Kann man ein SSL-Zertifikat selbst einrichten?
Kurzantwort
Ja, du kannst ein SSL-Zertifikat selbst einrichten. Bei verwaltetem Hosting genügt meist ein Schalter im Kundenbereich. Auf einem eigenen Server lässt sich ein kostenloses Zertifikat mit etwas Kommandozeilen-Erfahrung automatisiert installieren und verlängern. Ein selbst ausgestelltes Zertifikat eignet sich jedoch nicht für öffentliche Websites.
Ein SSL-Zertifikat selbst einzurichten ist technisch meist einfacher als die anschließende HTTPS-Umstellung der gesamten Website. Entscheidend sind Weiterleitungen, interne Links, Canonical-Tags und eingebundene Ressourcen. Auch ein korrekt installiertes Zertifikat verhindert keine Warnungen, wenn Bilder, Skripte oder Schriftarten weiterhin über HTTP geladen werden.
1. Beim Hosting genügt ein Schalter
Wenn deine Website bei einem verwalteten Hosting-Anbieter liegt, brauchst du normalerweise weder Programmierkenntnisse noch Zugriff auf die Kommandozeile. Im Kundenbereich aktivierst du SSL beziehungsweise HTTPS für die gewünschte Domain. Der Anbieter bezieht das Zertifikat, installiert es auf dem Webserver und kümmert sich meist auch um die automatische Verlängerung.
Prüfe vor der Aktivierung, ob das Zertifikat alle verwendeten Hostnamen abdeckt. Eine Website kann beispielsweise unter example.de und www.example.de erreichbar sein. Fehlt eine Variante im Zertifikat, erhalten Besucher beim Aufruf dieser Adresse eine Sicherheitswarnung.
Für eine kleine Unternehmenswebsite ist das oft in wenigen Minuten erledigt. Bei Baukastensystemen und vielen CMS-Hostings läuft der Vorgang vollständig im Hintergrund. Fachwissen brauchst du erst dann, wenn das Zertifikat nicht ausgestellt wird, die Domain falsch zugeordnet ist oder mehrere Server an der Auslieferung beteiligt sind.
2. Eigener Server braucht Grundwissen
Auf einem selbst verwalteten Webserver kannst du ein kostenloses SSL-Zertifikat über das ACME-Verfahren beziehen. ACME steht für Automated Certificate Management Environment und automatisiert die Prüfung der Domain, die Ausstellung des Zertifikats sowie dessen Verlängerung. Eine verbreitete Zertifizierungsstelle dafür ist Let’s Encrypt.
Mit einem ACME-Client wie Certbot läuft die Einrichtung typischerweise in vier Schritten ab:
Mit grundlegender Kommandozeilen-Erfahrung ist dieser Vorgang häufig in kurzer Zeit abgeschlossen. Der genaue Befehl hängt davon ab, ob du beispielsweise Apache, Nginx, einen Reverse Proxy oder eine Container-Umgebung verwendest. Vor Änderungen solltest du die aktuelle Serverkonfiguration sichern und nach der Installation einen automatischen Erneuerungstest ausführen.
Automatische Verlängerung testen
Verlasse dich nicht darauf, dass ein vorhandener Erneuerungsdienst tatsächlich funktioniert. Führe nach der Einrichtung einen Testlauf des ACME-Clients aus und prüfe, ob der Dienst nach einem Serverneustart weiterhin aktiv ist. Ein gültiges Zertifikat bei der Einrichtung sagt noch nichts darüber aus, ob die Verlängerung in einigen Wochen gelingt.
Abgelaufene Zertifikate werden von Browsern deutlich gemeldet und können Besucher von Formularen, Shops und Landingpages fernhalten. Solche Fehler wirken damit nicht nur auf SEO, sondern auch auf Google Ads, Social-Kampagnen und direkte Zugriffe. Automatische Sicherheitsprüfungen können abgelaufene oder veraltete Zertifikate frühzeitig erkennen.
3. Eigenes Zertifikat mit Warnung
Du kannst ein eigenes SSL-Zertifikat technisch selbst erzeugen und signieren. Dabei handelt es sich um ein selbst ausgestelltes Zertifikat. Die Verschlüsselung kann damit grundsätzlich funktionieren, doch öffentliche Browser vertrauen dem Aussteller nicht. Besucher erhalten deshalb eine auffällige Warnung und müssen die Verbindung gegebenenfalls manuell freigeben.
Ein selbst ausgestelltes Zertifikat ist für eine öffentliche Website ungeeignet. Es bestätigt Besuchern nicht vertrauenswürdig, mit welchem Server sie verbunden sind. Verwende es nur in internen Testsystemen, Entwicklungsumgebungen oder geschlossenen Netzwerken, in denen du das eigene Stammzertifikat kontrolliert auf allen Geräten verteilen kannst.
Die Formulierung „eigenes SSL-Zertifikat erstellen“ führt deshalb leicht in die falsche Richtung. Für eine öffentlich erreichbare Website solltest du das Zertifikat selbst einrichten, aber von einer anerkannten Zertifizierungsstelle ausstellen lassen. Kostenlose, automatisiert ausgestellte Zertifikate reichen für die meisten Unternehmenswebsites, Blogs und Onlineshops aus.
4. HTTP/2 setzt praktisch HTTPS voraus
HTTP/2 kann auf Protokollebene theoretisch ohne TLS-Verschlüsselung als sogenanntes h2c betrieben werden. Für öffentlich aufgerufene Websites ist das jedoch kaum relevant, weil die verbreiteten Browser HTTP/2 in der Praxis über eine verschlüsselte HTTPS-Verbindung nutzen. Ohne gültiges Zertifikat fällt die Verbindung üblicherweise auf eine andere Übertragungsvariante zurück.
Wenn du HTTP/2 für eine normale Website einsetzen möchtest, plane deshalb immer HTTPS ein. Moderne Übertragungsverfahren werden im Web praktisch zusammen mit Verschlüsselung betrieben. HTTP/3 geht noch weiter und setzt eine verschlüsselte Verbindung grundsätzlich voraus.
| Verfahren | Ohne Verschlüsselung möglich? | Relevanz für öffentliche Websites |
|---|---|---|
| HTTP/1.1 | Ja | HTTP ist technisch möglich, sollte aber auf HTTPS weiterleiten. |
| HTTP/2 | Technisch teilweise | Browser verwenden HTTP/2 praktisch mit HTTPS. |
| HTTP/3 | Nein | Die Verbindung ist grundsätzlich verschlüsselt. |
Prüfe nach der Aktivierung im Browser oder über die Serverprotokolle, welches Verfahren tatsächlich ausgehandelt wird. Ein aktiviertes HTTP/2-Modul allein reicht nicht, wenn das Zertifikat ungültig ist oder die TLS-Konfiguration des Servers nicht zu den unterstützten Protokollen passt.
5. Die Umstellung ist der Aufwand
Der häufigste Irrtum lautet: Das Zertifikat ist aktiv, also ist die Website fertig umgestellt. Genau an diesem Punkt beginnen viele technische Restfehler. Ein altes Bild im Footer, eine extern geladene Schriftart oder ein Skript im Template kann weiterhin eine HTTP-Adresse enthalten. Der Browser lädt dann gemischte Inhalte, auch Mixed Content genannt, und zeigt je nach Ressource eine Warnung oder blockiert den Abruf vollständig.
Nach einer HTTPS-Umstellung sollten mindestens diese Punkte kontrolliert werden:
Der technische Prüfpunkt „HTTP und HTTPS gleichzeitig erreichbar“ ist besonders wichtig. Bleiben identische Inhalte unter beiden Protokollen ohne saubere Weiterleitung erreichbar, entstehen widersprüchliche Signale für Suchmaschinen. Die empfohlene Lösung besteht aus einem gültigen Zertifikat, konsequenten HTTP-Weiterleitungen und regelmäßiger Kontrolle.
Ein manueller Browsercheck erfasst nur die Seiten, die du tatsächlich öffnest. Bei einer Website mit mehreren hundert Produkten, Sprachversionen oder älteren Landingpages bleiben dadurch leicht einzelne HTTP-Ressourcen unentdeckt. Der Technical Crawler der Performance Suite prüft die Domain flächendeckend und verbindet technische Crawling-Daten mit relevanten URLs aus Rankings, Google Search Console, Backlink-Zielen und Ads-Landingpages. Dadurch werden auch Seiten berücksichtigt, die intern kaum verlinkt sind.
Du möchtest einen ersten Überblick über Technik, Metadaten und weitere SEO-Signale deiner Domain erhalten? Lege dafür einen kostenlosen Zugang an:
6. HTTPS sauber kontrollieren
Öffne nach der Umstellung nicht nur die Startseite. Teste mindestens eine Kategorieseite, eine Detailseite, einen Ratgeber, ein Formular und gegebenenfalls den Checkout. Achte in den Entwicklerwerkzeugen des Browsers auf blockierte Inhalte und prüfe, ob der erste Aufruf einer HTTP-Adresse direkt an der richtigen HTTPS-Adresse endet.
Ein sinnvoller Kontrollablauf sieht so aus:
- Rufe eine alte HTTP-Adresse auf und kontrolliere die 301-Weiterleitung.
- Prüfe das Zertifikat auf Domain, Aussteller und Gültigkeitsdauer.
- Suche im Quellcode nach fest eingetragenen
http://-Adressen. - Crawle die komplette Website und exportiere alle verbliebenen HTTP-Ressourcen.
- Kontrolliere Canonical-Tags, Sitemap und interne Links.
- Teste die automatische Zertifikatsverlängerung.
Aktiviere HSTS erst, wenn die HTTPS-Version vollständig funktioniert. HTTP Strict Transport Security weist Browser an, die Domain künftig ausschließlich verschlüsselt aufzurufen. Das erhöht die Verbindungssicherheit, erschwert aber eine schnelle Rückkehr zu HTTP. Fehlerhafte Subdomains oder ein ungültiges Zertifikat können nach einer zu frühen Aktivierung deshalb schwerer erreichbar sein.
Für eine zusätzliche Kontrolle kannst du den kostenlosen SEO-Check nutzen. Er prüft bis zu 20 Unterseiten pro Abfrage auf technische Faktoren, Ladezeiten, Metadaten und weitere SEO-Signale.
7. So gehen wir vor
Bei einer HTTPS-Umstellung installieren wir nicht nur das Zertifikat. Wir erfassen zuerst alle relevanten URL-Varianten, richten eindeutige Weiterleitungen ein und prüfen anschließend Ressourcen, interne Links, Canonicals und Sitemap-Einträge. Der Technik-Crawler überwacht danach, ob Restfehler zurückbleiben oder ein Zertifikat später abläuft.
Wenn du die Umstellung nicht selbst durchführen möchtest, kannst du die technische und inhaltliche Onpage-Optimierung an die OSG übergeben. Erfahrung aus über 1.000 Projekten seit 2008 fließt dabei in die Priorisierung ein. Du erhältst eine feste Ansprechperson und kannst die Prüfungen sowie umgesetzte Maßnahmen in der Performance Suite nachvollziehen.
8. Häufige Fragen zu SSL
Wie kann ich prüfen, ob mein SSL-Zertifikat funktioniert?
Rufe die Website über HTTPS auf und kontrolliere das Zertifikat im Browser. Prüfe außerdem mehrere Unterseiten, Formulare und eingebundene Ressourcen. Eine erfolgreiche Startseite reicht nicht aus, wenn andere URLs weiterhin HTTP verwenden oder Mixed Content laden.
Was kostet ein SSL-Zertifikat?
Für die meisten Websites reicht ein kostenloses Zertifikat einer anerkannten Zertifizierungsstelle aus. Viele Hosting-Anbieter stellen es ohne separate Berechnung bereit. Kostenpflichtige Zertifikate kommen vor allem bei besonderen Validierungs-, Support- oder Unternehmensanforderungen infrage.
Wie lange dauert die Einrichtung eines SSL-Zertifikats?
Bei verwaltetem Hosting dauert die Aktivierung häufig nur wenige Minuten. Auf einem eigenen Server hängt der Aufwand von Webserver, Domainprüfung und vorhandener Konfiguration ab. Die vollständige Umstellung einer größeren Website benötigt mehr Zeit, weil Weiterleitungen und Ressourcen kontrolliert werden müssen.
Kann ich ein selbst signiertes Zertifikat verwenden?
Ein selbst signiertes Zertifikat eignet sich für interne Test- und Entwicklungsumgebungen. Öffentliche Browser erkennen den Aussteller nicht automatisch an und zeigen Besuchern eine Sicherheitswarnung. Für öffentliche Websites solltest du ein Zertifikat einer anerkannten Zertifizierungsstelle verwenden.
Warum zeigt der Browser trotz SSL eine Warnung?
Mögliche Ursachen sind ein abgelaufenes Zertifikat, ein nicht abgedeckter Hostname, eine unvollständige Zertifikatskette oder Mixed Content. Prüfe außerdem, ob Datum und Uhrzeit des aufrufenden Geräts stimmen und ob die Domain tatsächlich auf den richtigen Server verweist.
Muss jede HTTP-Adresse auf HTTPS weiterleiten?
Ja, jede öffentlich erreichbare HTTP-Adresse sollte dauerhaft mit Statuscode 301 auf die passende HTTPS-Adresse weiterleiten. Eine pauschale Weiterleitung aller Anfragen auf die Startseite ist ungeeignet, weil Nutzer und Suchmaschinen dadurch die konkrete Zielseite verlieren.
Kann ich HTTP/2 ohne SSL verwenden?
HTTP/2 kann technisch in bestimmten Umgebungen unverschlüsselt betrieben werden. Übliche Browser verwenden HTTP/2 bei öffentlichen Websites jedoch praktisch über HTTPS. Für eine normale Website solltest du HTTP/2 deshalb zusammen mit einem gültigen SSL-Zertifikat konfigurieren.
Plane bei der Eigenregie den größeren Teil deiner Zeit für die Kontrolle nach der Installation ein. Das Zertifikat schützt die Verbindung erst dann durchgängig, wenn jede relevante URL auf HTTPS führt, alle Ressourcen verschlüsselt geladen werden und die automatische Verlängerung zuverlässig läuft.
Wenn du deine HTTPS-Umstellung fachlich prüfen oder vollständig umsetzen lassen möchtest, klären wir im Erstgespräch, welche technischen Schritte für deine Domain sinnvoll sind. Der Potenzialcheck ist kostenlos, unverbindlich und als fachliche Ersteinschätzung gedacht.
Keine Kommentare vorhanden