Sie haben es bestimmt schon gesehen: das kleine Schloss links neben der Internetadresse. Es ist so alltäglich geworden, dass man es kaum noch wahrnimmt, und genau das ist der Punkt. Fehlt es, fällt das sofort negativ auf. Dann zeigt der Browser eine Warnung, die Besucher abschreckt, noch bevor sie Ihre Seite gesehen haben. Dieses Schloss steht für eine verschlüsselte Verbindung, und die ist heute keine Kür mehr, sondern Grundausstattung.
Die beruhigende Nachricht vorweg: Ein SSL-Zertifikat einzurichten ist einfacher und günstiger, als die meisten denken. Über Anbieter wie Let's Encrypt sind solche Zertifikate kostenlos, und die meisten Hoster richten sie auf Knopfdruck ein. In vielen Fällen ist die ganze Sache in einer Viertelstunde erledigt.
Was SSL und HTTPS überhaupt bedeuten
Lassen Sie uns kurz die Begriffe sortieren, ohne im Technikdickicht zu landen. Wenn Daten zwischen dem Browser eines Besuchers und Ihrem Server hin und her wandern, können sie unterwegs grundsätzlich mitgelesen werden, etwa in einem offenen WLAN. SSL, genauer gesagt sein Nachfolger TLS, verschlüsselt diese Verbindung, sodass nur Sender und Empfänger den Inhalt verstehen.
HTTPS ist nichts anderes als die verschlüsselte Variante von HTTP, dem Protokoll, über das Webseiten ausgeliefert werden. Das s am Ende steht für sicher. Damit das funktioniert, braucht Ihr Server ein SSL-Zertifikat, das seine Echtheit bestätigt und die Verschlüsselung ermöglicht. Sie können sich das wie einen versiegelten Briefumschlag vorstellen: Ohne Verschlüsselung verschicken Sie eine offene Postkarte, mit Verschlüsselung einen verschlossenen Brief.
Warum HTTPS heute Pflicht ist
Es gibt drei handfeste Gründe, warum keine Seite mehr ohne auskommt. Erstens schützt die Verschlüsselung die Daten Ihrer Besucher, besonders bei Formularen, Anmeldungen oder Zahlungen. Zweitens warnen alle modernen Browser inzwischen aktiv vor unverschlüsselten Seiten, gerade wenn dort Daten eingegeben werden sollen. Eine solche Warnung ist Gift für das Vertrauen. Drittens bevorzugt Google verschlüsselte Seiten, HTTPS ist ein Ranking-Faktor.
Dazu kommt der Datenschutz. Eine unverschlüsselte Übertragung personenbezogener Daten ist heute kaum noch vertretbar. Spätestens wenn Ihre Seite ein Kontaktformular hat, über das Menschen ihren Namen und ihre Adresse schicken, gehört die Verschlüsselung zur Pflicht. Es gibt also schlicht keinen guten Grund mehr, darauf zu verzichten.
Das Zertifikat besorgen
Für die allermeisten Websites ist ein kostenloses Zertifikat von Let's Encrypt vollkommen ausreichend. Diese gemeinnützige Initiative stellt Zertifikate bereit, die von allen gängigen Browsern anerkannt werden. Sie sind technisch genauso sicher wie kostenpflichtige Varianten, der Unterschied liegt vor allem in zusätzlichen Garantien und Prüfungen, die nur große Organisationen brauchen.
Der einfachste Weg führt über Ihren Hoster. Die meisten bieten in ihrem Kundenbereich eine Funktion, um ein kostenloses Zertifikat mit einem Klick zu aktivieren, oft heißt das schlicht SSL aktivieren. Viele richten es sogar automatisch für jede neue Domain ein. Nur in selteneren Fällen, etwa bei einem eigenen Server, müssen Sie selbst Hand anlegen. Prüfen Sie also zuerst, ob Ihr Hoster Ihnen die Arbeit nicht ohnehin abnimmt.
Einrichten Schritt für Schritt
- Im Hosting-Panel nach SSL suchen: Loggen Sie sich beim Hoster ein und suchen Sie den Bereich für SSL oder Sicherheit. Oft gibt es dort einen Schalter, um ein kostenloses Zertifikat zu aktivieren.
- Zertifikat aktivieren: Wählen Sie die Domain aus und aktivieren Sie das Zertifikat. Die Ausstellung dauert meist nur wenige Minuten, manchmal etwas länger.
- Erreichbarkeit über HTTPS testen: Rufen Sie Ihre Seite mit vorangestelltem https auf. Erscheint das Schloss ohne Warnung, ist das Zertifikat aktiv.
- Automatische Verlängerung sicherstellen: Let's-Encrypt-Zertifikate gelten nur 90 Tage und müssen verlängert werden. Bei den meisten Hostern passiert das automatisch. Vergewissern Sie sich, dass das eingestellt ist.
Tipp: Wenn Sie das Zertifikat selbst über Let's Encrypt verwalten, achten Sie unbedingt auf die automatische Verlängerung. Ein abgelaufenes Zertifikat löst dieselbe abschreckende Browser-Warnung aus wie gar keines.
Die Seite vollständig auf HTTPS umstellen
Mit dem aktiven Zertifikat ist die halbe Arbeit getan. Jetzt muss die Seite auch konsequent über HTTPS laufen. Dazu gehört, dass Aufrufe der alten, unverschlüsselten Adresse automatisch auf die verschlüsselte umgeleitet werden. Diese Weiterleitung richtet man in der zentralen Konfigurationsdatei des Servers ein oder, bei WordPress, über eine Einstellung beziehungsweise ein kleines Plugin.
Stellen Sie außerdem in den Grundeinstellungen Ihres Systems die Adresse auf die https-Variante um. Bei WordPress finden Sie das in den allgemeinen Einstellungen, wo die Adresse der Website hinterlegt ist. Wichtig ist, dass intern alles auf die verschlüsselte Adresse zeigt, damit es keine Brüche gibt. Nach der Umstellung sollten Besucher gar nicht mehr auf der unverschlüsselten Version landen können.
Gemischte Inhalte beheben
Ein häufiges Ärgernis nach der Umstellung sind sogenannte gemischte Inhalte. Das passiert, wenn die Seite selbst zwar über HTTPS läuft, einzelne Elemente wie Bilder, Schriften oder Skripte aber noch über die alte, unverschlüsselte Adresse eingebunden sind. Der Browser bemängelt das, weil die Verbindung dann nicht durchgängig sicher ist, und zeigt das Schloss nicht mehr vollständig an.
Solche Stellen findet man, indem man in den Entwicklerwerkzeugen des Browsers nach entsprechenden Warnungen schaut. Bei WordPress hilft oft ein Suchen-und-Ersetzen in der Datenbank, das alle alten http-Adressen durch die neuen https-Adressen tauscht. Hier ist ein Backup vor der Aktion ratsam, weil man dabei tief in die Daten eingreift. Sind alle Elemente umgestellt, erscheint das Schloss wieder sauber, und die Verbindung ist durchgängig verschlüsselt.
Welche Zertifikatsart Sie brauchen
Zertifikat ist nicht gleich Zertifikat, auch wenn der Unterschied für die meisten kleiner ist, als die Auswahl vermuten lässt. Man unterscheidet grob drei Stufen. Die einfachste prüft nur, ob Sie die Domain kontrollieren, und genau das genügt für die allermeisten Websites völlig. Diese Variante stellt auch Let's Encrypt kostenlos aus.
Die nächsten Stufen prüfen zusätzlich die Existenz einer Organisation oder gehen mit einer erweiterten Validierung noch weiter. Solche Zertifikate sind kostenpflichtig und vor allem für große Unternehmen, Banken oder Shops mit hohem Schutzbedarf gedacht. Für eine normale Geschäfts- oder Vereinsseite, einen Blog oder eine Visitenkartenseite bringt diese zusätzliche Prüfung im Alltag keinen sichtbaren Vorteil. Verschwenden Sie also kein Geld an aufwendige Zertifikate, wenn die kostenlose Variante Ihren Zweck genauso gut erfüllt. Im Zweifel ist die einfache, kostenlose Stufe die richtige Wahl, und Sie können später immer noch wechseln.
Wenn Sie es besonders gründlich machen wollen, gibt es noch eine Einstellung namens HSTS. Vereinfacht gesagt weist sie Browser an, Ihre Seite künftig nur noch verschlüsselt aufzurufen, selbst wenn jemand die unverschlüsselte Adresse eintippt. Das ist ein sinnvoller Zusatzschutz, sollte aber erst aktiviert werden, wenn HTTPS zuverlässig und vollständig läuft, denn die Einstellung lässt sich nicht ohne Weiteres schnell zurücknehmen.
Die SSL-Checkliste
- Ein gültiges Zertifikat ist aktiv, das Schloss erscheint ohne Warnung
- Die automatische Verlängerung des Zertifikats ist sichergestellt
- Aufrufe der unverschlüsselten Adresse werden auf HTTPS umgeleitet
- Die Adresse der Website ist in den Einstellungen auf https gesetzt
- Es gibt keine gemischten Inhalte mehr
- Formulare und Anmeldungen laufen verschlüsselt
Mit diesen Punkten ist Ihre Seite sauber verschlüsselt, und das Schloss steht da, wo es hingehört. Es ist eine dieser Aufgaben, die man einmal richtig macht und dann lange nicht mehr anfassen muss, vorausgesetzt, die automatische Verlängerung läuft. Der Aufwand ist gering, der Gewinn an Vertrauen und Sicherheit erheblich.
Passend dazu könnten Sie diese Ratgeber interessieren: HTTP-Fehlercodes, Website absichern und DSGVO-Grundlagen.
Häufige Fragen
Für die allermeisten Websites nicht. Let's Encrypt stellt anerkannte Zertifikate kostenlos bereit, und viele Hoster bauen das direkt in ihre Tarife ein. Kostenpflichtige Zertifikate lohnen sich nur in Sonderfällen, etwa wenn eine große Organisation zusätzliche Prüfungen und Garantien braucht.
Diese Warnung erscheint, wenn eine Seite ohne gültige Verschlüsselung ausgeliefert wird. Der Browser kann dann nicht garantieren, dass die Verbindung nicht mitgelesen oder manipuliert wird. Für Besucher wirkt das abschreckend, deshalb sollte man die Ursache zügig beheben.
Bei sauberer Umstellung mit dauerhaften Weiterleitungen nicht. Im Gegenteil, Google bevorzugt verschlüsselte Seiten. Wichtig ist, dass jede alte Adresse korrekt auf die neue verweist, damit weder Besucher noch Suchmaschine ins Leere laufen.
Dann zeigt der Browser eine Warnung, und die Seite wirkt unsicher. Meist liegt es daran, dass die automatische Verlängerung nicht funktioniert hat. Prüfen Sie im Hosting-Panel, ob sich das Zertifikat neu ausstellen lässt, und stellen Sie sicher, dass die Verlängerung künftig automatisch läuft.