SSL-Check: Zertifikat und HTTPS der Website prüfen

Was der SSL-Check prüft

Der SSL-Check ist der Bereich Technik des Website-Checks und im Ergebnis zuerst geöffnet, die übrigen fünf Bereiche liegen zugeklappt darunter. Er stellt fest:

• ob die Seite erreichbar ist oder mit einem Fehlercode antwortet
• ob sie über HTTPS ausgeliefert wird
• ob das Zertifikat auf jeder Station der Weiterleitungen gültig ist
• wie viele Tage es noch gilt und wer es ausgestellt hat
• ob die http-Adresse der Domain auf https weiterleitet
• ob der Header für HSTS gesetzt ist

Geben Sie die Adresse ohne Protokoll ein, beginnt der Check mit https://. Läuft Ihre Seite noch ganz ohne HTTPS, tippen Sie http:// davor, sonst meldet er womöglich, die Seite sei nicht erreichbar. Im Kopf des Ergebnisses steht die Adresse, bei der er nach allen Weiterleitungen gelandet ist. Geprüft wird nur diese eine Seite, bis zu 20-mal pro Stunde je Besucher.

Statuscode und Erreichbarkeit

Antwortet die Seite mit einem Statuscode ab 400, etwa 404 oder 500, meldet der Check ein Problem. Häufig ist 403: Eine Firewall oder ein Schutz-Plugin lässt den Abruf nicht zu. Der Check meldet sich im Zugriffsprotokoll als BemuarWebsiteCheck und lässt sich in den meisten Schutzeinstellungen gezielt zulassen. Solange der Fehler besteht, werten alle Bereiche nur die Fehlerseite aus. Kommt gar keine verwertbare Antwort, bricht der Check mit einer Meldung ab, etwa wenn die Domain nicht gefunden wird, die Seite nicht rechtzeitig antwortet oder mehr als fünfmal weiterleitet.

Ungültiges Zertifikat: was der Check meldet

Lässt sich das Zertifikat nicht bestätigen, weil es abgelaufen ist, für einen anderen Namen gilt, selbst signiert ist oder ein Zwischenzertifikat fehlt, ruft der Check die Seite ein zweites Mal ohne diese Prüfung ab. Gelingt das, läuft die Auswertung weiter, und im Bereich Technik steht ganz oben das Problem „Das HTTPS-Zertifikat ist ungültig“. Besucher sehen in diesem Fall eine Warnseite des Browsers. Gelingt auch der zweite Abruf nicht, bricht der Check mit einer Meldung zum Zertifikat ab. Die genaue Ursache nennt er nicht. Typische Fehlerbilder und ihre Lösung beschreibt HTTPS und SSL-Zertifikat, die Abhilfe liegt meist beim Hoster.

Restlaufzeit und Aussteller

Ist das Zertifikat gültig, liest der Check es zusätzlich direkt vom Server: Er nennt die verbleibenden Tage und den Aussteller, etwa Let's Encrypt oder eine andere Zertifizierungsstelle. Bleiben weniger als 14 Tage, gibt es einen Hinweis. Automatische Verlängerungen laufen meist einige Wochen vor dem Ablauf. Eine Restlaufzeit von wenigen Tagen ist deshalb ein Zeichen, dass die Verlängerung hängen geblieben sein könnte, typisch nach einem Hosterwechsel oder einer Änderung am DNS. Fragen Sie dann beim Hoster nach. Die zulässige Höchstlaufzeit von Zertifikaten wird schrittweise kürzer, eine funktionierende automatische Verlängerung wird damit immer wichtiger.

Weiterleitung von http auf https: so testet der Check

Ist die geprüfte Seite verschlüsselt, schickt der Check eine weitere Anfrage an die http-Adresse des Domainnamens, bei dem er gelandet ist, ohne Pfad. Landet er bei https://www.beispiel.de, fragt er also http://www.beispiel.de/ ab. In Ordnung ist es nur, wenn schon die erste Antwort auf eine https-Adresse weiterleitet. Führt sie zunächst auf eine andere http-Adresse, gibt es einen Hinweis, denn dieser Schritt bleibt unverschlüsselt. Die Schreibweise ohne www prüft er dabei nicht. Geben Sie sie mit http:// davor als eigene Adresse ein, dann sehen Sie die Kette im Bereich Ladezeit und das Ziel im Kopf des Ergebnisses. Antwortet die http-Adresse gar nicht, fehlt die Zeile.

HSTS: geprüft wird nur, ob der Header da ist

Bei verschlüsselten Seiten sucht der Check den Header Strict-Transport-Security. Ist er gesetzt, steht die Zeile auf in Ordnung. Fehlt er, gibt es nur eine Info, die Punktzahl bleibt unberührt. Welche Laufzeit eingetragen ist und ob Unterdomains eingeschlossen sind, wertet der Check nicht aus. HSTS legt Browser für eine festgelegte Zeit auf HTTPS fest und lässt sich nicht kurzfristig zurücknehmen. Es gehört deshalb erst auf eine Domain, auf der HTTPS überall stabil läuft. Wie Sie dabei schrittweise vorgehen, steht auf der Wissensseite zu HTTPS.

Gemischte Inhalte stehen unter Datenschutz-Technik

Zeigt der Browser trotz HTTPS kein Schloss oder eine Warnung, werden meist einzelne Dateien noch mit http:// geladen. Diese Prüfung steht im Ergebnis nicht unter Technik, sondern im Bereich Datenschutz-Technik als „Inhalte ohne HTTPS eingebunden“. Gezählt werden Skripte, Stylesheets, Bilder und eingebettete Rahmen, deren Adresse im HTML fest mit http:// beginnt. Adressen, die erst ein Skript zusammensetzt oder die in einer CSS-Datei stehen, findet der Check nicht. Im DSGVO-Check ist dieser Bereich zuerst aufgeklappt, hier liegt er zugeklappt unter dem Bereich Technik.

HTTPS, Formulare und Datenschutzrecht

Kontaktformulare übertragen Namen, Telefonnummern und Nachrichten. Ohne HTTPS gehen diese Daten unverschlüsselt durchs Netz, und Browser warnen bei Eingabefeldern auf solchen Seiten. Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten und nennt Verschlüsselung dort als eine mögliche Maßnahme. Für eine Website mit Formular gilt HTTPS deshalb nach verbreiteter Einschätzung als üblicher Standard. Diese Einordnung ersetzt keine Rechtsberatung. Unabhängig davon bevorzugt Google seit Langem die verschlüsselte Fassung einer Seite.

Punktzahl im Bereich Technik und Grenzen des Tests

In die Punktzahl gehen Statuscode, HTTPS, Zertifikat und die Weiterleitung von http ein, gewichtet nach einer schlichten Regel, die Bemuar selbst festgelegt hat. Eine erreichbare Seite mit gültigem Zertifikat und sauberer Weiterleitung erreicht 100 Punkte, auch ohne HSTS. Eine erreichbare Seite ganz ohne HTTPS landet bei 50. Der Check liest das Zertifikat des ersten Servers, auf den die Domain zeigt, bevorzugt über IPv4. Steht ein Vorschaltdienst davor, sieht er dessen Zertifikat. Unterdomains, E-Mail-Server, Protokollversionen und Verschlüsselungsverfahren bewertet er nicht, dafür gibt es spezialisierte Dienste wie den SSL Server Test von Qualys SSL Labs.