HTTPS und SSL-Zertifikat: was dahintersteckt und was Sie prüfen sollten

Kurz zusammengefasst

• HTTPS verschlüsselt die Übertragung zwischen Besucher und Website. Ohne gültiges Zertifikat erscheint eine Warnseite statt Ihrer Inhalte.
• Zertifikate laufen ab. Die Erneuerung sollte automatisch passieren, und es muss klar sein, wer dafür zuständig ist.
• Jede http-Adresse braucht eine einzige dauerhafte Weiterleitung auf https, auch die Variante mit und ohne www.
• HSTS legt den Browser auf HTTPS fest. Schalten Sie es erst ein, wenn alles sauber läuft.
• Gemischte Inhalte, also Bilder oder Skripte per http auf einer https-Seite, führen zu Warnungen oder fehlenden Elementen.

Was HTTPS bedeutet und warum Browser warnen

Bei einer Verbindung per http wandern alle Daten im Klartext durch das Netz. Wer im selben WLAN sitzt oder an einer Zwischenstation mitliest, kann Eingaben in einem Kontaktformular oder einer Terminbuchung sehen und im Zweifel verändern. HTTPS verschlüsselt diese Verbindung und stellt sicher, dass der Server wirklich zur aufgerufenen Domain gehört. Für jede Seite mit Formular ist das heute selbstverständlich. Fehlt die Verschlüsselung, steht in der Adresszeile ein Hinweis wie „Nicht sicher“. Ist das Zertifikat ungültig, erscheint sogar eine ganzseitige Warnung wie „Ihre Verbindung ist nicht privat“, und viele Besucher drehen dort um.

Das Zertifikat und sein Ablaufdatum

Ein Zertifikat stellt eine Zertifizierungsstelle aus. Es enthält die Domainnamen, für die es gilt, den Aussteller und einen Gültigkeitszeitraum. Für eine Firmenwebsite genügt ein einfaches, domainvalidiertes Zertifikat, das es bei vielen Anbietern kostenlos gibt, zum Beispiel über Let’s Encrypt. Teurere Zertifikate mit Firmenprüfung verbessern die Verschlüsselung nicht und fallen im Browser kaum auf. Die Gültigkeitsdauer ist bei allen Arten begrenzt und wurde in den vergangenen Jahren immer weiter verkürzt. Nach einem Beschluss von Browserherstellern und Zertifizierungsstellen sinkt die Höchstdauer seit 2026 in mehreren Stufen weiter. Eine Erneuerung von Hand wird dadurch auf Dauer unpraktisch.

Welche Adressen das Zertifikat abdeckt

Welche Adressen geschützt sind, legt die Namensliste im Zertifikat fest. Ein Elektrobetrieb lässt ein Zertifikat für die Adresse mit www einrichten, doch viele Kunden tippen die Adresse ohne www ein. Ergebnis: ein Namensfehler und eine Warnung, obwohl die Seite selbst in Ordnung ist. Prüfen Sie deshalb beide Varianten und jede Subdomain, die Sie nutzen, etwa für Terminbuchung oder Shop. Ein Wildcard-Zertifikat deckt alle Subdomains einer Ebene ab, ist aber nicht überall im Paket enthalten.

Ablauf und automatische Verlängerung

Bei vielen Hosting-Paketen richtet der Anbieter das Zertifikat selbst ein und erneuert es von allein. Das funktioniert, solange die Voraussetzungen stimmen: Die Domain zeigt auf den richtigen Server, die DNS-Einträge sind korrekt und nichts blockiert die Prüfung, mit der die Zertifizierungsstelle die Domain bestätigt.

Probleme entstehen meist nach Veränderungen. Die Domain zieht zu einem neuen Hoster um, und das Zertifikat wird nicht mitgenommen. Ein Zertifikat wurde einmal von Hand installiert, und niemand denkt an das Ablaufdatum. Hinweise auf den Ablauf gehen an eine E-Mail-Adresse, die seit dem Weggang eines Mitarbeiters niemand mehr liest. Hilfreich ist eine kurze Klärung:

• Wer ist zuständig, der Hoster, eine Agentur oder Sie selbst?
• Läuft die Erneuerung automatisch, und wo ist das eingestellt?
• An welche Adresse gehen Hinweise zum Ablauf?
• Bei manueller Erneuerung: ein Kalendertermin deutlich vor dem Ablaufdatum.

Nach jeder Änderung an Domain, DNS-Einstellungen oder Hosting lohnt sich ein erneuter Blick auf das Zertifikat.

Weiterleitung von http auf https

Ein vorhandenes Zertifikat nützt wenig, wenn die alte http-Adresse weiter erreichbar bleibt. Dann existiert jede Seite doppelt: Suchmaschinen sehen zwei Versionen, und Verweise auf Visitenkarten, Prospekten oder im Google-Profil führen weiter auf die unverschlüsselte Adresse. Die Lösung ist eine dauerhafte Weiterleitung (Statuscode 301) von jeder http-Adresse auf die entsprechende https-Adresse. Wichtig ist, dass sie auf dieselbe Unterseite zeigt und nicht pauschal auf die Startseite.

Achten Sie auf Weiterleitungsketten. Führt http mit www erst auf http ohne www, dann auf https ohne www und zuletzt auf https mit www, wartet der Besucher drei Sprünge lang, und jeder kostet Zeit (mehr dazu bei der Ladezeit). Besser springt die Adresse in einem Schritt auf ihr endgültiges Ziel. Legen Sie eine Hauptvariante fest, mit oder ohne www, und stellen Sie interne Links, Sitemap und Canonical-Tag auf diese Adresse um.

HSTS: den Browser auf HTTPS festlegen

HSTS steht für HTTP Strict Transport Security. Der Server sendet dazu einen Kopfeintrag mit einem Zeitraum. Hat ein Browser ihn einmal gesehen, ruft er die Domain für diese Zeit nur noch per HTTPS auf, selbst wenn jemand die Adresse mit http eintippt. Der unverschlüsselte Zwischenschritt entfällt, und ein Angreifer hat dort keine Gelegenheit mehr, die Verbindung umzubiegen.

Die Kehrseite: Der Browser erlaubt bei HSTS keine Ausnahme mehr. Läuft das Zertifikat ab, sperrt die Einstellung Besucher aus, statt ihnen eine Klickmöglichkeit zu geben. Gehen Sie deshalb schrittweise vor. Erst muss alles stabil über HTTPS laufen, dann beginnen Sie mit einem kurzen Zeitraum und verlängern ihn später. Die Option für Subdomains betrifft auch vergessene Testadressen ohne Zertifikat. Die Preload-Liste der Browser sollten Sie nur nutzen, wenn Sie die Folgen kennen, denn ein Austrag dauert lange. Für eine kleine Firmenwebsite ist HSTS sinnvoll, aber kein Muss.

Gemischte Inhalte erkennen und beheben

Von gemischten Inhalten spricht man, wenn eine Seite per https geladen wird, aber einzelne Bilder, Skripte, Stylesheets oder eingebettete Rahmen über http kommen. Browser blockieren aktive Inhalte wie Skripte, manchmal fehlen auch Bilder, und die Adresszeile meldet eine nicht vollständig sichere Verbindung. Das passiert oft nach der Umstellung auf HTTPS: Alte Beiträge enthalten Bildadressen mit festem http, ein Baukasten lädt ein Element vom früheren Anbieter, in der Datenbank stehen noch alte Adressen.

Finden lässt sich das über die Entwicklerkonsole des Browsers (meist mit F12), die Meldungen zu gemischten Inhalten anzeigt, oder durch eine Suche im Quelltext nach „http://“. Beheben Sie es, indem Sie die Adressen auf https umstellen. Bietet die Quelle kein https an, ersetzen Sie die Datei oder legen sie auf den eigenen Server.

Typische Fehlerbilder und ihre Ursache

• „Ihre Verbindung ist nicht privat“: Das Zertifikat ist abgelaufen, gilt für einen anderen Namen, oder ein Zwischenzertifikat fehlt auf dem Server.
• Warnhinweis in der Adresszeile trotz https: meist gemischte Inhalte.
• Seite nur mit www erreichbar: Zertifikat oder Weiterleitung deckt die andere Variante nicht ab.
• Warnung nach Hosterwechsel: Das alte Zertifikat wurde nicht übernommen, oder die Domain zeigt noch auf den alten Server.

Ihre Adresse prüfen

Der kostenlose SSL-Check ruft Ihre Seite einmal vom Server von bemuar.com aus ab. Er zeigt, ob sie per HTTPS ausgeliefert wird, ob das Zertifikat gültig ist und zum Domainnamen passt, wer es ausgestellt hat und wie viele Tage es noch gilt. Dazu kommen HSTS, die Weiterleitung von http auf https und Dateien, die noch per http eingebunden sind. Die Angaben zum Zertifikat beziehen sich auf die Adresse, auf der die Seite am Ende landet. Geben Sie die Varianten mit und ohne www deshalb nacheinander ein. Eine Anmeldung ist nicht nötig, Adressen und Ergebnisse werden nicht gespeichert.

Zertifikat, Domain und Updates übernimmt Bemuar auf Wunsch im Rahmen der Website-Pflege.