Welche Arten von SSL-Zertifikaten gibt es?
Kurzantwort
SSL-Zertifikate lassen sich nach Prüftiefe und Abdeckung unterscheiden. Bei der Prüftiefe gibt es Domain Validation, Organization Validation und Extended Validation. Bei der Abdeckung unterscheidet man Single-Domain-, Wildcard- und Multi-Domain-Zertifikate. Für die meisten Websites reicht ein kostenloses Domain-Validation-Zertifikat des Hosters vollständig aus.
Das passende SSL-Zertifikat hängt vor allem davon ab, welche Domains und Subdomains deine Website nutzt. Die Prüftiefe beeinflusst die Identitätskontrolle, aber nicht automatisch die Stärke der Verschlüsselung. Entscheide deshalb zuerst nach der benötigten Abdeckung und erst danach nach dem gewünschten Identitätsnachweis.
1. Zwei Kriterien schaffen Klarheit
Bei SSL-Zertifikaten werden häufig zwei unterschiedliche Eigenschaften vermischt. Die erste Eigenschaft beschreibt, wie ausführlich die Zertifizierungsstelle den Antragsteller prüft. Die zweite legt fest, für welche Domainnamen das Zertifikat gültig ist. Ein Zertifikat kann deshalb gleichzeitig ein DV-Zertifikat und ein Wildcard-Zertifikat sein.
| Kriterium | Varianten | Wofür es relevant ist |
|---|---|---|
| Prüftiefe | DV, OV, EV | Wie ausführlich die Identität des Antragstellers geprüft wird |
| Abdeckung | Single Domain, Wildcard, Multi Domain | Welche Domains und Subdomains geschützt werden |
Die Verschlüsselung entsteht technisch durch TLS und die Konfiguration des Webservers. Ein teures EV-Zertifikat verschlüsselt eine Verbindung daher nicht zwangsläufig besser als ein kostenloses DV-Zertifikat. Genau dieser Punkt wird beim Verkauf kostenpflichtiger Zertifikate gern unscharf dargestellt.
2. SSL-Zertifikate nach Prüftiefe
2.1 Domain Validation für Standard-Websites
Bei einem Domain-Validation-Zertifikat, kurz DV-Zertifikat, wird geprüft, ob der Antragsteller die betreffende Domain kontrolliert. Der Nachweis erfolgt beispielsweise über einen DNS-Eintrag, eine Datei auf dem Webserver oder eine Bestätigung über das Hosting-System. Eine ausführliche Prüfung des Unternehmens findet nicht statt.
DV-Zertifikate sind für Blogs, Unternehmenswebsites, Landingpages und viele Onlineshops ausreichend. Viele Hoster stellen sie kostenlos bereit und verlängern sie automatisch. Wenn deine Website lediglich eine verschlüsselte HTTPS-Verbindung benötigt, ist DV meist die vernünftige Wahl.
2.2 Organization Validation mit Firmenprüfung
Bei einem Organization-Validation-Zertifikat, kurz OV-Zertifikat, prüft die Zertifizierungsstelle zusätzlich Angaben zur Organisation. Dazu können Firmenname, Anschrift und Registerinformationen gehören. Der Besucher sieht diesen Identitätsnachweis in modernen Browsern allerdings nicht so prominent, wie viele Käufer erwarten.
Ein OV-Zertifikat kann sinnvoll sein, wenn interne Richtlinien, Geschäftspartner oder Compliance-Prozesse einen geprüften Organisationsbezug verlangen. Für die normale Verschlüsselung einer öffentlich erreichbaren Website entsteht gegenüber einem sauber eingerichteten DV-Zertifikat kein grundsätzlicher Sicherheitsgewinn.
2.3 Extended Validation für Sonderanforderungen
Extended-Validation-Zertifikate, kurz EV-Zertifikate, setzen eine besonders ausführliche Prüfung der Organisation voraus. Die Zertifizierungsstelle kontrolliert unter anderem die rechtliche Existenz und die Berechtigung des Antragstellers. Moderne Browser zeigen EV-Zertifikate jedoch nicht mehr durch eine auffällige grüne Adressleiste an.
EV eignet sich vor allem dann, wenn eine Organisation den erweiterten Identitätsnachweis ausdrücklich benötigt. Ohne eine solche Vorgabe zahlst du hauptsächlich für zusätzliche Prüfprozesse und ein Sicherheitsgefühl. Die eigentliche TLS-Verschlüsselung wird allein durch das EV-Kürzel nicht stärker.
Teuer bedeutet nicht stärker verschlüsselt: DV, OV und EV beschreiben die Identitätsprüfung. Für die technische Sicherheit zählen unter anderem eine aktuelle TLS-Version, eine passende Serverkonfiguration, die vollständige HTTPS-Umstellung und eine rechtzeitige Verlängerung des Zertifikats.
3. SSL-Zertifikate nach Abdeckung
3.1 Single Domain für einen Domainnamen
Ein Single-Domain-Zertifikat gilt für einen festgelegten Domainnamen, zum Beispiel www.beispiel.de. Ob zusätzlich beispiel.de ohne www enthalten ist, hängt vom konkreten Zertifikat ab. Beide Varianten sollten deshalb ausdrücklich geprüft werden.
Single Domain passt zu Websites mit einer klaren Hauptdomain und ohne weitere technische Subdomains. Beachte dabei, dass Suchmaschinen die www- und Nicht-www-Variante zunächst als unterschiedliche Adressen behandeln. Eine Variante sollte daher als Hauptadresse festgelegt und die andere dauerhaft weitergeleitet werden.
3.2 Wildcard für viele Subdomains
Ein Wildcard-Zertifikat deckt alle direkten Subdomains einer Domain ab. Das Muster *.beispiel.de kann beispielsweise shop.beispiel.de, blog.beispiel.de und login.beispiel.de schützen. Tiefer verschachtelte Namen wie intern.shop.beispiel.de sind dadurch üblicherweise nicht automatisch abgedeckt.
Ein häufiger Planungsfehler betrifft die Hauptdomain: Das Wildcard-Muster *.beispiel.de umfasst technisch nicht zwingend beispiel.de. Die Hauptdomain muss zusätzlich im Zertifikat enthalten sein. Prüfe deshalb alle tatsächlich genutzten Hostnamen und nicht nur das Sternchen im Produktnamen.
3.3 Multi Domain für verschiedene Domains
Ein Multi-Domain-Zertifikat schützt mehrere unterschiedliche Domainnamen innerhalb eines Zertifikats. Dafür werden die Namen als Subject Alternative Names, kurz SAN, eingetragen. Ein solches Zertifikat kann beispielsweise beispiel.de, beispiel.com und andere-marke.de umfassen.
Multi Domain eignet sich für Unternehmen mit mehreren Marken, Länder-Domains oder technischen Plattformen. Der Vorteil ist die zentrale Verwaltung. Der Nachteil ist die gemeinsame Abhängigkeit: Änderungen, Austausch oder Ablauf des Zertifikats betreffen potenziell mehrere Websites gleichzeitig.
4. Welches Zertifikat brauchst du?
Für die meisten Unternehmenswebsites genügt ein kostenloses DV-Zertifikat. Die wichtigste Frage lautet nicht, wie teuer das Zertifikat ist, sondern welche Domainvarianten es abdecken muss. Erstelle vor der Auswahl eine Liste aller Adressen, über die Nutzer, Suchmaschinen oder Kampagnen deine Website erreichen.
Die richtige Reihenfolge
Prüfe zuerst Hauptdomain, www-Variante und alle Subdomains. Wähle danach Single Domain, Wildcard oder Multi Domain. Entscheide erst im letzten Schritt, ob neben der Domainkontrolle auch eine Organisationsprüfung erforderlich ist. Für die meisten Websites endet die Auswahl bei einem kostenlosen DV-Zertifikat.
Bei der technischen Bestandsaufnahme werden regelmäßig vergessene Hostnamen sichtbar: ein alter Shop, ein Kundenportal, eine Staging-Umgebung oder eine Kampagnen-Subdomain. Genau dort entstehen Zertifikatswarnungen, obwohl die Hauptwebsite fehlerfrei funktioniert. Ein Zertifikat ist nur dann passend, wenn es jede öffentlich genutzte Adresse umfasst.
Du kannst deine Website zusätzlich mit dem kostenlosen SEO-Check auf technische Auffälligkeiten prüfen. Fachbegriffe rund um HTTPS, Crawling und Weiterleitungen findest du außerdem im SEO-Lexikon.
Wenn du technische Prüfungen regelmäßig statt punktuell durchführen möchtest, kannst du einen Free Account anlegen:
5. SSL oder TLS verwenden?
TLS ist die aktuelle Technik zur Absicherung der Verbindung zwischen Browser und Webserver. SSL ist der historische Vorgänger. Obwohl heute überwiegend TLS 1.2 oder TLS 1.3 eingesetzt wird, haben sich Begriffe wie SSL-Zertifikat und SSL-Verschlüsselung im allgemeinen Sprachgebrauch gehalten.
Du musst daher normalerweise kein spezielles TLS-Zertifikat statt eines SSL-Zertifikats kaufen. Das Zertifikat stellt die Identität und den öffentlichen Schlüssel bereit. Welche TLS-Version tatsächlich verwendet wird, bestimmt die Konfiguration des Servers beziehungsweise des Hosters. Alte SSL-Protokolle sollten nicht mehr aktiviert sein.
6. Auf welcher Schicht arbeitet SSL?
SSL beziehungsweise TLS liegt funktional zwischen der Transport- und Anwendungsschicht. Im OSI-Modell wird es häufig der Sitzungsschicht, also Layer 5, zugeordnet. In der Praxis läuft TLS über TCP und sichert Anwendungsprotokolle wie HTTP, wodurch aus HTTP die verschlüsselte Variante HTTPS wird.
Für die Auswahl des Zertifikats ist diese Schichtzuordnung nicht relevant. Entscheidend sind die Domainabdeckung, die Identitätsprüfung, die unterstützten TLS-Versionen und die korrekte Konfiguration des Servers.
7. Zertifikat technisch überprüfen
Ein gültiges Zertifikat allein reicht nicht. Alle HTTP-Aufrufe sollten auf HTTPS weiterleiten, interne Ressourcen müssen ebenfalls verschlüsselt geladen werden und die bevorzugte Domainvariante muss einheitlich erreichbar sein. Der Technik-Crawler kann dabei unter anderem Statuscodes, Weiterleitungen, Canonicals und Mixed Content prüfen.
Der kritische Moment ist häufig nicht die erste Einrichtung, sondern eine spätere Änderung. Eine neue Subdomain geht live, ein Zertifikat wird ausgetauscht oder die automatische Verlängerung scheitert. Bei einem abgelaufenen Zertifikat zeigen Browser eine deutliche Warnung. Das betrifft dann nicht nur organischen Traffic, sondern ebenso Zugriffe aus Google Ads, Social Media und direkten Aufrufen.
Die SSL- und Technik-Checks der Performance Suite prüfen regelmäßig, ob eingesetzte Zertifikate und Domainvarianten technisch erreichbar sind. Der Technik-Crawler kann je Durchlauf mehr als 100 technische Kriterien kontrollieren und wichtige URLs automatisiert überwachen.
8. So gehen wir vor
Bei einer technischen Prüfung erfassen wir zuerst alle erreichbaren Domainvarianten und Subdomains. Anschließend gleichen wir diese Liste mit der Zertifikatsabdeckung, den Weiterleitungen und den intern verlinkten URLs ab. Die OSG nutzt dafür automatisierte Crawls und priorisiert Fehler danach, welche wichtigen Seiten, Rankings oder Kampagnen betroffen sind. Die Ergebnisse bleiben in der Performance Suite sichtbar und können direkt an die zuständigen Entwickler übergeben werden. Einen Überblick über dieses Vorgehen gibt unser Beitrag zum SEO-Technik-Crawler.
9. Häufige Fragen zu SSL-Zertifikaten
Welches SSL-Zertifikat ist für eine normale Website richtig?
Für eine normale Unternehmenswebsite reicht meist ein kostenloses DV-Zertifikat. Nutzt die Website nur einen Domainnamen, genügt Single Domain. Für mehrere Subdomains brauchst du meist ein Wildcard-Zertifikat.
Sind kostenlose SSL-Zertifikate sicher?
Ein kostenloses DV-Zertifikat kann dieselbe starke TLS-Verschlüsselung ermöglichen wie ein kostenpflichtiges Zertifikat. Wichtig sind eine aktuelle TLS-Konfiguration, eine vertrauenswürdige Zertifizierungsstelle und die zuverlässige Verlängerung.
Was kostet ein SSL-Zertifikat?
Viele Hoster stellen DV-Zertifikate kostenlos bereit. Kostenpflichtige Zertifikate werden vor allem für Wildcard-Abdeckung, mehrere Domains, Organisationsprüfungen, Support oder besondere Unternehmensanforderungen angeboten.
Brauche ich für jede Subdomain ein eigenes Zertifikat?
Nein. Ein Wildcard-Zertifikat kann mehrere direkte Subdomains einer Hauptdomain schützen. Alternativ lassen sich einzelne Subdomains als zusätzliche Namen in einem Multi-Domain-Zertifikat eintragen.
Ist TLS das Gleiche wie SSL?
TLS ist der technische Nachfolger von SSL. Im Alltag wird weiterhin von SSL-Zertifikaten gesprochen, obwohl moderne HTTPS-Verbindungen tatsächlich TLS verwenden.
Wie erkenne ich ein abgelaufenes SSL-Zertifikat?
Browser zeigen bei einem abgelaufenen Zertifikat normalerweise eine Sicherheitswarnung. Das Ablaufdatum lässt sich zudem über die Zertifikatsinformationen im Browser oder durch ein automatisiertes Website-Monitoring kontrollieren.
Kann ich ein SSL-Zertifikat selbst einrichten?
Ja, wenn du Zugriff auf das Hosting, den Webserver oder die DNS-Verwaltung hast. Bei vielen Hostern lässt sich ein kostenloses Zertifikat mit wenigen Einstellungen aktivieren. Danach müssen HTTPS-Weiterleitungen und alle Domainvarianten geprüft werden.
Wähle ein SSL-Zertifikat nach der realen Domainstruktur deiner Website. Eine einfache Website braucht selten mehr als DV und Single Domain. Sobald Subdomains oder mehrere Marken-Domains hinzukommen, zählt eine vollständige Bestandsaufnahme mehr als der Preis des Zertifikats.
Wenn du klären möchtest, welche technischen Fehler auf deiner Domain aktuell Priorität haben, kannst du einen kostenlosen und unverbindlichen Potenzialcheck anfragen. Das Erstgespräch dient der fachlichen Einordnung und ist kein Verkaufsgespräch.
Keine Kommentare vorhanden