SSL und HTTPS

SSL ist der alte Name für die Verschlüsselung, die heute TLS heißt und HTTPS-Verbindungen schützt. Ein Zertifikat weist den Server gegenüber dem Browser aus. In diesem Bereich geht es um Auswahl, Einrichtung, Laufzeit und Fehlersuche bei Zertifikaten.

Reihe beleuchteter Serverschränke in einem Rechenzentrum, ein Schrank ist geöffnet und zeigt gebündelte Kabel
Bild: KI-generiert

Wenn in der Adresszeile https:// steht, laufen die Daten zwischen Browser und Server verschlüsselt. Dafür sorgt das Protokoll Transport Layer Security (TLS). Es soll verhindern, dass jemand auf dem Weg mitliest, Daten verändert oder sich als der Server ausgibt [1]. Im Alltag heißt es trotzdem meist noch SSL, nach dem Vorgänger Secure Sockets Layer. Auch die Zertifikate werden weiter SSL-Zertifikate genannt, obwohl sie für TLS verwendet werden.

SSL, TLS und die Versionen

Die letzte SSL-Version 3.0 darf seit Juni 2015 nicht mehr verwendet werden [2]. Für TLS 1.0 und TLS 1.1 gilt dasselbe seit 2021 [3]. Aktuell sind TLS 1.2 und TLS 1.3; TLS 1.3 wurde im August 2018 als RFC 8446 veröffentlicht und ist seit Juli 2026 durch RFC 9846 abgelöst [1, 8]. In Deutschland gibt das Bundesamt für Sicherheit in der Informationstechnik mit der Technischen Richtlinie TR-02102-2 Empfehlungen für den Einsatz von TLS, die aktuelle Fassung ist die Version 2026-01 [4]. Wie du deinen Server auf die aktuellen Versionen beschränkst, steht in SSL-Zertifikat installieren.

Das passende Zertifikat

Zertifikate unterscheiden sich vor allem darin, was die Zertifizierungsstelle vor der Ausstellung prüft: nur die Kontrolle über die Domain oder auch die Organisation dahinter. Dazu kommt die Frage, ob ein Zertifikat einen Namen, mehrere Namen oder mit einem Platzhalter alle Subdomains abdeckt. Einen Überblick gibt SSL-Zertifikat: was es ist und welche Arten es gibt. Für Projekte mit vielen Subdomains wägt SSL für Subdomains: Wildcard oder einzelne Zertifikate die beiden Wege gegeneinander ab.

Für die meisten Websites reicht ein domainvalidiertes Zertifikat. Es verschlüsselt genauso stark wie ein teureres Zertifikat mit Organisationsprüfung, im Zertifikat steht dann nur kein geprüfter Firmenname. Kostenlos gibt es das bei der gemeinnützigen Zertifizierungsstelle Let's Encrypt, die bei vielen Hostern schon eingebaut ist. Wie du es einrichtest und automatisch erneuerst, erklärt Let's Encrypt: kostenlose Zertifikate einrichten.

Kürzere Laufzeiten

Die Laufzeit von Zertifikaten sinkt in den nächsten Jahren deutlich. Nach den Regeln des CA/Browser Forums, in dem sich Zertifizierungsstellen und Browserhersteller abstimmen, gelten neue Zertifikate seit dem 15.03.2026 höchstens 200 Tage. Ab dem 15.03.2027 sind es 100 Tage, ab dem 15.03.2029 nur noch 47 Tage [5]. Wer Zertifikate von Hand austauscht, muss das also bald mehrmals im Jahr tun. Was das praktisch bedeutet, steht in Laufzeit von SSL-Zertifikaten.

Messing-Sanduhr steht auf einem dunklen Schreibtisch neben einem zugeklappten Laptop
Bild: KI-generiert

Umstellung und Fehlersuche

Ein Zertifikat allein macht aus einer Website noch keine HTTPS-Website. Alle alten Adressen müssen weiterleiten, und eingebundene Dateien dürfen nicht mehr über HTTP kommen. Die Schritte dafür stehen in Von HTTP auf HTTPS umstellen. Chrome will ab Version 154 vor dem Laden öffentlicher Websites ohne HTTPS warnen, angekündigt für Oktober 2026 [6].

Zur Umstellung gehört auch die Suchmaschine. Google behandelt den Wechsel als Umzug mit neuen Adressen [7]. Was das für Rankings und Weiterleitungen heißt, erklärt unser SEO-Projekt unter Weiterleitungen und SEO.

Zeigt der Browser eine Warnung, steckt meist eines von wenigen Problemen dahinter: ein abgelaufenes Zertifikat, ein fehlender Name, eine unvollständige Zertifikatskette. Wie du die Meldungen liest, erklärt Zertifikatsfehler im Browser verstehen und beheben. Das Zertifikat einer beliebigen Domain mit Aussteller und Ablaufdatum zeigt dir unser SSL-Check.

  1. Gesetz RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3. IETF. Stand 08.2018. abgerufen am 29.10.2026
  2. Gesetz RFC 7568: Deprecating Secure Sockets Layer Version 3.0. IETF. Stand 06.2015. abgerufen am 29.10.2026
  3. Gesetz RFC 8996: Deprecating TLS 1.0 and TLS 1.1. IETF. Stand 2021. abgerufen am 29.10.2026
  4. Behörde Technische Richtlinie TR-02102 Kryptographische Verfahren: Empfehlungen und Schlüssellängen. Bundesamt für Sicherheit in der Informationstechnik. Stand 2026. abgerufen am 29.10.2026
  5. Organisation Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates, Version 2.3.1, Abschnitt 6.3.2. CA/Browser Forum. Stand 04.10.2026. abgerufen am 29.10.2026
  6. Organisation HTTPS by default. Google LLC, Chrome Security Team. Stand 28.10.2025. abgerufen am 29.10.2026
  7. Organisation Site moves with URL changes (Google Search Central). Google LLC. Stand 2026. abgerufen am 29.10.2026
  8. Gesetz RFC 9846: The Transport Layer Security (TLS) Protocol Version 1.3. IETF. Stand 07.2026. abgerufen am 29.10.2026

Alle Artikel im Bereich SSL und HTTPS

Weitere Artikel