SSL-Check

Warum SSL wichtig ist

Ein SSL-Zertifikat (Secure Sockets Layer) ist heute für jede Website unverzichtbar. SSL stellt eine verschlüsselte Verbindung zwischen dem Webbrowser eines Besuchers und Ihrem Webserver her, sodass vertrauliche Informationen wie Passwörter, Kreditkartendaten und persönliche Daten auf ihrem Weg durch das Internet geschützt bleiben.

Google nutzt SSL seit 2014 als Ranking-Faktor. Websites ohne SSL-Zertifikat werden in den Suchergebnissen also schlechter platziert. Moderne Browser wie Chrome und Firefox kennzeichnen Websites ohne SSL mit einer deutlichen Warnung „Nicht sicher“. Das schreckt Besucher ab und schadet Ihrer Conversion-Rate. Untersuchungen zeigen, dass 84 % der Nutzer einen Kauf abbrechen, wenn sie bemerken, dass eine Website nicht sicher ist.

Für Onlineshops und Websites, die Zahlungen verarbeiten, ist SSL nicht nur für die PCI-DSS-Konformität vorgeschrieben, sondern auch für das Vertrauen der Kunden entscheidend. Außerdem macht SSL Ihre Website schneller, wenn Sie HTTP/2 nutzen, denn HTTP/2 funktioniert nur über sichere HTTPS-Verbindungen.

Was prüft dieser SSL-Check?

Unser kostenloser SSL-Check ruft das SSL-Zertifikat ab, das eine Website oder ein Mailserver ausliefert, und prüft die wichtigsten Angaben:

• Gültigkeit des Zertifikats: prüft, ob das SSL-Zertifikat noch gültig und nicht abgelaufen ist
• Prüfung des Domainnamens: prüft, ob das Zertifikat für die richtige Domain ausgestellt wurde (Common Name und Subject Alternative Names)
• Zertifikatskette: zeigt, wie viele Zertifikate der Server in der Zertifikatskette mitsendet
• Zertifizierungsstelle (CA): zeigt, welche Zertifizierungsstelle das Zertifikat ausgestellt hat
• Ablaufdatum: zeigt, wann das Zertifikat abläuft und ob es verlängert werden muss
• Zertifikatstyp: erkennt bekannte Aussteller wie Let's Encrypt, Sectigo, DigiCert und GlobalSign
• Subject Alternative Names: listet alle Domains auf, für die das Zertifikat gilt
• Mailserver: prüft auch das Zertifikat von IMAP- und SMTP-Servern, über direktes TLS oder über STARTTLS
• Warnungen bei selbst signierten Zertifikaten: ob es sich um ein selbst signiertes Zertifikat handelt

Arten von SSL-Zertifikaten

Es gibt mehrere Arten von SSL-Zertifikaten, jeweils mit einer anderen Validierungsstufe:

Domain-Validation-Zertifikate (DV) sind die häufigste Art. Die CA prüft nur, ob Ihnen die Domain gehört, meist per E-Mail-Bestätigung oder über einen DNS-Eintrag. Das dauert wenige Minuten und läuft vollständig automatisch.

Bei Organization-Validation-Zertifikaten (OV) prüft die CA Ihre Unternehmensdaten anhand offizieller Register wie des Handelsregisters. Das dauert 1 bis 3 Arbeitstage.

Extended-Validation-Zertifikate (EV) bieten die höchste Validierungsstufe mit einer umfassenden Prüfung Ihrer Organisation. EV bleibt wertvoll für Organisationen, die ein Höchstmaß an Vertrauen vermitteln möchten.

SSL-Zertifikat verlängern

SSL-Zertifikate sind zeitlich begrenzt gültig, meist 90 Tage (Let's Encrypt) oder 1 bis 2 Jahre (kommerzielle Zertifikate). Es ist entscheidend, Ihr Zertifikat rechtzeitig zu verlängern. Läuft ein SSL-Zertifikat ab, sehen Besucher eine Sicherheitswarnung, die die meisten abschreckt.

Prüfen Sie mit unserem SSL-Check regelmäßig, wann Ihr Zertifikat abläuft. Bei Let's Encrypt erfolgt die Verlängerung vollautomatisch über die Software certbot. Das ACME-Protokoll sorgt dafür, dass Ihr Zertifikat alle 60 Tage ohne manuelle Schritte verlängert wird.

Kommerzielle Zertifikate müssen meist manuell verlängert werden: CSR erzeugen, bezahlen und das neue Zertifikat installieren.

SSL und SEO

2014 kündigte Google an, dass HTTPS ein Ranking-Faktor ist. Websites mit SSL erhalten einen SEO-Vorteil gegenüber ungesicherten HTTP-Websites. SSL ist außerdem Voraussetzung für HTTP/2 und HTTP/3, die deutlich kürzere Ladezeiten ermöglichen.

Websites ohne SSL haben wegen der Warnung „Nicht sicher“ eine höhere Absprungrate. Sorgen Sie dafür, dass jede Seite eine 301-Weiterleitung von HTTP auf HTTPS hat, aktualisieren Sie Ihre sitemap.xml mit HTTPS-URLs und setzen Sie Canonical-Tags mit HTTPS. Prüfen Sie mit unserem SEO-Check, ob Ihre Website richtig konfiguriert ist.

Wie funktioniert SSL/TLS?

SSL (Secure Sockets Layer) ist der Vorgänger von TLS (Transport Layer Security). Moderne Websites nutzen TLS 1.2 oder TLS 1.3, weil ältere Versionen nicht mehr sicher sind.

Wenn ein Besucher Ihre HTTPS-Website aufruft, findet ein TLS-Handshake statt:

1. Client Hello: Der Browser sendet seine unterstützten TLS-Versionen, Cipher Suites und eine Zufallszahl an den Server
2. Server Hello: Der Server wählt die beste TLS-Version und Cipher Suite und sendet sein SSL-Zertifikat zurück
3. Prüfung des Zertifikats: Der Browser prüft die Gültigkeit, das Ablaufdatum und ob die CA vertrauenswürdig ist
4. Schlüsselaustausch: Browser und Server tauschen per RSA oder Diffie-Hellman kryptografische Schlüssel aus
5. Sichere Verbindung: Die gesamte weitere Kommunikation wird symmetrisch verschlüsselt (meist mit AES-256)

Die Vertrauenskette der Zertifikate ist entscheidend: Ihr Zertifikat wird von einer CA ausgestellt, deren Root-Zertifikat in allen Browsern standardmäßig als vertrauenswürdig gilt. Unser SSL-Check zeigt, wie viele Zertifikate der Server in der Kette mitsendet, sodass ein fehlendes Zwischenzertifikat auffällt. Für technische Details können Sie auch unseren HTTP-Header-Check nutzen.

TLS 1.3 hat den Handshake optimiert: Er braucht einen Roundtrip weniger als bei TLS 1.2, und es werden nur noch starke kryptografische Algorithmen unterstützt.

SSL-Zertifikat installieren

Die Installation eines SSL-Zertifikats unterscheidet sich je nach Plattform:

cPanel-Hosting
Beim cPanel-Hosting ist die SSL-Installation einfach: Öffnen Sie „SSL/TLS Status“ oder „Let's Encrypt SSL“, wählen Sie Ihre Domain und klicken Sie auf „Install“. Let's Encrypt läuft vollautomatisch.

Apache-Webserver
Laden Sie die Zertifikatsdateien nach /etc/ssl/certs/ hoch und konfigurieren Sie den VirtualHost:

<VirtualHost *:443>
    ServerName www.beispiel.de
    SSLEngine on
    SSLCertificateFile /etc/ssl/certs/beispiel.de.crt
    SSLCertificateKeyFile /etc/ssl/private/beispiel.de.key
    SSLCertificateChainFile /etc/ssl/certs/intermediate.crt
</VirtualHost>

Nginx-Webserver
Fassen Sie Zertifikat und Zwischenzertifikat in einer Datei zusammen und konfigurieren Sie den Server-Block:

server {
    listen 443 ssl http2;
    server_name www.beispiel.de;
    ssl_certificate /etc/ssl/certs/beispiel.de-fullchain.crt;
    ssl_certificate_key /etc/ssl/private/beispiel.de.key;
    ssl_protocols TLSv1.2 TLSv1.3;
}

Prüfen Sie nach der Installation mit unserem SSL-Check, ob alles richtig funktioniert.

Häufige SSL-Fehler

Auch mit einem gültigen SSL-Zertifikat können Konfigurationsfehler zu Warnungen führen:

ERR_CERT_DATE_INVALID: Das Zertifikat ist abgelaufen. Lösung: Verlängern Sie es sofort und prüfen Sie das Ablaufdatum mit unserem SSL-Check.

ERR_CERT_COMMON_NAME_INVALID: Die Domain stimmt nicht mit den Domains im Zertifikat überein. Lösung: Nutzen Sie ein Zertifikat mit einem SAN, das beide Varianten abdeckt (mit und ohne www).

NET::ERR_CERT_AUTHORITY_INVALID: Die Zertifikatskette ist unvollständig oder die CA ist nicht vertrauenswürdig. Lösung: Installieren Sie die vollständige Kette mit Zwischenzertifikaten.

Warnungen wegen gemischter Inhalte (Mixed Content): Eine HTTPS-Seite lädt Ressourcen über HTTP. Lösung: Stellen Sie alle Links auf HTTPS um oder nutzen Sie einen CSP-Header mit upgrade-insecure-requests.

SSL-Zertifikatskette unvollständig: Es fehlen Zwischenzertifikate. Lösung: Installieren Sie die Datei ca-bundle.crt zusammen mit Ihrem Domain-Zertifikat.

Kostenloses SSL mit Let's Encrypt

Let's Encrypt hat die SSL-Welt verändert, indem es kostenlose, automatisierte SSL-Zertifikate anbietet. Let's-Encrypt-Zertifikate sind Domain-Validation-Zertifikate (DV) mit einer Gültigkeit von 90 Tagen. Die kurze Gültigkeitsdauer fördert die automatische Verlängerung.

Wie funktioniert Let's Encrypt?
Das ACME-Protokoll (Automatic Certificate Management Environment) stellt Zertifikate ohne menschliches Zutun über sogenannte Challenges aus:

• HTTP-01-Challenge: certbot legt eine Datei in /.well-known/acme-challenge/ ab
• DNS-01-Challenge: certbot fügt einen TXT-Eintrag im DNS hinzu; das ist für Wildcard-Zertifikate erforderlich

Ein Cronjob sorgt dafür, dass das Zertifikat alle 60 Tage verlängert wird. Beim Webhosting von Theory7 ist Let's Encrypt standardmäßig über AutoSSL integriert.

Wildcard-Zertifikate

Ein Wildcard-Zertifikat sichert Ihre Hauptdomain und alle Subdomains der ersten Ebene mit einem einzigen Zertifikat ab. Zum Beispiel sichert *.beispiel.de die Adressen www.beispiel.de, shop.beispiel.de, blog.beispiel.de und so weiter.

Wildcard-Zertifikate eignen sich ideal für:

• Mandantenfähige SaaS-Anwendungen mit Subdomains für Kunden
• Große Websites mit vielen Subdomains, die sich häufig ändern
• Entwicklungs- und Staging-Umgebungen mit mehreren Test-Subdomains

Let's Encrypt unterstützt kostenlose Wildcard-Zertifikate über die DNS-01-Challenge. Ihr DNS-Anbieter muss für die automatische Verlängerung einen API-Zugang unterstützen.

SSL für Onlineshops und E-Commerce

Für Onlineshops ist SSL Pflicht. Zahlungsanbieter wie Stripe, Mollie und PayPal verlangen HTTPS für Checkout-Seiten. Die PCI-DSS-Konformität verlangt, dass:

• alle Zahlungsseiten TLS 1.2 oder höher nutzen
• veraltete SSL-Protokolle vollständig deaktiviert sind
• schwache Cipher Suites (DES, RC4, MD5) nicht unterstützt werden
• Schlüssel mindestens 2048 Bit RSA oder 256 Bit ECC lang sind
• gemischte Inhalte vollständig vermieden werden

Dieser SSL-Check prüft keine PCI-DSS-Anforderungen: Das Tool prüft das Zertifikat selbst (Gültigkeit, Domain und Aussteller). Um TLS-Versionen und Cipher Suites zu testen, nutzen Sie einen externen Scanner wie SSL Labs.

Best Practices für SSL in Onlineshops:

• Erzwingen Sie HTTPS auf allen Seiten mit einem HSTS-Header
• Setzen Sie eine Content-Security-Policy ein, die gemischte Inhalte blockiert
• Stellen Sie alle Tracking-Skripte auf ihre HTTPS-Versionen um
• Prüfen Sie die Registrierung der Domain mit unserer WHOIS-Abfrage

SSL-Zertifikat prüfen: Schritt für Schritt

So nutzen Sie unseren kostenlosen SSL-Check:

1. Domain eingeben: Geben Sie Ihren Domainnamen in das Eingabefeld oben auf dieser Seite ein
2. Auf „Prüfen“ klicken: Das Tool ruft das Zertifikat ab und prüft es sofort
3. Status prüfen: grünes Häkchen = gültig, rote Warnung = Probleme
4. Details ansehen: Aussteller, Gültigkeit, verbleibende Tage, Domain-Übereinstimmung und die Anzahl der Zertifikate in der Kette
5. Probleme beheben: Nutzen Sie die Hinweise in diesem Artikel
6. Erneut testen: Führen Sie den SSL-Check nach Änderungen noch einmal aus

Für ein vollständiges Bild kombinieren Sie diesen SSL-Check mit:

• HTTP-Header-Check: Sicherheits-Header wie HSTS und CSP prüfen
• DNS-Lookup: prüfen, ob das DNS richtig auf Ihren Server zeigt
• SEO-Check: prüfen, ob Seiten korrekt auf HTTPS weiterleiten
• WHOIS-Abfrage: die Registrierungsdaten Ihrer Domain ansehen

Führen Sie diesen SSL-Check für optimale Sicherheit mindestens einmal im Monat aus.

SSL-Best-Practices auf einen Blick

Für eine optimal mit SSL gesicherte Website folgen Sie diesen Empfehlungen:

• Nutzen Sie mindestens TLS 1.2 und deaktivieren Sie SSLv3 sowie TLS 1.0/1.1
• Wählen Sie starke Cipher Suites mit Forward Secrecy (ECDHE)
• Nutzen Sie Schlüssel mit mindestens RSA 2048 Bit (oder 4096 Bit für sehr sensible Daten)
• Installieren Sie die vollständige Zertifikatskette einschließlich der Zwischenzertifikate
• Erzwingen Sie HTTPS mit 301-Weiterleitungen und einem HSTS-Header
• Vermeiden Sie gemischte Inhalte, indem Sie alle Ressourcen über HTTPS laden
• Verlängern Sie Zertifikate mindestens 30 Tage vor dem Ablauf
• Nutzen Sie OCSP Stapling für eine schnellere Prüfung der Zertifikate
• Setzen Sie CAA-DNS-Einträge ein, um festzulegen, welche CAs Zertifikate für Ihre Domain ausstellen dürfen
• Testen Sie regelmäßig mit unserem SSL-Check und externen Diensten wie SSL Labs

Mit einem richtig konfigurierten SSL-Zertifikat schützen Sie nicht nur die Daten Ihrer Besucher, Sie verbessern auch Ihre SEO-Rankings, stärken das Vertrauen Ihrer Kunden und erfüllen moderne Webstandards. Bei Theory7 erhalten Sie in allen Hosting-Paketen standardmäßig ein kostenloses Let's-Encrypt-SSL-Zertifikat mit automatischer Verlängerung, sodass Ihre Website immer optimal gesichert ist. Kombinieren Sie diesen SSL-Check mit unserem DNS-Lookup, um zu prüfen, ob Ihre CAA-Einträge richtig eingerichtet sind.