SSL-Check: Zertifikat einer Domain prüfen

Der SSL-Check zeigt, welche Zertifikate für eine Domain ausgestellt wurden, von wem und wie lange sie gelten. Du gibst einen Namen ein, etwa beispiel.de, und erhältst eine Tabelle mit den 20 jüngsten Zertifikaten, auch abgelaufenen. Die Daten stammen aus den Certificate-Transparency-Logs, die der Dienst crt.sh durchsuchbar macht. Das vollständige Ergebnis öffnest du über den Link unter der Tabelle direkt bei crt.sh.

Woher die Daten kommen

Certificate Transparency ist ein Verfahren, bei dem TLS-Zertifikate in öffentlichen Logs verzeichnet werden. Die IETF beschreibt es in RFC 9162 ^[1]. Ein Log ist eine Liste, an die nur angehängt wird. Einträge lassen sich weder löschen noch ändern, und jeder kann sie abfragen ^{[1, 2]}. Meist reicht die Zertifizierungsstelle schon vor der Ausgabe ein Vorzertifikat ein und erhält dafür eine signierte Bestätigung des Logs. Browser wie Chrome und Safari verlangen solche Bestätigungen, sonst akzeptieren sie das Zertifikat nicht ^[2]. Deshalb taucht praktisch jedes öffentlich vertrauenswürdige Zertifikat in den Logs auf.

crt.sh gehört zu den Websites der Zertifizierungsstelle Sectigo ^[3]. Der Dienst sammelt die Einträge vieler Logs und sucht darin nach Namen. Das Verfahren erklärt auch das Glossar unter Certificate Transparency.

So liest du die Tabelle

Jede Zeile ist ein Zertifikat. Die Spalten bedeuten:

• Status: "aktiv", wenn das heutige Datum zwischen Beginn und Ende der Gültigkeit liegt, sonst "abgelaufen".
• Issuer: die ausstellende Stelle mit Land, Organisation und Name des Zwischenzertifikats.
• Common Name: der Hauptname, für den das Zertifikat ausgestellt ist.
• Gültig: Beginn und Ende der Laufzeit im deutschen Datumsformat.
• SANs: die weiteren Hostnamen, für die das Zertifikat gilt. Die Tabelle zeigt die ersten fünf und nennt die Zahl der übrigen.

Für die Frage, ob ein Zertifikat zu einem Hostnamen passt, ist die Spalte SANs maßgeblich. Nach RFC 9525 prüfen Programme DNS-Namen nur über das Feld Subject Alternative Name, der Common Name dient nicht mehr zur Erkennung eines Dienstes ^[6]. Fehlt etwa www.beispiel.de in den SANs, meldet der Browser beim Aufruf mit www einen Fehler, auch wenn beispiel.de im Zertifikat steht.

Der Status richtet sich nur nach den Daten. Ein Zertifikat, das die Zertifizierungsstelle vorzeitig widerrufen hat, steht trotzdem als "aktiv" in der Liste. Manche Zertifikate erscheinen doppelt, weil die Logs neben dem fertigen Zertifikat auch das Vorzertifikat enthalten können ^[2].

Ein Eintrag wie *.beispiel.de in der Spalte SANs ist ein Wildcard-Zertifikat. Der Stern steht für genau eine Ebene: *.beispiel.de deckt shop.beispiel.de ab, aber nicht a.shop.beispiel.de ^[6]. Wann sich ein Wildcard-Zertifikat lohnt, steht im Ratgeber SSL für Subdomains: Wildcard oder einzelne Zertifikate.

Laufzeiten und Erneuerung im Blick

Öffentliche Zertifikate gelten nicht beliebig lange. Die Regeln des CA/Browser Forums begrenzen die Laufzeit für Zertifikate, die ab dem 15.03.2026 ausgestellt werden, auf 200 Tage. Ab dem 15.03.2027 sind es 100 Tage, ab dem 15.03.2029 nur noch 47 Tage ^[4]. Let's Encrypt stellt standardmäßig Zertifikate mit 90 Tagen Laufzeit aus und empfiehlt, sie etwa alle 60 Tage zu erneuern ^[5].

Im SSL-Check erkennst du an der Reihenfolge, ob die Erneuerung klappt. Die Tabelle ist nach dem Beginn der Laufzeit sortiert, das jüngste Zertifikat steht oben. Läuft dieses bald ab und gibt es kein neueres, ist die automatische Erneuerung vermutlich hängen geblieben. Dann lohnt ein Blick in die Einstellungen beim Hoster oder in das Protokoll des ACME-Clients. Hintergründe stehen in Laufzeit von SSL-Zertifikaten und Let's Encrypt: kostenlose Zertifikate einrichten.

Fremde Zertifikate für die eigene Domain finden

Die Logs sind dafür gedacht, dass Domaininhaber falsch ausgestellte Zertifikate bemerken. Wer sich darum sorgt, kann die Logs auf neue Einträge für seine Namen beobachten ^[1]. Der SSL-Check ist ein einfacher Weg dazu. Prüfe in der Spalte Issuer, ob nur Stellen auftauchen, mit denen du oder dein Hoster arbeiten. Steht dort eine Zertifizierungsstelle, die du nicht kennst, frag zuerst bei deinem Hoster oder CDN nach, ob er das Zertifikat selbst beantragt hat.

Mit einem CAA-Eintrag im DNS legst du fest, welche Zertifizierungsstellen für deine Domain Zertifikate ausstellen dürfen ^[7]. Eine kurze Erklärung steht im Glossar unter CAA-Eintrag.

Was der Check nicht prüft

Der SSL-Check liest die Logs und verbindet sich nicht mit deinem Server. Er sagt also nicht, welches Zertifikat dein Server gerade ausliefert, ob die Zwischenzertifikate stimmen oder welche TLS-Versionen er anbietet. Dafür gibt es den kostenlosen SSL Server Test von Qualys SSL Labs. Er untersucht die TLS-Konfiguration eines öffentlich erreichbaren Webservers im Detail. Mit einem Häkchen verhinderst du, dass das Ergebnis in den öffentlichen Listen der Seite erscheint ^[8].

Zeigt der Browser eine Warnung, obwohl im SSL-Check ein gültiges Zertifikat steht, liegt der Fehler meist am Server. Typische Ursachen und Lösungen erklärt Zertifikatsfehler im Browser verstehen und beheben. Wie Zertifikate zur übrigen Pflege einer Website gehören, beschreibt webseite.domain-root.de unter Website-Sicherheit: Updates, Backups und Zugänge.

Datenschutz bei der Abfrage

Die Abfrage läuft direkt aus deinem Browser zu crt.sh, nicht über unseren Server. crt.sh erfährt dabei den Namen, den du prüfst, und deine IP-Adresse. Betreiber ist Sectigo, die Datenschutzerklärung nennt als verantwortliche Stelle die Sectigo Limited mit Sitz im Vereinigten Königreich ^[3]. Nach dem Aufruf steht die geprüfte Domain mit "?d=" in der Adresse dieser Seite, damit du ein Ergebnis als Link weitergeben kannst. Was unsere Statistik und die Werbung dabei erfassen, steht in der Datenschutzerklärung.

1. Gesetz RFC 9162: Certificate Transparency Version 2.0. IETF. Stand Dezember 2021. abgerufen am 29.10.2026
2. Organisation How CT works. Certificate Transparency (Google). Stand 2026. abgerufen am 29.10.2026
3. Organisation Privacy Policy. Sectigo Limited. Stand 2026. abgerufen am 29.10.2026
4. Organisation Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates, Version 2.3.1, Abschnitt 1.2.2. CA/Browser Forum. Stand 04.10.2026. abgerufen am 29.10.2026
5. Organisation FAQ. Let's Encrypt (ISRG). Stand 2026. abgerufen am 29.10.2026
6. Gesetz RFC 9525: Service Identity in TLS, Abschnitte 1.3, 2 und 6.3. IETF. Stand November 2023. abgerufen am 29.10.2026
7. Gesetz RFC 8659: DNS Certification Authority Authorization (CAA) Resource Record. IETF. Stand November 2019. abgerufen am 29.10.2026
8. Organisation SSL Server Test. Qualys SSL Labs. Stand 2026. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.