Was ist ein SSL-Zertifikat?
Ein SSL-Zertifikat (technisch korrekt: TLS, der Markt sagt weiterhin SSL) ist ein digitaler Ausweis für Ihre Domain. Es verschlüsselt den Verkehr zwischen Browser und Server, weist nach, dass der Server wirklich zu Ihrer Domain gehört, und macht Manipulationen während der Übertragung erkennbar.
Ohne Zertifikat laufen Passwörter, Formulareingaben und Zahlungsdaten im Klartext durch das Netz. Chrome, Firefox und Safari kennzeichnen solche Seiten als nicht sicher, und die rechtliche Lage in Deutschland ist eindeutiger, als viele Website-Betreiber annehmen.
Ist HTTPS in Deutschland rechtlich Pflicht?
Praktisch ja. § 19 TDDDG verpflichtet Anbieter digitaler Dienste zu technischen Vorkehrungen nach dem Stand der Technik. Absatz 4 nennt dabei ausdrücklich „die Anwendung eines als sicher anerkannten Verschlüsselungsverfahrens“. Dazu kommt Art. 32 DSGVO für jede Verarbeitung personenbezogener Daten.
Was „Stand der Technik“ bei TLS konkret bedeutet, ist nicht Auslegungssache: Das BSI veröffentlicht die Technische Richtlinie TR-02102-2 zum Einsatz von TLS, aktuell in der Fassung 2026-01 vom 27.12.2025. Wer seine Konfiguration gegen dieses Dokument prüft, hat im Streitfall eine belastbare Referenz.
Welche Zertifikatstypen gibt es und was kosten sie?
Es gibt drei Validierungsstufen und zwei Reichweiten-Varianten. Die Validierungsstufe sagt, wie gründlich die Zertifizierungsstelle Sie geprüft hat. Die Reichweite sagt, wie viele Hosts ein Zertifikat abdeckt. Technisch verschlüsseln alle gleich stark, der Unterschied liegt ausschließlich in der Prüfung.
| Typ | Was geprüft wird | Richtpreis pro Jahr | Sinnvoll für |
|---|---|---|---|
| DV (Domain Validated) | Kontrolle über die Domain | 0 EUR (Let's Encrypt) bis ca. 80 EUR | Unternehmensseiten, Blogs |
| OV (Organization Validated) | Domain plus Existenz des Unternehmens | ca. 80 bis 220 EUR | Onlineshops, B2B-Portale |
| EV (Extended Validation) | Tiefere Unternehmensprüfung | ca. 220 bis 690 EUR | Banken, Zahlungsdienstleister |
| Wildcard | Alle Subdomains einer Domain | ca. 165 bis 550 EUR | Viele Subdomains |
| Multi-Domain (SAN) | Mehrere Domains in einem Zertifikat | ca. 275 bis 1.100 EUR | Unternehmensgruppen |
Wie kommen Sie an ein Zertifikat?
Drei Wege, je nach Hosting. In zwei von drei Fällen müssen Sie nichts tun außer die Domain zu verbinden.
Modernes Hosting (Cloudflare, Vercel, Netlify)
Zertifikat und Erneuerung sind Teil der Plattform. Nach dem Verbinden der Domain ist HTTPS meist binnen 30 Minuten aktiv, die Erneuerung läuft ohne Zutun.
Klassisches Hosting (cPanel, Plesk)
Diese Oberflächen haben einen AutoSSL- oder Let's-Encrypt-Schalter. Ein Klick, fünf Minuten, erledigt.
Eigener Server (VPS, dediziert)
Auf einem eigenen Server bei Hetzner, IONOS oder DigitalOcean übernimmt das Certbot:
sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d ihre-domain.de -d www.ihre-domain.deCertbot passt nginx oder Apache an, holt das Zertifikat und legt einen Cron-Job für die Erneuerung an. Let's Encrypt stellt ausschließlich DV-Zertifikate aus, unterstützt aber Wildcards über DNS-01 und mehrere Namen per SAN.
Was ändert sich 2026 bei den Laufzeiten?
Die Gültigkeitsdauer schrumpft in vier Stufen. Das CA/Browser Forum hat mit dem Ballot SC-081v3 einen Fahrplan beschlossen, der manuelle Zertifikatspflege bis Ende des Jahrzehnts unmöglich macht. Wer heute noch einmal im Jahr ein Zertifikat per Hand hochlädt, hat ein Prozessproblem mit Ablaufdatum.
| Gültig ab | Maximale Laufzeit | Praktische Folge |
|---|---|---|
| bis 14.03.2026 | 398 Tage | jährliche manuelle Erneuerung war noch machbar |
| 15.03.2026 | 200 Tage | zwei Erneuerungen pro Jahr, Automatisierung wird zur Pflicht |
| 15.03.2027 | 100 Tage | manuelle Prozesse fallen praktisch aus |
| 15.03.2029 | 47 Tage | nur noch automatisiert betreibbar |
0 EUR
DV-Zertifikat bei Let's Encrypt, für die meisten Websites ausreichend
letsencrypt.org/docs/faq
200 Tage
maximale Zertifikatslaufzeit seit dem 15.03.2026
CA/Browser Forum SC-081v3
90 Tage
Standardlaufzeit bei Let's Encrypt, Erneuerung nach 60 Tagen empfohlen
letsencrypt.org/docs/faq
Wirkt sich HTTPS wirklich auf das Ranking aus?
Ja, aber anders als 2014 gedacht. Google hat HTTPS im August 2014 als Rankingsignal bestätigt. Heute ist es kein Vorteil mehr, sondern eine Grundbedingung: Alle Wettbewerber haben es, das Fehlen wirkt ausschließlich negativ.
Der messbare Effekt liegt inzwischen woanders. Browser sprechen HTTP/2 und HTTP/3 nur über TLS, und beide Protokolle sind schneller als HTTP/1.1. Ohne Zertifikat schließen Sie sich also von den Transportprotokollen aus, die Ihre Core Web Vitals verbessern würden.
Welche vier SSL-Fehler sehen wir am häufigsten?
Nicht das fehlende Zertifikat ist das übliche Problem, sondern die halb fertige Umstellung. Diese vier Muster tauchen in fast jedem Audit auf, das wir für einen neuen Kunden machen.
- Mixed Content. Die Seite läuft über HTTPS, ein eingebundenes Bild oder Skript über HTTP. Browser blockieren aktive Inhalte dieser Art. Jede eingebundene URL gehört auf HTTPS.
- Abgelaufenes Zertifikat. Die Automatik bricht still, und die Seite ist über Nacht rot markiert. Ein Ablauf-Monitoring mit Warnung 14 Tage vorher kostet nichts.
- Veraltete TLS-Konfiguration. TLS 1.0 und 1.1 sind noch aktiv oder es laufen schwache Cipher Suites. Der SSL-Labs-Test bewertet das kostenlos, Ziel ist A oder A+.
- Nur www oder nur Apex abgedeckt.
www.ihre-domain.deundihre-domain.desind zwei Hosts. Beide brauchen Abdeckung, Certbot erledigt das mit zwei-d-Parametern.
Wer kann mitlesen, wenn ein CDN das Zertifikat hält?
Der CDN-Betreiber. Wenn Cloudflare, Fastly oder ein Load Balancer die TLS-Verbindung terminiert, liegt Ihr Datenverkehr dort kurzzeitig im Klartext vor. Das ist technisch normal und datenschutzrechtlich eine Auftragsverarbeitung nach Art. 28 DSGVO, die einen AVV verlangt.
Für deutsche Unternehmen ist das kein Randthema. Laut dem Bitkom Cloud Report 2026 (603 befragte Unternehmen ab 20 Beschäftigten) halten 98 Prozent der Unternehmen die Herkunft des Cloud-Anbieters für relevant, 68 Prozent würden einen EU-Anbieter bevorzugen. Klären Sie deshalb vor der Domain-Umstellung zwei Punkte: Wo stehen die Edge-Server, und liegt ein unterschriebener AVV vor.
Was gehört 2026 in ein Website-Projekt?
Ein Dienstleister sollte diese Punkte von sich aus ansprechen, ohne dass Sie danach fragen. Fehlt der Punkt im Angebot, fehlt er meist auch in der Umsetzung.
- HTTPS auf jeder Seite, mit automatischer Erneuerung
- HSTS-Header (
Strict-Transport-Security) - TLS 1.2 und 1.3, geprüft gegen BSI TR-02102-2
- HTTP/2 oder HTTP/3 aktiv
- Mixed-Content-Prüfung vor dem Livegang
- Ablauf-Monitoring mit Alarm 14 Tage vor Ende
- AVV für CDN und Hosting, Serverstandorte dokumentiert
In unseren Webentwicklungsprojekten sind diese Punkte Bestandteil der Abnahme, nicht Zusatzleistung. Die Preisspanne beginnt bei rund 830 EUR für eine Broschüren-Website und liegt bei einer Corporate-Website zwischen etwa 2.200 und 4.130 EUR (umgerechnet aus unserer Preisliste in HUF, MNB-Kurs 1 EUR = 363,28 Ft vom 14.08.2026, unverbindlich).
Fazit und häufige Fragen
Was kostet ein SSL-Zertifikat 2026?
Für die meisten Unternehmen nichts. Let's Encrypt stellt DV-Zertifikate kostenlos aus, modernes Hosting bringt sie automatisch mit. Kostenpflichtige OV- oder EV-Zertifikate liegen bei etwa 80 bis 690 EUR pro Jahr und lohnen sich nur dann, wenn ein Auftraggeber, Versicherer oder Prüfer sie ausdrücklich verlangt.
Was ist der Unterschied zwischen DV, OV und EV?
DV prüft nur, ob Sie die Domain kontrollieren, und ist in Minuten ausgestellt. OV prüft zusätzlich die Existenz Ihres Unternehmens, EV umfasst eine tiefere Unternehmensprüfung. Seit Firefox 70 im Oktober 2019 steht der EV-Name nicht mehr in der Adressleiste. Der Marketingvorteil ist damit weg.
Wie lange ist ein TLS-Zertifikat gültig?
Seit dem 15.03.2026 dürfen öffentlich vertrauenswürdige TLS-Zertifikate maximal 200 Tage laufen. Ab dem 15.03.2027 sind es 100 Tage, ab dem 15.03.2029 noch 47 Tage. Let's Encrypt stellt ohnehin 90-Tage-Zertifikate aus und empfiehlt die Erneuerung nach 60 Tagen.
Was ist Mixed Content und wie beheben Sie es?
Mixed Content heißt: Die Seite läuft über HTTPS, ein eingebundenes Bild, Skript oder Stylesheet aber über HTTP. Browser blockieren aktive Inhalte dieser Art und warnen sichtbar. Die Lösung ist, jede eingebundene URL auf HTTPS umzustellen. Prüfen Sie das vor dem Livegang, nicht Wochen danach.
Ist HTTPS ein Google-Rankingfaktor?
Ja. Google hat HTTPS im August 2014 als Rankingsignal bestätigt. 2026 ist das kein Vorteil mehr, sondern eine Grundbedingung, weil Ihre Wettbewerber es ebenfalls haben. Dazu kommt: Browser sprechen HTTP/2 und HTTP/3 ausschließlich über TLS, und beide Protokolle sind schneller als HTTP/1.1.
Was hat TLS mit der DSGVO zu tun?
Art. 32 DSGVO verlangt technische Maßnahmen nach dem Stand der Technik und nennt Verschlüsselung ausdrücklich. § 19 Absatz 4 TDDDG führt für digitale Dienste ebenfalls ein als sicher anerkanntes Verschlüsselungsverfahren an. Wer personenbezogene Daten über HTTP entgegennimmt, hat im Prüfungsfall kein gutes Argument.
Wie richten Sie TLS auf einem eigenen Server ein?
Mit Certbot: sudo apt install certbot python3-certbot-nginx, danach sudo certbot --nginx -d ihre-domain.de -d www.ihre-domain.de. Certbot passt die Serverkonfiguration an, holt das Zertifikat und legt einen Cron-Job für die Erneuerung an. Beim ersten Mal dauert das rund zehn Minuten.
Braucht ein CDN einen Auftragsverarbeitungsvertrag?
Sobald es die TLS-Verbindung terminiert, ja. Dann liegt der Klartext kurzzeitig beim Dienstleister, und das ist eine Auftragsverarbeitung nach Art. 28 DSGVO. Prüfen Sie den AVV und die Serverstandorte, bevor Sie eine Domain auf ein CDN legen.
Ein fehlendes oder kaputtes Zertifikat ist selten ein Einzelproblem. Meistens ist es das sichtbarste Symptom einer vernachlässigten Website-Wartung. Wenn Sie wissen wollen, wie Ihre Seite technisch dasteht, schauen wir im Rahmen eines kostenlosen Audits auch auf TLS-Konfiguration, HSTS und Mixed Content. Wie Sie einen Dienstleister prüfen, der solche Punkte ernst nimmt, steht in unserem Leitfaden zur Auswahl einer Webagentur.