Wie funktioniert ein SSL-Zertifikat?
Kurzantwort
Ein SSL-Zertifikat bestätigt die Identität einer Website und ermöglicht eine verschlüsselte Verbindung. Der Browser fordert HTTPS an, prüft Zertifikat, Gültigkeit, Aussteller und Domainnamen. Bestehen alle Prüfungen, vereinbaren Browser und Server einen Sitzungsschlüssel. Mit diesem Schlüssel werden die übertragenen Daten während der Verbindung geschützt.
Das SSL-Zertifikat arbeitet dabei im Hintergrund. Für Besucher zählt vor allem, dass der Browser die HTTPS-Verbindung ohne Warnung öffnet. Für Website-Betreiber sind drei Punkte relevant: korrekt einrichten, automatische Verlängerung aktivieren und den Zertifikatsstatus laufend überwachen.
1. So läuft die Zertifikatsprüfung ab
Der Kern des Verfahrens besteht aus vier Prüfschritten. Das Zertifikat verschlüsselt die Website nicht allein. Es weist zunächst nach, mit welchem Server der Browser verbunden ist, und schafft die Grundlage für eine geschützte Datenübertragung.
| Schritt | Was passiert? | Was wird geprüft? |
|---|---|---|
| 1. Verbindung anfordern | Der Browser ruft die Website über HTTPS auf. | Der Server muss eine gesicherte Verbindung unterstützen. |
| 2. Zertifikat senden | Der Server übermittelt sein SSL-Zertifikat samt Zertifikatskette. | Das Zertifikat enthält unter anderem Domain, Aussteller und Gültigkeitszeitraum. |
| 3. Zertifikat prüfen | Der Browser kontrolliert die hinterlegten Angaben. | Aussteller, Ablaufdatum, Domainname und Vertrauenskette müssen stimmen. |
| 4. Schlüssel vereinbaren | Browser und Server erzeugen einen gemeinsamen Sitzungsschlüssel. | Die weitere Übertragung wird symmetrisch verschlüsselt. |
Der Browser vertraut einem Zertifikat, wenn dessen Aussteller zu einer anerkannten Zertifizierungsstelle zurückgeführt werden kann. Diese Vertrauenskette ist der Grund, warum ein selbst ausgestelltes Zertifikat auf einem internen Testsystem funktionieren kann, auf einer öffentlichen Website aber regelmäßig eine Browserwarnung auslöst.
2. Wie SSL und TLS zusammenspielen
Im Alltag wird weiterhin von SSL gesprochen, technisch kommt heute jedoch TLS zum Einsatz. TLS steht für Transport Layer Security und ist der modernere Nachfolger des veralteten SSL-Protokolls. Begriffe wie SSL-Zertifikat, SSL-Verschlüsselung und SSL-Verbindung meinen bei aktuellen Websites deshalb meist eine TLS-gesicherte HTTPS-Verbindung.
SSL-Zertifikat und TLS kurz eingeordnet
Ein SSL-Zertifikat bestätigt die Website-Identität. TLS regelt den Aufbau und die Verschlüsselung der Verbindung. HTTPS ist das Protokoll, über das die gesicherte Website im Browser aufgerufen wird.
Für Website-Betreiber ist diese begriffliche Trennung selten ein operatives Thema. Relevant wird sie, wenn ein Server nur veraltete Protokollversionen unterstützt oder die Konfiguration nach einem Relaunch aus einer alten Umgebung übernommen wurde. Ein aktuelles Zertifikat allein reicht dann nicht aus, weil auch die unterstützten TLS-Versionen und die Serverkonfiguration stimmen müssen.
3. So funktioniert die SSL-Verschlüsselung
Beim Verbindungsaufbau nutzt TLS zunächst Verfahren, mit denen der Server seine Identität nachweist und Browser und Server sicher einen Schlüssel vereinbaren können. Anschließend verschlüsseln beide Seiten die eigentlichen Daten mit einem kurzfristigen Sitzungsschlüssel. Dieses Verfahren ist für große Datenmengen schneller als eine vollständige Übertragung mit asymmetrischer Verschlüsselung.
Über die verschlüsselte Verbindung laufen beispielsweise Formulardaten, Passwörter, Bestellungen, Cookies und Seiteninhalte. Ein mitlesender Dritter sieht zwar unter Umständen, dass eine Verbindung zu einem Server besteht, kann die übertragenen Inhalte aber nicht ohne Weiteres lesen oder verändern.
HTTPS schützt allerdings nur den Transportweg. Ein gültiges Zertifikat sagt nichts darüber aus, ob ein Onlineshop seriös ist, eine Anwendung sichere Passwörter verwendet oder der Server frei von Schadsoftware ist. Das Schloss im Browser bedeutet daher: Die Verbindung zu dieser Domain ist verschlüsselt und das vorgelegte Zertifikat wurde akzeptiert.
4. So entsteht eine SSL-Verbindung
Eine SSL-Verbindung entsteht innerhalb weniger Schritte, bevor der Browser die eigentliche Seite anzeigt. Diese Startphase wird TLS-Handshake genannt. Browser und Server handeln dabei eine gemeinsame Protokollversion und geeignete Verschlüsselungsverfahren aus. Danach prüft der Browser das Zertifikat und beide Seiten erzeugen den Sitzungsschlüssel.
Passt nur ein Prüfpunkt nicht, stoppt der Browser den normalen Seitenaufruf oder zeigt eine deutliche Warnung. Genau deshalb lassen sich typische SSL-Fehler meist schnell eingrenzen. Eine Meldung zum Domainnamen weist auf das falsche Zertifikat hin. Eine Meldung zum Aussteller betrifft häufig die Vertrauenskette. Ein Datumshinweis spricht meist für ein abgelaufenes Zertifikat.
5. Die häufigsten SSL-Fehlermeldungen
Der typische Kipppunkt ist nicht die erstmalige Einrichtung, sondern die Verlängerung. Das Zertifikat läuft monatelang unauffällig, bis ein automatischer Erneuerungsprozess wegen einer geänderten Serverkonfiguration, eines DNS-Problems oder fehlender Zugriffsrechte scheitert. Am nächsten Morgen sehen Besucher eine Warnseite. Deshalb ist ein Ablaufmonitor wichtiger als die gelegentliche manuelle Kontrolle.
Ein abgelaufenes Zertifikat betrifft alle Kanäle. Besucher aus der organischen Suche, Google Ads, Social Media und direkten Aufrufen erhalten dieselbe Warnung. Bei Formularen und Onlineshops bricht damit häufig der gesamte Weg bis zur Anfrage oder Bestellung ab. Automatische Verlängerung und eine zusätzliche Überwachung sollten unabhängig voneinander laufen.
Auch Relaunches liefern ein wiederkehrendes Fehlerbild: Die neue Website ist technisch erreichbar, verwendet aber ein Zertifikat aus der Testumgebung oder deckt nur eine Domainvariante ab. Die Technik-Checks der Performance Suite berücksichtigen unter anderem abgelaufene und veraltete Zertifikate. Der Security-Crawler prüft mehr als 100 Sicherheits-, SSL- und Malware-Punkte.
| Browsermeldung | Typische Ursache | Sinnvolle Prüfung |
|---|---|---|
| Zertifikat abgelaufen | Die Verlängerung wurde nicht ausgeführt oder nicht installiert. | Ablaufdatum und automatische Erneuerung prüfen. |
| Domain stimmt nicht überein | Das Zertifikat gilt für eine andere Domain oder Subdomain. | Domainnamen und Zertifikatseinträge vergleichen. |
| Unbekannter Aussteller | Die Zertifikatskette ist unvollständig oder nicht vertrauenswürdig. | Zwischenzertifikate und Aussteller kontrollieren. |
| Selbst ausgestelltes Zertifikat | Das Zertifikat wurde nicht von einer anerkannten Stelle signiert. | Für öffentliche Websites ein anerkanntes Zertifikat einsetzen. |
Wenn du technische Prüfungen und Warnungen zentral auswerten möchtest, kannst du einen kostenlosen Zugang anlegen:
6. So prüfst du, ob SSL läuft
Ob SSL läuft, erkennst du zuerst an der Adresse im Browser. Sie muss mit https:// beginnen. Über das Schloss oder das Sicherheitssymbol neben der Adresse lassen sich die Zertifikatsdetails öffnen. Prüfe dort die Domain, den Aussteller und den Gültigkeitszeitraum. Der Browser darf beim Aufruf keine Zertifikatswarnung anzeigen.
Eine manuelle Browserprüfung erfasst allerdings nur den aktuellen Moment und meist nur die gerade verwendete Domainvariante. Ein externer Test kann zusätzlich bewerten, ob die Zertifikatskette vollständig ist, welche TLS-Versionen der Server unterstützt und ob einzelne Subdomains abweichend konfiguriert sind.
6.1 Funktioniert das Zertifikat vollständig?
Ein funktionierendes SSL-Zertifikat bedeutet mehr als ein sichtbares Schloss. Rufe mindestens die Varianten mit und ohne www sowie eine wichtige Unterseite auf. Prüfe außerdem, ob Aufrufe über HTTP automatisch auf HTTPS weitergeleitet werden. Für eine konsistente Website sollte jede HTTP-Adresse mit einer dauerhaften Weiterleitung auf die passende HTTPS-Adresse führen.
Der Technik-Crawler der Performance Suite prüft je Durchlauf über 100 technische Punkte und zeigt Entwicklungen über mehrere Prüfungen. Dazu gehören die vollständige HTTPS-Nutzung, Weiterleitungen und weitere technische Konfigurationsfehler. Die empfohlene Konfiguration umfasst außerdem eine regelmäßige Prüfung der HTTPS-Erreichbarkeit und eine rechtzeitige Zertifikatserneuerung.
Eine erste technische Bestandsaufnahme liefert auch der kostenlose SEO-Check. Er prüft neben weiteren SEO-Faktoren die technische Erreichbarkeit und zentrale Seiteneinstellungen.
7. Ablauf automatisch überwachen
Bei einer stabil laufenden Website macht die Verschlüsselung selten Probleme. Der häufigste Vorfall ist ein abgelaufenes Zertifikat, weil die Verlängerung unbemerkt fehlgeschlagen ist. Die sinnvollste Entscheidung lautet deshalb: automatische Verlängerung beim Hosting aktivieren und zusätzlich eine unabhängige Ablaufwarnung einrichten.
Das Uptime-Monitoring der Performance Suite kontrolliert die Erreichbarkeit laufend und meldet technische Probleme, bevor Besucher über längere Zeit betroffen sind. Die Überwachung erfasst nicht nur, ob eine URL antwortet, sondern kann auch Statuscodes und fehlerhafte Antworten sichtbar machen.
Ein Zertifikatsalarm sollte nicht nur an eine einzelne Person gehen. Sinnvoll sind mindestens eine technische Zuständigkeit und eine Vertretung. Prüfe außerdem nach jedem Hostingwechsel, Serverumzug und Relaunch, ob die Überwachung weiterhin die richtige Domain kontrolliert. Ein aktiver Alarm für eine alte Testdomain schützt die Live-Website nicht.
8. SSL Inspection kurz erklärt
SSL Inspection bezeichnet die kontrollierte Entschlüsselung und erneute Verschlüsselung von TLS-Verbindungen durch Sicherheitslösungen in Firmennetzen, damit Schadsoftware oder unerlaubte Datenübertragungen erkannt werden können. Das Thema betrifft vor allem Unternehmensnetzwerke und deren Sicherheitsprüfung, nicht die Einrichtung des Zertifikats auf deiner eigenen Website.
9. Bedeutung für SEO und Marketing
HTTPS ist die technische Grundlage einer professionell betriebenen Website. Eine Zertifikatswarnung verhindert häufig, dass Besucher Inhalte, Formulare oder den Checkout überhaupt erreichen. Das betrifft organischen Traffic ebenso wie bezahlte Kampagnen. Ein abgelaufenes Zertifikat kann deshalb Marketingbudget entwerten, obwohl SEO- und SEA-Kampagnen korrekt laufen.
Für Suchmaschinen muss außerdem eine klare HTTPS-Version existieren. Wenn HTTP, HTTPS, www und Nicht-www parallel erreichbar sind, entstehen unnötige URL-Varianten. Richte eine bevorzugte Version ein, leite die übrigen Varianten dorthin weiter und verwende in Canonical-Tags, Sitemap sowie internen Links ausschließlich die finale HTTPS-Adresse.
10. So gehen wir vor
Bei technischen SEO-Projekten prüfen wir zuerst Zertifikat, Domainvarianten, Weiterleitungen und HTTPS-Ressourcen. Die Performance Suite überwacht anschließend Zertifikatsstatus, Erreichbarkeit und technische Veränderungen fortlaufend. Alerts machen aus einer jährlichen Erinnerung einen überprüfbaren Prozess. Wenn du deine gesamte Website technisch bewerten lassen möchtest, findest du den passenden Einstieg in unserem SEO-Audit oder über einen persönlichen Potenzialcheck.
11. Häufige Fragen zu SSL und TLS
Wie überprüfe ich, ob SSL läuft?
Rufe die Website über HTTPS auf und öffne über das Sicherheitssymbol im Browser die Zertifikatsdetails. Domain, Aussteller und Gültigkeitszeitraum müssen stimmen. Zusätzlich sollte keine Browserwarnung erscheinen.
Wie überprüfe ich, ob mein SSL-Zertifikat funktioniert?
Prüfe die Website mit und ohne www, wichtige Subdomains und mehrere Unterseiten. HTTP-Aufrufe sollten auf HTTPS weiterleiten. Ein externer SSL-Test kann zusätzlich Zertifikatskette, Protokolle und Serverkonfiguration bewerten.
Was ist der Unterschied zwischen SSL und TLS?
TLS ist der moderne Nachfolger von SSL und wird für aktuelle HTTPS-Verbindungen verwendet. Der Begriff SSL-Zertifikat ist weiterhin üblich, obwohl die technische Verbindung in der Regel mit TLS abgesichert wird.
Was passiert, wenn ein SSL-Zertifikat abläuft?
Browser zeigen eine Sicherheitswarnung und blockieren teilweise den normalen Zugriff. Besucher brechen den Aufruf häufig ab. Deshalb sollten automatische Verlängerung und Ablaufüberwachung gleichzeitig aktiviert sein.
Ist ein selbst ausgestelltes SSL-Zertifikat sicher?
Ein selbst ausgestelltes Zertifikat kann Daten verschlüsseln, wird von öffentlichen Browsern aber nicht automatisch als vertrauenswürdig akzeptiert. Es eignet sich vor allem für kontrollierte interne Umgebungen, nicht für eine öffentlich erreichbare Unternehmenswebsite.
Wie funktioniert SSL Inspection?
Eine Sicherheitslösung im Firmennetz entschlüsselt die Verbindung kontrolliert, untersucht die übertragenen Inhalte und verschlüsselt sie anschließend erneut. Das dient der Netzwerksicherheit und ist kein Prüfverfahren für das Zertifikat der eigenen Website.
Schützt ein SSL-Zertifikat die ganze Website vor Angriffen?
Nein. Das Zertifikat schützt die Datenübertragung zwischen Browser und Server. Sicherheitslücken in Anwendungen, unsichere Passwörter, Schadsoftware und fehlerhafte Zugriffsrechte müssen separat geprüft und abgesichert werden.
Aktiviere zuerst die automatische Zertifikatsverlängerung und richte danach eine unabhängige Überwachung ein. So wird ein abgelaufenes Zertifikat zur gemeldeten Wartungsaufgabe, bevor daraus eine Warnseite für Besucher wird. Wenn du zusätzlich wissen möchtest, welche technischen Punkte deine Website bei Google und für Nutzer verbessern kann, besprechen wir den Ist-Stand kostenlos und unverbindlich.
Keine Kommentare vorhanden