SSL-Zertifikat: Arten, Einrichtung und Kosten

Ohne HTTPS warnt der Browser, Suchmaschinen bewerten schlechter und Besucher brechen ab. Die Frage ist deshalb nicht, ob Sie ein SSL-Zertifikat brauchen, sondern welches – und wie Sie die Erneuerung so einrichten, dass sie Ihnen nie wieder Arbeit macht. Das ist 2026 wichtiger geworden als früher, denn die zulässigen Laufzeiten sinken gerade in mehreren Stufen von 398 auf 47 Tage.

Warum HTTPS heute Pflicht ist

Ein SSL- oder genauer TLS-Zertifikat erfüllt zwei Aufgaben. Es verschlüsselt die Verbindung zwischen Browser und Server, sodass niemand auf dem Weg mitlesen kann, und es weist nach, dass der Server tatsächlich zu der Domain gehört, die in der Adresszeile steht. Das zweite ist der oft übersehene Teil: Verschlüsselung allein schützt nicht davor, verschlüsselt mit dem Falschen zu sprechen.

Drei Gründe machen es unverzichtbar:

• Vertrauen. Browser markieren unverschlüsselte Seiten als nicht sicher. Bei einem Kontaktformular oder Bestellvorgang ist das ein Abbruchgrund.
• Rechtliche Anforderungen. Die DSGVO verlangt dem Risiko angemessene technische Maßnahmen. Werden personenbezogene Daten über ein Formular übertragen, ist Transportverschlüsselung der Mindeststandard.
• Suchmaschinen. HTTPS ist seit Jahren ein – wenn auch schwaches – Rankingsignal. Wichtiger: moderne Protokolle wie HTTP/2 und HTTP/3 setzen TLS praktisch voraus, und die bringen echte Geschwindigkeitsvorteile.

Die Zertifikatsarten

Zwei Dimensionen sind zu unterscheiden: wie streng geprüft wird und wie viele Namen abgedeckt sind.

Nach Prüftiefe

Typ	Geprüft wird	Ausstellung	Typischer Einsatz
DV (Domain Validated)	nur Kontrolle über die Domain	Minuten, automatisiert	Websites, Blogs, Shops, APIs
OV (Organization Validated)	Domain plus Existenz des Unternehmens	1 bis 5 Tage	Unternehmensportale, Intranet-Zugänge
EV (Extended Validation)	umfangreiche Firmenprüfung	1 bis 2 Wochen	Banken, Versicherungen, Compliance-Vorgaben

Wichtig zur Einordnung: Technisch verschlüsseln alle drei identisch. Der Unterschied liegt ausschließlich in der Identitätsprüfung. Der frühere Verkaufsgrund für EV – die grüne Adressleiste mit Firmennamen – ist seit 2019 aus allen großen Browsern verschwunden. Für den Besucher sehen DV und EV heute gleich aus. EV behält Sinn, wenn eine Richtlinie, ein Auditor oder ein Großkunde es verlangt.

Nach Abdeckung

• Einzeldomain – deckt genau einen Namen ab, üblicherweise plus die Variante ohne www.
• Wildcard – deckt alle Subdomains einer Ebene ab, etwa shop, blog und app unter Ihrer Domain. Praktisch bei vielen Subdomains, erhöht aber den Schaden bei Kompromittierung des Schlüssels, weil ein Schlüssel für alles gilt.
• Multi-Domain (SAN) – fasst mehrere unabhängige Domains in einem Zertifikat zusammen. Bequem, aber jede Änderung an der Liste bedeutet Neuausstellung für alle.

Let’s Encrypt oder kaufen?

Let’s Encrypt ist eine kostenlose Zertifizierungsstelle, die DV-Zertifikate vollautomatisch über das ACME-Protokoll ausstellt. Die Zertifikate sind in allen gängigen Browsern und Betriebssystemen vertrauenswürdig und kryptografisch identisch zu bezahlten DV-Zertifikaten.

Kriterium	Let’s Encrypt	Kostenpflichtiges DV	OV / EV
Preis pro Jahr	0 Euro	ca. 10 bis 80 Euro	ca. 80 bis 500 Euro
Verschlüsselungsstärke	identisch	identisch	identisch
Ausstellung	Minuten, automatisch	Minuten	Tage bis Wochen
Support	Community, Foren	Anbieter-Support	Anbieter-Support
Haftungszusage	keine	meist enthalten	höher
Organisation im Zertifikat	nein	nein	ja
Automatisierung	Standard (ACME)	je nach Anbieter	meist manuell

Für die große Mehrheit ist Let’s Encrypt die richtige Wahl. Es gibt genau drei Gründe, Geld auszugeben: eine Richtlinie oder ein Auditor verlangt OV oder EV, Sie brauchen eine vertragliche Haftungszusage, oder Sie brauchen Support mit Ansprechpartner statt Forum. Alles andere – insbesondere das Argument, bezahlte Zertifikate seien sicherer – hält der Prüfung nicht stand.

Als Alternative mit demselben Automatisierungsmodell hat sich ZeroSSL etabliert; einige Hoster und CDN-Anbieter stellen Zertifikate ebenfalls ohne Aufpreis bereit.

Was sich 2026 ändert: die Laufzeiten brechen ein

Das ist die wichtigste Entwicklung in diesem Thema seit Jahren. Das CA/Browser Forum – der Zusammenschluss von Zertifizierungsstellen und Browserherstellern – hat auf Vorschlag von Apple im April 2025 einen verbindlichen Stufenplan beschlossen, dem alle vier großen Browserhersteller zugestimmt haben.

Ab	Maximale Zertifikatslaufzeit	Wiederverwendung der Prüfdaten
bis 14.03.2026	398 Tage	unverändert
15.03.2026	200 Tage	200 Tage
15.03.2027	100 Tage	100 Tage
15.03.2029	47 Tage	10 Tage

Seit März 2026 wird also keinem neu ausgestellten öffentlichen Zertifikat mit mehr als 200 Tagen Laufzeit mehr vertraut; einzelne Zertifizierungsstellen haben noch früher und noch kürzer umgestellt. Die Begründung ist nachvollziehbar: kürzere Missbrauchsfenster bei gestohlenen Zertifikaten, schnellere Ablösung veralteter Kryptografie und – ausdrücklich gewollt – Druck zur Automatisierung.

Der angenehme Nebeneffekt: Wer Let’s Encrypt nutzt, ist davon praktisch nicht betroffen. Dort sind 90 Tage Laufzeit und automatische Erneuerung nach 60 Tagen seit Jahren Standard.

Einrichtung Schritt für Schritt

Der einfache Fall: Managed Hosting

Bei den meisten Hosting-Angeboten ist die Antwort ein Schalter im Kundenbereich. Vorgehen:

• Im Hosting-Panel die Option für kostenlose Zertifikate oder Let’s Encrypt aktivieren und die Domain auswählen.
• Prüfen, dass auch die Variante ohne bzw. mit www abgedeckt ist – ein häufiger Fehler.
• Die automatische Weiterleitung von HTTP auf HTTPS aktivieren.
• Im Browser aufrufen und das Schloss prüfen.
• Bei WordPress die Website-URL in den Einstellungen auf https umstellen.

Der eigene Server: ACME einrichten

Auf einem eigenen Server übernimmt ein ACME-Client die Arbeit. Mit certbot auf einem Debian- oder Ubuntu-System und nginx:

# Client installieren
apt install certbot python3-certbot-nginx

# Zertifikat ausstellen und nginx automatisch konfigurieren
certbot --nginx -d example.de -d www.example.de

# Automatische Erneuerung testen, ohne etwas zu verändern
certbot renew --dry-run

Der Client legt dabei einen systemd-Timer an, der zweimal täglich prüft und rechtzeitig erneuert. Für Container-Umgebungen oder Setups mit vielen Domains sind acme.sh und lego verbreitete Alternativen; Reverse-Proxys wie Traefik und Caddy erledigen die Ausstellung ohne zusätzliche Werkzeuge. Wie ein solcher Aufbau insgesamt aussieht, zeigt der Self-Hosting-Guide.

Nach der Einrichtung: einmal richtig konfigurieren

Ein gültiges Zertifikat allein ergibt noch keine gute Konfiguration. Vier Punkte gehören dazu:

• Weiterleitung von HTTP auf HTTPS auf Serverebene, mit Statuscode 301.
• HSTS-Header setzen, damit der Browser künftig von sich aus nur noch verschlüsselt anfragt. Vorsichtig einführen: einmal mit langer Laufzeit gesetzt, lässt sich das nicht schnell zurücknehmen.
• Nur TLS 1.2 und 1.3 erlauben, ältere Versionen abschalten.
• Überwachung der Restlaufzeit. Auch automatische Erneuerung kann scheitern – etwa wenn ein DNS-Eintrag sich ändert. Eine Prüfung, die bei weniger als 14 Tagen Restlaufzeit meldet, kostet nichts und verhindert den teuersten Ausfall in diesem Themenfeld.

Typische Fehler und wie man sie löst

Mixed Content

Das Zertifikat ist gültig, aber das Schloss fehlt oder ist durchgestrichen. Ursache: die Seite lädt einzelne Ressourcen – Bilder, Schriften, Skripte – noch über HTTP. Der Browser blockiert dann aktive Inhalte und warnt. Lösung: in den Entwicklerwerkzeugen die Konsole prüfen, die betroffenen Adressen finden und auf HTTPS oder protokollrelative Pfade umstellen. Bei WordPress sind die Übeltäter meist absolute URLs in der Datenbank, die ein Suchen-und-Ersetzen-Durchlauf beseitigt.

Unvollständige Zertifikatskette

Im Browser funktioniert alles, aber eine Schnittstelle oder ein Android-Gerät verweigert die Verbindung. Ursache: das Zwischenzertifikat wird nicht mitgeliefert. Browser haben es oft zwischengespeichert, andere Clients nicht. Lösung: die vollständige Kette ausliefern – bei certbot ist das die Datei fullchain.pem, nicht cert.pem.

Abgelaufen trotz Automatik

Meist einer von drei Gründen: der Erneuerungsdienst läuft nicht mehr, die Domain-Prüfung schlägt fehl (geänderter DNS-Eintrag, blockiertes Prüfverzeichnis unter .well-known), oder der Webserver wurde nach der Erneuerung nicht neu geladen. Der Trockenlauf mit renew –dry-run deckt alle drei auf.

Falscher Name im Zertifikat

Das Zertifikat gilt für example.de, aufgerufen wird www.example.de. Beide Namen müssen im Zertifikat stehen. Bei Wildcards gilt: eine Wildcard für eine Ebene deckt nicht die darunterliegende ab.

Was es wirklich kostet

Für eine normale Unternehmens-Website: nichts. Let’s Encrypt ist kostenlos, bei nahezu jedem Hoster integriert und erneuert sich selbst. Die realistischen Kostenpositionen sind andere:

• Einmalige Einrichtung inklusive Weiterleitungen, Mixed-Content-Bereinigung und Überwachung: wenige Stunden Arbeit.
• OV oder EV, wenn eine Vorgabe es verlangt: Zertifikatskosten plus Aufwand für die Firmenprüfung.
• Verwaltung bei vielen Domains: ab etwa zwanzig Zertifikaten lohnt eine zentrale Verwaltungslösung – nicht wegen der Kosten, sondern weil manuelle Übersicht bei kurzen Laufzeiten nicht mehr funktioniert.

Was sich hinter den laufenden Kosten einer Website insgesamt verbirgt, schlüsselt der Artikel Was kostet eine Website auf; zur technischen Pflege im WordPress-Umfeld siehe WordPress Wartung. Wenn Sie beim technischen Website-Check ohnehin aufräumen: Die Analyse gehört datenschutzrechtlich zum selben Themenblock, siehe Matomo als DSGVO-konforme Analytics-Alternative. Und wer über die Transportverschlüsselung hinaus prüfen lassen will, ob die Anwendung selbst angreifbar ist, findet den Rahmen dafür unter Penetrationstest.