Website · 10 Min. Lesezeit
Was ist ein SSL-Zertifikat? Ratgeber zu Website-Sicherheit und Umstieg auf HTTPS
Eine Warnung „Nicht sicher“ in der Adressleiste reicht einem Besucher als Grund, Ihre Website zu verlassen. SSL behebt das, aber bei Website-Sicherheit geht es um mehr als ein Zertifikat.
Kurz gesagt
- Ein SSL-Zertifikat ist ein digitales Dokument, das die Verbindung zwischen Browser des Besuchers und Website verschlüsselt und bestätigt, dass die Website zu dieser Domain gehört; das heute verwendete Protokoll heißt TLS.
- HTTPS ist eine mit SSL/TLS verschlüsselte HTTP-Verbindung; Browser zeigen auf Seiten ohne HTTPS die Warnung „Nicht sicher“ an.
- Für Websites kleiner Unternehmen reicht ein domainvalidiertes (DV) Zertifikat; entscheidend ist, dass es automatisch und rechtzeitig erneuert wird.
- Website-Sicherheit braucht neben HTTPS starke Passwörter und Zwei-Faktor-Authentifizierung, begrenzte Berechtigungen, Formularschutz und regelmäßige Backups.
- In Heyşirket werden SSL-Zertifikate für Ihre Subdomain und Ihre eigene verbundene Domain ohne Aufpreis automatisch eingerichtet und erneuert.
Ein Kunde besucht Ihre Website und sieht in der Adressleiste „Nicht sicher“. Er überlegt es sich zweimal, bevor er seine Telefonnummer in Ihr Kontaktformular tippt, und schließt oft einfach den Tab. Dabei ist das Problem nicht groß: Die Website wird nicht über HTTPS ausgeliefert.
In diesem Artikel erklären wir in einfachen Worten, was ein SSL-Zertifikat ist, worin sich HTTP und HTTPS unterscheiden, wie Sie auf HTTPS umsteigen und welcher Zertifikatstyp für Sie reicht. Danach gehen wir über das Zertifikat hinaus und listen auf, was ein kleines Unternehmen für die Website-Sicherheit prüfen sollte.
Teil 1 · Definition Was ist ein SSL-Zertifikat?
Ein SSL-Zertifikat ist ein digitales Dokument, das die Identität einer Website bestätigt und zur Verschlüsselung der Verbindung zwischen Besucher und Website dient. Es wird von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt. Beim Verbindungsaufbau prüft der Browser das Zertifikat; ist es gültig, wird die Verbindung verschlüsselt.
Obwohl sich der Name SSL gehalten hat, ist das heute verwendete Protokoll TLS. Alte SSL-Versionen wurden vor Jahren wegen Sicherheitslücken abgeschaltet. „SSL-Zertifikat“ meint eigentlich das Zertifikat, das für TLS verwendet wird.
Was bringt Verschlüsselung? Wenn ein Besucher Namen, Telefonnummer oder eine Nachricht in Ihr Formular tippt, läuft diese Information über viele Punkte im Internet. Ohne Verschlüsselung könnte jemand dazwischen, zum Beispiel in einem offenen Café-WLAN, sie lesen oder den Inhalt der Seite verändern. HTTPS verhindert das.
Teil 2 · Unterschied Was ist der Unterschied zwischen HTTP und HTTPS?
| HTTP | HTTPS | |
|---|---|---|
| Verbindung | Unverschlüsselt, Klartext | Mit TLS verschlüsselt |
| Im Browser | Warnung „Nicht sicher“ | Keine Warnung, Zertifikat in den Verbindungsdetails |
| Formulardaten | Bei der Übertragung lesbar | Bei der Übertragung nicht lesbar |
| Suchmaschinen | Google zählt HTTPS zur Seitenerfahrung | Die bevorzugte Version |
| Moderne Funktionen | Viele Browserfunktionen wie Standort und Kamera funktionieren nicht | Sie funktionieren |
Google zählt HTTPS zu seinen Signalen für die Seitenerfahrung. Allein bringt es Sie nicht an die Spitze, aber eine Website, die noch auf HTTP läuft, startet bei Vertrauen und Sichtbarkeit im Rückstand. HTTPS ist auch für die Geschwindigkeit wichtig: Browser nutzen moderne, schnellere Verbindungsprotokolle nur über HTTPS. Wie Sie die Geschwindigkeit Ihrer Website messen, erklären wir in So messen Sie die Website-Geschwindigkeit.
Teil 3 · Arten Arten von SSL-Zertifikaten: Welches reicht?
| Typ | Was geprüft wird | Für wen |
|---|---|---|
| DV (domainvalidiert) | Dass der Antragsteller die Domain kontrolliert | Kleine Unternehmen, Firmenwebsites, Blogs, die meisten Shops |
| OV (organisationsvalidiert) | Neben der Domain auch die Existenz der Organisation | Wer Angaben zur Organisation im Zertifikat haben möchte |
| EV (Extended Validation) | Eine detaillierte amtliche Prüfung der Organisation | Banken und große Organisationen mit risikoreichen Transaktionen |
Die Stärke der Verschlüsselung ist bei allen dreien gleich; der einzige Unterschied ist, wie tief die Identität geprüft wird. Browser zeigen in der Adressleiste keinen klaren Unterschied zwischen den Typen mehr. Für die Website eines kleinen Unternehmens reicht ein DV-Zertifikat, und es ist meist kostenlos. Zertifikate unterscheiden sich auch im Umfang: eine einzelne Domain, eine Domain zusammen mit www oder ein Wildcard-Zertifikat für alle Subdomains.
Teil 4 · Umstellung So steigen Sie auf HTTPS um: die Schritte
Wenn Ihre Website noch über HTTP aufgerufen wird oder Sie von einer anderen Plattform umziehen, läuft die Umstellung in dieser Reihenfolge:
Von HTTP auf HTTPS umstellen
Zertifikat installieren
Schalten Sie das kostenlose, sich automatisch erneuernde Zertifikat ein, das Ihre Hosting-Plattform anbietet. Achten Sie darauf, dass es sowohl die Hauptdomain als auch die www-Version abdeckt.
Den gesamten Verkehr auf HTTPS umleiten
Leiten Sie HTTP-Adressen mit einer dauerhaften 301-Weiterleitung auf ihre HTTPS-Gegenstücke um. Machen Sie nur eine der Versionen, Hauptdomain oder www, zur Hauptadresse und leiten Sie die andere dorthin um.
Mixed Content bereinigen
Lädt auf einer HTTPS-Seite ein Bild, Skript oder eine Schrift über http://, blockiert der Browser es oder zeigt eine Warnung. Ändern Sie Adressen in Ihren Inhalten und in eigenem Code auf https://.
HSTS hinzufügen
Der HSTS-Header sagt dem Browser, die Website für eine bestimmte Zeit nur über HTTPS zu öffnen. So entsteht selbst dann keine unverschlüsselte Verbindung, wenn jemand auf einen alten HTTP-Link klickt.
Search Console aktualisieren
Stellen Sie sicher, dass die HTTPS-Version in der Search Console verifiziert ist und dass die Sitemap HTTPS-Adressen enthält. Stellen Sie auch interne Links auf HTTPS um.
Teil 5 · Sicherheit Website-Sicherheit: mehr als das Zertifikat
HTTPS schützt die Verbindung, aber wenn sich jemand mit Ihrem Passwort im Verwaltungsbereich Ihrer Website anmeldet, hilft das Zertifikat nicht. Bei Websites kleiner Unternehmen entstehen die meisten Probleme durch schwache Passwörter, geteilte Konten und fehlende Backups.
Checkliste Website-Sicherheit
- Die Website öffnet sich über HTTPS ohne die Warnung „Nicht sicher“.
- Das Zertifikat erneuert sich automatisch; ich muss sein Ablaufdatum nicht im Blick behalten.
- Auf meinen Seiten werden keine Bilder oder Skripte über http:// geladen.
- Jeder, der sich im Verwaltungsbereich anmeldet, hat ein eigenes Konto; Passwörter werden nicht geteilt.
- Die Zwei-Faktor-Authentifizierung ist für alle Administratoren eingeschaltet.
- Jeder hat nur die Berechtigungen, die seine Aufgabe braucht; Konten ausgeschiedener Mitarbeiter sind geschlossen.
- Kontakt- und Angebotsformulare sind gegen Absendungen durch Bots geschützt.
- Backups werden regelmäßig erstellt, und ich weiß, wie man eines wiederherstellt.
- Die E-Mail-Adresse bei meinen Domain- und Hosting-Konten ist aktuell und gehört mir.
Teil 6 · Fehlersuche Ich bekomme einen SSL-Fehler. Was soll ich tun?
Zertifikatsprobleme haben meist ein paar bekannte Ursachen. Der Warntext im Browser verrät, welche es ist.
| Symptom | Wahrscheinliche Ursache | Was zu tun ist |
|---|---|---|
| Ganzseitige Warnung „Ihre Verbindung ist nicht privat“ | Das Zertifikat ist abgelaufen oder wurde nie installiert | Erneuern und auf automatische Erneuerung umstellen |
| Warnung, dass das Zertifikat zu einem anderen Namen gehört | Das Zertifikat deckt www oder die Hauptdomain nicht ab | Ein Zertifikat installieren, das beide Versionen abdeckt |
| Die Seite öffnet sich, zeigt aber „Nicht sicher“ | Inhalte auf der Seite werden über http:// geladen | Mixed Content auf https:// ändern |
| Warnung bei einer neu verbundenen Domain | Der DNS-Eintrag ist noch nicht verbreitet, das Zertifikat wird vorbereitet | Einträge prüfen; Abwarten genügt meist |
| Warnung nur auf einem Computer | Die Uhr des Geräts geht falsch oder Software im Netzwerk fängt die Verbindung ab | Uhr korrigieren, anderes Netzwerk ausprobieren |
Wenn Sie die Domain gerade erst verbunden haben, haben Sie Geduld: DNS-Einträge können von ein paar Minuten bis zu ein paar Stunden brauchen, bis sie sich verbreiten. Damit die Einträge richtig gesetzt sind, lesen Sie unsere Anleitungen für einzelne Anbieter wie Domain bei Cloudflare verbinden.
Teil 7 · Produkt SSL und Website-Sicherheit in Heyşirket
In Heyşirket müssen Sie für SSL nichts kaufen oder installieren. Ihre kostenlose Adresse examplefirm.heysirket.com läuft vom ersten Tag an über HTTPS. Wenn Sie Ihre eigene Domain verbinden, wird das Zertifikat automatisch installiert, sobald der CNAME-Eintrag Ihrer Domain auf uns zeigt und die Verifizierung abgeschlossen ist, und es erneuert sich vor Ablauf automatisch. Die Schritte zur Verbindung erklären wir in Eigene Domain verbinden, und was jeder Status bedeutet, sehen Sie im Panel auf dem Bildschirm Einstellungen › Domains.
- Verschlüsselung: Verbundene Domains nutzen mindestens TLS 1.2; die www-Adresse leitet auf die Hauptadresse um.
- Sicherheits-Header: Seiten Ihrer Website werden mit HSTS, einer Content Security Policy (CSP) und Headern ausgeliefert, die Browserberechtigungen einschränken.
- Infrastruktur: Websites werden über das globale Netzwerk von Cloudflare ausgeliefert.
- Formularschutz: Verbinden Sie Turnstile auf dem Bildschirm Integrationen, um Ihre Formulare vor Absendungen durch Bots zu schützen.
- Kontosicherheit: Auf dem Bildschirm Sicherheit und Sitzungen schalten Sie die Zwei-Faktor-Authentifizierung ein, holen Ihre Backup-Codes und beenden Sitzungen, die Sie nicht kennen. Ihrem Team geben Sie die Rollen Administrator, Editor oder Autor.
- Backup: Laden Sie unter Einstellungen › Werkzeuge › Exportieren ein vollständiges Backup Ihrer Website herunter.
Das SEO › Website-Prüfung im Professional-Tarif findet außerdem unsichere Ressourcen, die auf Ihren Seiten über http:// geladen werden, und zeigt, wie Sie sie beheben. Zur Seite von Team und Berechtigungen lesen Sie Team-Berechtigungen und Datensicherheit. Schritt für Schritt im Panel: Hilfe › Domain verbinden.
Was ist ein SSL-Zertifikat?
Ein SSL-Zertifikat ist ein digitales Dokument, das bestätigt, dass eine Website zu ihrer Domain gehört, und die Verbindung zwischen Besucher und Website verschlüsselt. Das heute verwendete Protokoll ist TLS, das Zertifikat wird aber weiterhin meist SSL-Zertifikat genannt.
Wie aktiviert man HTTPS?
Zuerst wird für Ihre Domain ein sich automatisch erneuerndes Zertifikat installiert, dann werden alle HTTP-Adressen per 301 auf HTTPS umgeleitet. Ressourcen, die auf Ihren Seiten über http:// geladen werden, werden korrigiert, HSTS wird hinzugefügt, und Search Console und Sitemap werden auf HTTPS-Adressen aktualisiert.
Ist ein kostenloses SSL-Zertifikat sicher?
Ja. Kostenlose domainvalidierte (DV) Zertifikate bieten dieselbe Verschlüsselungsstärke wie bezahlte. Der einzige Unterschied ist, wie tief die Identität geprüft wird, und für Websites kleiner Unternehmen reicht ein DV-Zertifikat.
Warum erscheint die Warnung „Nicht sicher“?
Der Browser zeigt sie, wenn die Seite statt über HTTPS über HTTP geöffnet wird, wenn das Zertifikat abgelaufen ist oder wenn es zu einer anderen Domain gehört. Auch Inhalte, die auf einer HTTPS-Seite über http:// geladen werden, können eine Warnung auslösen.
Kostet das SSL-Zertifikat bei Heyşirket etwas?
Nein. Ihre kostenlose Subdomain läuft über HTTPS, und das Zertifikat für Ihre eigene verbundene Domain wird nach der Verifizierung automatisch installiert und erneuert. Sie müssen kein Zertifikat kaufen oder von Hand erneuern.
Domain sicher verbinden Fügen Sie Ihre Domain hinzu und tragen Sie die Einträge ein; Verifizierung und SSL-Zertifikat laufen automatisch durch. Domains öffnen
Autor: Heyşirket-Redaktionsteam