SSL-Zertifikat erklärt: HTTP vs. HTTPS

Öffnen Sie eine Website, sehen Sie neben der Adresse entweder ein Schloss oder die Warnung "Nicht sicher". Der Unterschied liegt an einer Sache: dem SSL-Zertifikat. Hier steht, was es leistet, warum es heute Pflicht ist und was es kosten darf.

Was SSL tatsächlich bewirkt

Ohne SSL reist alles, was ein Besucher an Ihre Website sendet, im Klartext — Passwörter, Nachrichten aus dem Kontaktformular, Kartennummern. Wer den Verkehr abfängt (im öffentlichen WLAN trivial), kann mitlesen. SSL verschlüsselt die Verbindung zwischen Browser und Server; abgefangene Daten werden zu unlesbarem Rauschen. So entsteht https statt http — und das Schloss in der Adressleiste.

Warum es Pflicht ist, auch für "einfache" Websites

• Google verlangt es. HTTPS ist seit 2014 bestätigter Rankingfaktor, und Chrome markiert Websites ohne es offen als unsicher.
• Kundenvertrauen. Die Warnung "Nicht sicher" vertreibt Besucher, bevor sie den ersten Satz lesen.
• Ein Kontaktformular genügt als Grund. Sobald Sie Name und E-Mail erheben, verarbeiten Sie personenbezogene Daten — die DSGVO erwartet angemessenen Schutz.
• Analytics. Ohne https verlieren Sie einen Teil der Herkunftsdaten in Google Analytics.

Was darf SSL kosten?

Der wichtigste Punkt: für die meisten Websites nichts. Let''s Encrypt stellt kostenlose Zertifikate aus, die technisch genauso stark sind wie bezahlte, und seriöse Hoster erneuern sie automatisch. Verlangt jemand 30-60 € pro Jahr für ein einfaches DV-Zertifikat, zahlen Sie für etwas, das enthalten sein sollte — bei uns ist es das, in jedem Paket.

Bezahlte Zertifikate (OV/EV) lohnen sich nur für Banken, große Shops und Institutionen, die eine geprüfte Rechtsidentität benötigen. Für 95% der Websites ist ein kostenloses DV-Zertifikat genau richtig.

Das häufigste Problem nach der Umstellung: Mixed Content

SSL ist aktiv, aber das Schloss erscheint nicht oder zeigt eine Warnung. Die Ursache ist fast immer Mixed Content: Die Seite lädt über https, ein Bild oder Skript nutzt aber noch eine http-Adresse. Lösung: In der Datenbank "http://ihredomain" durch "https://ihredomain" ersetzen (Plugins erledigen das in zwei Klicks) und erneut prüfen.

Was Sie heute tun sollten

Öffnen Sie Ihre Website und schauen Sie in die Adressleiste. Kein Schloss? Prüfen Sie im Hosting-Panel, ob SSL aktiv ist — bei einem guten Anbieter ist es ein Klick oder bereits eingeschaltet. Richten Sie danach eine automatische Weiterleitung von http auf https ein, damit niemand auf der unsicheren Version landet.