SSL / HTTPS

SSL / HTTPS steht für die verschlüsselte Übertragung zwischen Browser und Website. Ein digitales Zertifikat bestätigt, dass die Verbindung wirklich zur angezeigten Domain führt, und sorgt dafür, dass niemand unterwegs mitlesen oder Inhalte verändern kann. Technisch heißt das heutige Verfahren TLS, der Name SSL ist aber geblieben.

So funktioniert die Verschlüsselung

Ruft jemand deine Website auf, zeigt der Server sein Zertifikat vor. Der Browser prüft, ob es für diese Domain ausgestellt, noch gültig und von einer anerkannten Zertifizierungsstelle unterschrieben ist. Passt alles, vereinbaren beide einen Schlüssel, mit dem alle weiteren Daten verschlüsselt werden: Seiteninhalte, Formulareingaben, Passwörter.

Ohne HTTPS gehen diese Daten im Klartext durchs Netz. In einem offenen WLAN könnte jemand eine Terminanfrage samt Telefonnummer mitlesen oder auf dem Weg verändern. Wichtig ist auch die Grenze: HTTPS schützt die Übertragung, nicht die Website selbst. Gegen veraltete Plugins oder schwache Passwörter hilft es nicht.

Let’s Encrypt und kürzere Laufzeiten

Für die meisten Websites reicht ein kostenloses Zertifikat der gemeinnützigen Zertifizierungsstelle Let’s Encrypt, das viele Hoster per Klick einrichten. Diese Zertifikate gelten derzeit 90 Tage. Let’s Encrypt hat angekündigt, die Standardlaufzeit ab Februar 2027 auf 64 Tage und ab Februar 2028 auf 45 Tage zu verkürzen. Händisch verlängern ist damit keine Option mehr: Die automatische Erneuerung muss zuverlässig laufen und überwacht werden.

Welches Zertifikat brauchst du?

Für die Website eines kleinen Betriebs reicht ein domainvalidiertes Zertifikat, wie es Let’s Encrypt ausstellt. Teurere Zertifikate mit zusätzlicher Prüfung des Unternehmens verschlüsseln nicht stärker; sie bestätigen nur mehr Angaben über den Antragsteller, die Browser heute kaum noch sichtbar anzeigen. Ob dein Zertifikat passt, siehst du mit einem Klick auf das Symbol links in der Adresszeile: Dort stehen Aussteller und Ablaufdatum.

Warum HTTPS heute Pflicht ist

• Datenschutz: Art. 32 DSGVO verlangt angemessene technische Maßnahmen zum Schutz personenbezogener Daten und nennt Verschlüsselung ausdrücklich. Kontaktformulare, Online-Terminbuchung und Logins ohne HTTPS sind damit kaum zu rechtfertigen.
• Browserwarnungen: Chrome kennzeichnet HTTP-Seiten als „Nicht sicher“. Ab Chrome 154, laut Google für Oktober 2026 geplant, fragt der Browser standardmäßig nach, bevor er eine öffentliche Seite ohne HTTPS zum ersten Mal öffnet.
• Vertrauen und Google: Google zählt eine sichere Auslieferung zur guten Nutzererfahrung. Einen direkten Rankingschub verspricht Google dafür nicht, aber eine Warnseite vor dem Besuch kostet Klicks und Anfragen.

Typische Fehler bei der Umstellung

• Gemischte Inhalte: Bilder oder Skripte werden noch über http:// geladen, der Browser blockiert sie oder warnt.
• Fehlende Weiterleitung: Die HTTP-Adressen müssen per 301-Weiterleitung auf die HTTPS-Version führen, sonst existiert jede Seite doppelt und es droht Duplicate Content.
• Abgelaufenes Zertifikat: Statt der Website erscheint eine ganzseitige Warnung. Die Laufzeit zu überwachen gehört zur Website-Wartung.
• Interne Links auf http://: Menü, Buttons und Sitemap sollten direkt auf die HTTPS-Adressen zeigen, statt jedes Mal über eine Weiterleitung zu laufen.
• Subdomains vergessen: Auch www und Subdomains wie termine. oder shop. brauchen ein gültiges Zertifikat.

HTTPS ist nur ein Baustein. Die übrigen, von Updates über Backups bis zu sicheren Zugängen, findest du im Beitrag zu WordPress-Wartung und Sicherheit. Planst du eine neue Website, gehört die Verschlüsselung von Anfang an ins Konzept, auch bei Projekten von BigWebsites.