSL verschlüsselt Daten bei der Übertragung. Es schützt keine Daten, die nach dem Empfang unsicher auf dem Server gespeichert werden
- Eine Website mit SSL-Zertifikat kann trotzdem gehackt werden, wenn der Server selbst Sicherheitslücken hat
- SSL ist eine Schicht der Website-Sicherheit, keine vollständige Lösung für sich allein
Welche Arten von SSL-Zertifikaten gibt es?
SSL-Zertifikate unterscheiden sich darin, wie gründlich die Zertifizierungsstelle die Identität prüft, bevor sie sie ausstellt.
Domainvalidierung
- Die Zertifizierungsstelle bestätigt nur, dass der Antragsteller die Domain kontrolliert
- Der Vorgang ist automatisiert, und Zertifikate werden schnell ausgestellt
- Zertifikate mit Domainvalidierung reichen für Blogs, Informationswebsites und die meisten Websites, die Zahlungen nicht direkt auf der Seite abwickeln
Organisationsvalidierung
- Die Zertifizierungsstelle prüft sowohl die Domain als auch die rechtliche Existenz der Organisation, die das Zertifikat beantragt
- Zertifikate mit Organisationsvalidierung nutzen eher Unternehmen, die geprüfte Organisationsangaben neben dem Zertifikat anzeigen möchten
Erweiterte Validierung
- Zertifikate mit erweiterter Validierung durchlaufen die gründlichste Identitätsprüfung, einschliesslich rechtlicher, physischer und betrieblicher Prüfungen der Organisation
- Früher waren sie mit einer grünen Adressleiste im Browser verbunden, diese optische Kennzeichnung wurde in modernen Browsern aber entfernt
- Zertifikate mit erweiterter Validierung nutzen in der Regel Finanzinstitute und grosse Onlinehandelsplattformen
Wildcard- und Multi-Domain-Zertifikate
- Ein Wildcard-Zertifikat deckt eine Domain und alle ihre Subdomains mit einem einzigen Zertifikat ab
- Ein Multi-Domain-Zertifikat deckt mehrere getrennte Domains mit einem Zertifikat ab
- Das ist praktisch für Organisationen, die mehrere Websites oder Subdomains verwalten, ohne für jede ein eigenes Zertifikat auszustellen
Brauchen alle Websites ein SSL-Zertifikat?
Ja. Die Notwendigkeit von HTTPS beschränkt sich nicht auf Websites, die Zahlungen annehmen oder sensible Daten verarbeiten. Sie gilt aus drei Gründen für jede öffentlich erreichbare Website.
Browserwarnungen
- Browser zeigen bei jeder Website, die über HTTP ausgeliefert wird, den Hinweis "Nicht sicher" in der Adressleiste an
- Bei Seiten mit Formularen zeigen manche Browser eine deutliche Warnung, bevor ein Besucher etwas absendet
- Diese Warnungen mindern das Vertrauen und halten Besucher davon ab, mit der Seite zu interagieren
Suchranking
- HTTPS ist ein bestätigtes Ranking-Signal. Websites mit HTTPS haben gegenüber gleichwertigen HTTP-Seiten einen Ranking-Vorteil
- Suchmaschinen reduzieren ausserdem die Sichtbarkeit von Websites mit aktiven Sicherheitswarnungen in den Ergebnissen
Schutz der Besucherdaten
- Auch eine Website, die nur ein Kontaktformular hat, erfasst Besucherdaten. Ohne HTTPS werden diese Daten unverschlüsselt übertragen
- In vielen Regionen verlangen Datenschutzvorschriften, dass personenbezogene Daten sicher behandelt werden. Dazu gehört auch der Schutz bei der Übertragung
Wie bekommst du ein SSL-Zertifikat?
Über deinen Hosting-Anbieter
- Viele Hosting-Anbieter enthalten SSL-Zertifikate in ihren Hosting-Paketen
- In diesen Fällen wird das Zertifikat automatisch installiert und erneuert, ohne dass der Website-Inhaber etwas tun muss
- Das ist für die meisten Websites die einfachste Möglichkeit
Über eine Zertifizierungsstelle
- SSL-Zertifikate kannst du direkt bei Zertifizierungsstellen beziehen und manuell auf einem Server installieren
- Kostenlose Zertifikate gibt es bei weithin vertrauten Zertifizierungsstellen. Sie werden mit Prüfwerkzeugen automatisch erneuert
- Diese Möglichkeit erfordert mehr technisches Wissen und ist häufiger bei Entwicklungsteams, die ihre eigenen Server verwalten
Nach dem Erhalt des Zertifikats
- Sobald ein Zertifikat installiert ist, sollten alle internen Links und Dateiverweise auf der Website auf HTTPS-URLs zeigen, um Warnungen vor gemischten Inhalten zu vermeiden
- Eine Weiterleitung von HTTP auf HTTPS sollte eingerichtet werden, damit Besucher, die die HTTP-Version erreichen, automatisch zur sicheren Version geschickt werden
Eine ausführliche Erklärung, was HTTPS bedeutet und wie es Besucher und Rankings beeinflusst, findest du im Artikel Was ist HTTPS und wie schützt es deine Website? Eine vollständige Anleitung, wie du deine Website über das Zertifikat hinaus schützt, findest du im Artikel So schützt du deine Website vor Hackern. Zu Website-Backups als ergänzender Sicherheitsmassnahme siehe den Artikel So sicherst du deine Website per Backup.
So geht WEMASY mit SSL-Zertifikaten um
SSL-Zertifikate sind in jedem WEMASY-Tarif enthalten. Wenn du eine Website auf der WEMASY-Plattform anlegst, wird das Zertifikat automatisch installiert und aktiviert. Alle Seiten werden standardmässig über HTTPS ausgeliefert, ohne dass der Website-Inhaber etwas einrichten muss.
Zertifikate werden automatisch vor dem Ablauf erneuert. Es gibt keine manuelle Verlängerung und kein Risiko, dass das Zertifikat ausläuft und Browserwarnungen auslöst. Die SSL-Infrastruktur im Hintergrund wird auf Plattformebene gepflegt, Website-Inhaber müssen sie nicht selbst verwalten.
Was alles dabei ist, siehst du beim Website-Builder von WEMASY. Die Tarife findest du auf der Preisseite.
Häufig gestellte Fragen
Was ist ein SSL-Zertifikat?
Ein SSL-Zertifikat ist eine digitale Datei auf einem Webserver, die verschlüsselte Verbindungen zwischen dem Server und den Browsern der Besucher ermöglicht. Es erlaubt einer Website, HTTPS statt HTTP zu nutzen. Wenn der Browser eines Besuchers ein gültiges SSL-Zertifikat bestätigt, baut er einen verschlüsselten Kanal auf, damit Daten, die während der Sitzung übertragen werden, nicht gelesen werden können, wenn sie unterwegs abgefangen werden. Mit dem Website-Builder von WEMASY richtest du das direkt auf deiner Website ein.
Brauche ich ein SSL-Zertifikat für meine Website?
Ja. Jede öffentlich erreichbare Website braucht ein SSL-Zertifikat. Browser zeigen auf Websites ohne eines die Warnung "Nicht sicher" an, und HTTPS ist für Suchmaschinen ein bestätigtes Ranking-Signal. Auch eine Website, die nur Kontaktformulare entgegennimmt, überträgt Besucherdaten, die bei der Übertragung geschützt werden sollten. Welche Art von SSL-Zertifikat nötig ist, hängt vom Zweck der Website ab, aber irgendeine Form von Zertifikat braucht jede Website.
Was ist der Unterschied zwischen SSL und TLS?
TLS (Transport Layer Security) ist die moderne, überarbeitete Version des SSL-Protokolls (Secure Sockets Layer). SSL wird seit über zwei Jahrzehnten nicht mehr aktiv genutzt, der Begriff wird aber weiterhin umgangssprachlich für die Technik verwendet, die Webverbindungen sichert. Wer "SSL-Zertifikat" sagt, meint fast immer ein Zertifikat, das TLS nutzt. Das Protokoll, das die Verschlüsselung übernimmt, wurde erneuert, die Zertifikate selbst haben sich in ihrer Anwendung aber kaum verändert.
Was passiert, wenn mein SSL-Zertifikat abläuft?
Wenn ein SSL-Zertifikat abläuft, zeigen Browser Besuchern, die die Website aufrufen wollen, sofort eine Warnung über die ganze Seite an. Die Warnung sagt, dass die Verbindung nicht privat ist, und rät vom Weitergehen ab. Die Website ist damit für alle, die die Warnung sehen und sie nicht umgehen, praktisch nicht erreichbar. Suchmaschinen reduzieren unter Umständen auch die Sichtbarkeit der Website. Zertifikate sollten vor dem Ablauf erneuert werden, was die meisten Hosting-Anbieter und Zertifikatsverwaltungen automatisch erledigen.
Beeinflusst ein SSL-Zertifikat die Leistung der Website?
Der TLS-Handshake, der eine verschlüsselte Verbindung herstellt, kostet beim ersten Verbindungsaufbau etwas Zeit. Auf modernen Servern und Netzwerken liegt dieser Aufwand typischerweise bei Millisekunden und fällt Besuchern nicht auf. HTTP/2, das weit verbreitet ist und HTTPS voraussetzt, kann die Ladeleistung gegenüber HTTP/1.1 verbessern. In der Praxis lädt eine gut eingerichtete HTTPS-Website deshalb oft schneller als ihr HTTP-Gegenstück.
Ist ein kostenloses SSL-Zertifikat so gut wie ein kostenpflichtiges?
Bei der Verschlüsselung bietet ein kostenloses Zertifikat mit Domainvalidierung dasselbe Niveau wie ein kostenpflichtiges Zertifikat mit derselben Prüfstufe. Schlosssymbol und HTTPS-Präfix sehen im Browser genau gleich aus. Kostenpflichtige Zertifikate mit Organisations- oder erweiterter Validierung bieten eine zusätzliche Identitätsprüfung. Das kann für Finanzinstitute oder grosse Onlinehandelsplattformen wichtig sein, bei denen geprüfte Organisationsangaben zählen. Für die meisten Websites reicht ein kostenloses Zertifikat völlig aus.