Das kleine Schloss in der Adresszeile kennt jeder, aber kaum jemand weiss genau, wofür es steht. Es bedeutet nicht «diese Website ist sicher» und schon gar nicht «dieses Unternehmen ist vertrauenswürdig» — es bedeutet: Die Verbindung zwischen Ihrem Browser und dem Server ist verschlüsselt, und niemand dazwischen kann mitlesen oder die Inhalte verändern. Dieser Leitfaden erklärt, was SSL, TLS und HTTPS wirklich leisten, warum eine unverschlüsselte Website heute nicht mehr tragbar ist, und räumt mit den verbreitetsten Missverständnissen auf.
Verschlüsselung in einem Satz
Wenn Sie eine Website ohne HTTPS aufrufen, reisen alle Daten — die Seite, Ihre Eingaben, Ihr Passwort — im Klartext durch das Netz. Jeder, der die Verbindung berührt (das offene WLAN im Café, der Internetanbieter, ein Angreifer im selben Netz), kann mitlesen und theoretisch verändern. HTTPS legt eine verschlüsselte Röhre um diese Verbindung. Der Inhalt bleibt derselbe, aber niemand dazwischen kann ihn entziffern oder manipulieren. Das ist alles — und zugleich die Grundlage für jeden vertraulichen Vorgang im Web, vom Login bis zur Bezahlung.
SSL, TLS, HTTPS — drei Wörter für einen Vorgang
Die drei Begriffe werden oft durcheinander verwendet, meinen aber verschiedene Ebenen desselben Vorgangs. TLS (Transport Layer Security) ist das Verschlüsselungsverfahren — die eigentliche Technik. SSL ist dessen Vorgänger; der Name lebt in «SSL-Zertifikat» weiter, obwohl längst TLS zum Einsatz kommt. HTTPS schliesslich ist einfach das normale Web-Protokoll HTTP, das über eine TLS-verschlüsselte Verbindung läuft — das «S» am Ende steht für «Secure».
Für die Praxis heisst das: Wenn Ihr Hoster ein «kostenloses SSL-Zertifikat» verspricht, bekommen Sie ein TLS-Zertifikat, das Ihre Website über HTTPS erreichbar macht. Die Wortwahl ist historisch gewachsen, technisch ist alles auf dem aktuellen Stand.
Was ein Zertifikat eigentlich ist
Ein Zertifikat ist ein digital signierter Ausweis für Ihre Domain. Es bestätigt zwei Dinge: dass die Domain, die Sie aufrufen, tatsächlich die ist, für die sie sich ausgibt, und es liefert den Schlüssel, mit dem die Verbindung verschlüsselt wird. Ausgestellt wird es von einer Zertifizierungsstelle, der die Browser vertrauen. Bei Let\'s Encrypt läuft dieser Prozess vollautomatisch: Der Server weist nach, dass er die Domain kontrolliert, und erhält innerhalb von Sekunden ein gültiges Zertifikat.
Die drei häufigsten Missverständnisse
«Das Schloss bedeutet, die Seite ist sicher.» Es bedeutet nur, dass die Verbindung verschlüsselt ist. Eine Phishing-Seite mit gültigem Zertifikat sieht im Browser genauso «sicher» aus wie Ihre Bank. Kriminelle nutzen kostenlose Zertifikate gezielt, um Vertrauen vorzutäuschen. Prüfen Sie immer die Domain, nicht das Schloss.
«Teure Zertifikate verschlüsseln besser.» Nein. Die Verschlüsselung ist bei einem kostenlosen Let\'s-Encrypt-Zertifikat technisch identisch mit der eines Zertifikats für mehrere hundert Franken im Jahr. Der Unterschied liegt allein in der Prüfung des Betreibers (Organisation Validation, Extended Validation), die im Browser kaum noch sichtbar ist. Für die allermeisten KMU ist das kostenlose Zertifikat die richtige Wahl.
«HTTPS macht meine Website sicher.» HTTPS sichert den Transportweg, nicht die Website. Wenn ein veraltetes Plugin, ein schwaches Passwort oder ein gekapertes Konto zum Einbruch führt, hilft das beste Zertifikat nichts. Verschlüsselung ist eine Schicht von mehreren — nötig, aber nicht hinreichend.
Warum HTTPS heute Pflicht ist
Es gibt drei voneinander unabhängige Gründe, und jeder allein genügt. Rechtlich: Sobald Ihre Website Formulare, Logins oder einen Newsletter enthält, überträgt sie personenbezogene Daten, die nach nDSG und DSGVO verschlüsselt gehören. Eine unverschlüsselte Datenübertragung ist ein Verstoss gegen die Sorgfaltspflicht. Technisch: Browser markieren unverschlüsselte Seiten seit Jahren aktiv als «nicht sicher» und zeigen eine Warnung im Adressfeld. Sichtbarkeit: Google bestätigt HTTPS als Ranking-Signal, und moderne Web-Funktionen — von Standortabfragen bis zu Zahlungs-APIs — verweigern ihren Dienst über unverschlüsselte Verbindungen.
Die praktische Konsequenz ist einfach: Es gibt keinen sachlichen Grund mehr, eine Website ohne HTTPS zu betreiben. Bei einem zeitgemässen Hosting ist das Zertifikat kostenlos, automatisch erneuert und ohne Zutun des Betreibers eingerichtet — so handhaben wir es in jedem Hosting-Paket.
Worauf Sie beim Hoster achten sollten
Nicht jedes «SSL inklusive» ist gleich. Diese vier Punkte trennen eine solide Lösung von einer, die im Alltag Ärger macht:
Automatische Erneuerung. Let\'s-Encrypt-Zertifikate laufen alle 90 Tage ab. Die Erneuerung muss der Server selbstständig erledigen — sonst steht die Website irgendwann mit einer Zertifikatswarnung da. Fragen Sie nach, ob das automatisch geschieht.
Erzwungene Weiterleitung auf HTTPS. Ein Zertifikat allein nützt wenig, wenn die Seite auch unverschlüsselt erreichbar bleibt. Jeder Aufruf sollte automatisch auf die HTTPS-Version umgeleitet werden.
Auch Subdomains und E-Mail abgedeckt. Nicht nur die Hauptdomain braucht ein Zertifikat, sondern auch Subdomains (shop., blog.) und der Mailverkehr. Ein gutes Hosting deckt das mit ab.
Aktuelle TLS-Version. TLS 1.2 ist das Minimum, 1.3 der Stand der Technik. Veraltete Versionen (TLS 1.0/1.1, SSL) sollten serverseitig abgeschaltet sein.
Verschlüsselung ist die Grundschicht, auf der alles andere aufbaut. Wie Sie einen Hoster darüber hinaus beurteilen, steht in unserem Hosting-Vergleich; was der Server-Standort für den Datenschutz bedeutet, im Leitfaden zu DSGVO- und nDSG-Hosting. Und wenn eine Website trotz gültigem Zertifikat kompromittiert wurde — was vorkommt, weil HTTPS eben nicht die Website selbst schützt — hilft unsere Hack- und Malware-Bereinigung.
Häufige Fragen
-
Ist der Unterschied zwischen SSL und TLS wichtig für mich?
In der Praxis nicht. SSL (Secure Sockets Layer) ist der historische Name, TLS (Transport Layer Security) ist der aktuelle Nachfolger. SSL selbst gilt seit Jahren als unsicher und wird nicht mehr eingesetzt — was heute läuft, ist TLS, meist in Version 1.2 oder 1.3. Der Begriff «SSL-Zertifikat» hat sich aber eingebürgert und meint dasselbe. Wenn Ihr Hoster von SSL spricht, liefert er in Wahrheit TLS. Entscheidend ist nur, dass eine aktuelle Version (1.2 oder höher) verwendet wird.
-
Bedeutet das Schloss-Symbol, dass eine Website vertrauenswürdig ist?
Nein, und das ist der gefährlichste Irrtum. Das Schloss bedeutet ausschliesslich, dass die Verbindung verschlüsselt ist. Auch eine betrügerische Phishing-Seite kann ein gültiges Zertifikat haben — Let's Encrypt stellt sie kostenlos und automatisch aus, für jede Domain, ohne Prüfung des Betreibers. Kriminelle nutzen das aus. Das Schloss sagt «niemand liest mit», nicht «diesem Anbieter können Sie vertrauen». Wer Vertrauen prüfen will, muss auf die Domain selbst schauen, nicht auf das Schloss.
-
Kostet ein Zertifikat Geld?
Für den Normalfall nicht. Let's Encrypt stellt seit 2015 kostenlose Zertifikate aus, die von allen Browsern anerkannt werden und sich automatisch erneuern. Für ein KMU-Webhosting mit Website und E-Mail ist das die passende Lösung — sie ist bei uns in jedem Paket enthalten. Kostenpflichtige Zertifikate (OV, EV) lohnen sich nur in Sonderfällen, etwa wenn ein Firmenname im Zertifikat rechtlich geprüft erscheinen soll. Für die Verschlüsselung selbst sind sie technisch nicht besser als ein kostenloses Let's-Encrypt-Zertifikat.
-
Was passiert, wenn mein Zertifikat abläuft?
Der Browser zeigt eine ganzseitige Warnung — «Ihre Verbindung ist nicht privat» — und die meisten Besucher brechen sofort ab. Für einen Onlineshop oder eine Firmenwebsite ist das ein direkter Umsatz- und Vertrauensschaden. Let's-Encrypt-Zertifikate laufen alle 90 Tage ab und müssen deshalb automatisch erneuert werden. Bei einem verwalteten Hosting geschieht das im Hintergrund; wer seine Zertifikate von Hand pflegt, braucht eine zuverlässige Erinnerung. Ein abgelaufenes Zertifikat ist einer der häufigsten vermeidbaren Website-Ausfälle.
-
Reicht HTTPS allein, damit meine Website sicher ist?
Nein. HTTPS schützt die Übertragung — den Weg zwischen Browser und Server. Es schützt nicht davor, dass die Website selbst gehackt wird, dass ein veraltetes Plugin eine Lücke hat oder dass Schadcode auf dem Server liegt. Eine Website mit gültigem Zertifikat kann vollständig kompromittiert sein. HTTPS ist die Grundvoraussetzung, nicht die ganze Sicherheit. Dazu gehören aktuelle Software, Backups und Überwachung — Themen, die wir in der Migration-Checkliste und beim Thema Wartung behandeln.
-
Muss ich HTTPS haben, auch wenn ich nichts verkaufe?
Ja. Sobald Ihre Website ein Kontaktformular, einen Login oder einen Newsletter enthält, werden personenbezogene Daten übertragen — und die gehören nach revidiertem Datenschutzgesetz verschlüsselt. Darüber hinaus stufen Browser unverschlüsselte Seiten aktiv als «nicht sicher» ein und zeigen eine Warnung, und Google bewertet HTTPS als Ranking-Signal. Eine reine Informationsseite ohne HTTPS wirkt heute veraltet und unseriös, unabhängig davon, ob Daten fliessen.