Wie funktioniert kostenloses SSL?

Ein kostenloses SSL-Zertifikat verschlüsselt die Verbindung grundsätzlich genauso zuverlässig wie ein übliches kostenpflichtiges Domain-Validated-Zertifikat. Kostenlos ist es, weil Ausstellung, Prüfung der Domain und Verlängerung weitgehend automatisiert erfolgen. Für eine normale Firmenwebsite, eine Landingpage, einen Blog oder die meisten Onlineshops ist ein kostenloses Zertifikat deshalb in der Regel die richtige Lösung.

Was sind SSL, TLS und HTTPS?

SSL steht für «Secure Sockets Layer». Der Begriff wird im Alltag weiterhin verwendet, obwohl moderne Websites technisch das Nachfolgeprotokoll TLS («Transport Layer Security») einsetzen. Wenn von einem SSL-Zertifikat die Rede ist, ist heute fast immer ein TLS-Zertifikat gemeint.

HTTPS ist die verschlüsselte Variante von HTTP. Ruft jemand eine HTTPS-Website auf, bauen Browser und Webserver eine geschützte Verbindung auf. Dabei einigen sie sich auf geeignete Verschlüsselungsverfahren und erzeugen Sitzungsschlüssel. Inhalte, Formulareingaben und andere übertragene Daten können dadurch auf dem Transportweg nicht ohne Weiteres mitgelesen oder unbemerkt verändert werden.

Das Zertifikat verbindet den öffentlichen Schlüssel des Servers mit dem aufgerufenen Domainnamen. Eine vertrauenswürdige Zertifizierungsstelle – auch Certificate Authority oder CA genannt – bestätigt mit ihrer digitalen Signatur, dass das Zertifikat für diese Domain ausgestellt wurde. Der Browser prüft unter anderem den Domainnamen, die Gültigkeitsdauer und die Signatur der Zertifizierungsstelle.

Warum kann ein SSL-Zertifikat kostenlos sein?

Früher waren Bestellung, Prüfung, Ausstellung und Installation häufig manuelle Dienstleistungen. Heute lassen sich diese Schritte standardisieren. Der Preis sagt deshalb nicht, wie stark die Verbindung verschlüsselt ist. Er kann vielmehr zusätzliche Identitätsprüfungen, Support, Garantien oder besondere Verwaltungsfunktionen abdecken.

Let’s Encrypt ist eine kostenlose, automatisierte und offene Zertifizierungsstelle der gemeinnützigen Internet Security Research Group. Ihr Ziel ist, verschlüsselte Verbindungen zum allgemeinen Standard zu machen. Der Betrieb wird durch Sponsoren und Spenden finanziert; die technische Abwicklung erfolgt weitgehend automatisch.

So funktionieren Let’s Encrypt und ACME

ACME ist das Protokoll, über das ein Server oder eine Hosting-Plattform Zertifikate automatisch anfordern und erneuern kann. Der Ablauf lässt sich vereinfacht in vier Schritte aufteilen:

1. Ein ACME-Client fordert für eine Domain ein Zertifikat an.
2. Let’s Encrypt stellt eine Aufgabe, mit der die Kontrolle über die Domain nachgewiesen wird.
3. Der Client erfüllt diese Aufgabe, zum Beispiel mit einer Datei unter einer vorgegebenen Adresse auf dem Webserver oder mit einem speziellen DNS-Eintrag.
4. Nach erfolgreicher Prüfung wird das Zertifikat ausgestellt, installiert und später automatisch erneuert.

Bei der verbreiteten HTTP-01-Prüfung legt der Client eine Datei unter /.well-known/acme-challenge/ ab. Bei DNS-01 wird ein bestimmter TXT-Eintrag im DNS erstellt. Letzteres eignet sich auch für Wildcard-Zertifikate, verlangt für eine sichere Automatisierung aber einen sorgfältig eingeschränkten DNS-Zugriff.

Let’s-Encrypt-Zertifikate sind im August 2026 standardmässig 90 Tage gültig. Daneben gibt es bereits optionale kürzere Profile. Die Standardlaufzeit soll ab 2027 zunächst auf 64 und bis 2028 auf 45 Tage sinken. Das ist kein Nachteil, wenn die Verlängerung zuverlässig automatisiert ist: Kürzere Laufzeiten begrenzen die Zeit, in der ein kompromittiertes oder falsch ausgestelltes Zertifikat verwendet werden könnte.

Kostenloses SSL über Cloudflare und moderne Plattformen

Cloudflare stellt mit Universal SSL für eingebundene und aktivierte Domains kostenlose, öffentlich vertrauenswürdige DV-Zertifikate bereit. Ausstellung, Bereitstellung und Verlängerung erfolgen automatisch. Viele moderne Webhoster, Website-Plattformen und Cloud-Dienste arbeiten ähnlich und aktivieren HTTPS nach korrekter Domainverbindung ohne manuelle Bestellung.

Bei Cloudflare sind jedoch zwei Verbindungen zu unterscheiden: jene vom Besucher zu Cloudflare und jene von Cloudflare zum Ursprungsserver. Für eine durchgehend verschlüsselte und geprüfte Verbindung sollte auch der Ursprungsserver ein gültiges Zertifikat verwenden und der passende strikte Verschlüsselungsmodus aktiviert sein. Nur die erste Teilstrecke abzusichern reicht nicht.

Kostenloses oder kostenpflichtiges Zertifikat?

Ein kostenloses DV-Zertifikat verwendet keine grundsätzlich schwächere Verschlüsselung als ein kostenpflichtiges DV-Zertifikat. Entscheidend sind die aktuelle TLS-Konfiguration, sichere Schlüssel und die korrekte Einbindung. Auch ein Onlineshop kann deshalb in der Regel kostenloses SSL verwenden.

Ein kostenpflichtiges Zertifikat kann ausnahmsweise sinnvoll sein, wenn spezielle Compliance- oder Beschaffungsanforderungen gelten, eine Organisationsvalidierung verlangt wird, individueller Support oder vertragliche Garantien benötigt werden oder besondere technische Vorgaben für Zertifikate und deren Verwaltung bestehen. Für normale Firmenwebsites, Landingpages, Blogs und die meisten Shops ergibt sich daraus kein praktischer Sicherheitsvorteil bei der eigentlichen Verschlüsselung.

Was schützt HTTPS – und was nicht?

HTTPS schützt die Datenübertragung zwischen Browser und dem System, mit dem die TLS-Verbindung aufgebaut wird. Es erschwert das Mitlesen und Manipulieren auf dem Übertragungsweg und bestätigt, dass das Zertifikat zur aufgerufenen Domain passt.

Ein übliches kostenloses DV-Zertifikat bestätigt aber nur, dass der Antragsteller die Domain kontrolliert. Es prüft weder die Identität noch die Vertrauenswürdigkeit des Unternehmens. Deshalb kann auch eine betrügerische Website ein gültiges Zertifikat besitzen. Ein Browser-Symbol darf nicht als allgemeines Gütesiegel verstanden werden.

Ein Zertifikat schützt ausserdem nicht vor Malware, unsicheren Passwörtern, veralteter Software, fehlerhaften Zugriffsrechten, Datenlecks oder übernommenen Benutzerkonten. Dafür braucht es weitere Massnahmen wie Updates, sichere Authentifizierung, Backups, Rechtekonzepte, Monitoring und eine sorgfältige Verarbeitung personenbezogener Daten.

HTTPS allein sorgt auch nicht für gute Google-Rankings. Google führte HTTPS als leichtes Ranking-Signal ein; Qualität, Relevanz und die gesamte Seitenerfahrung bleiben wichtiger. HTTPS ist heute vor allem ein technischer Grundstandard.

Auch das bekannte grüne Schloss ist kein allgemeiner Sicherheitsnachweis mehr. Browser zeigen unterschiedliche Symbole. Chrome ersetzte das Schloss durch ein neutrales Einstellungs-Symbol, damit eine verschlüsselte Verbindung nicht mit einer vertrauenswürdigen Website verwechselt wird.

So wird kostenloses SSL eingerichtet

1. Unterstützung prüfen: Klären, ob Hosting oder Plattform kostenloses SSL beziehungsweise Let’s Encrypt unterstützt.
2. Domain verbinden: Domain und gewünschte Subdomains korrekt auf das Hosting oder die Plattform ausrichten.
3. Zertifikat aktivieren: Automatische Ausstellung starten oder die vorhandene HTTPS-Funktion einschalten.
4. Auf HTTPS umleiten: Alle HTTP-Aufrufe dauerhaft mit Status 301 auf die entsprechende HTTPS-Adresse weiterleiten.
5. Signale aktualisieren: Interne Links, Canonicals, Sitemap und eingebundene externe Ressourcen auf HTTPS prüfen.
6. Mixed Content beseitigen: Bilder, Schriften, Skripte und Stylesheets dürfen nicht mehr unverschlüsselt geladen werden.
7. Verlängerung kontrollieren: Prüfen, ob der ACME-Client regelmässig läuft und Fehler meldet, bevor das Zertifikat abläuft.
8. Website testen: Wichtige Seiten, Formulare, Login, Checkout sowie alle relevanten Subdomains auf Desktop und Mobilgeräten prüfen.
9. Search Console prüfen: Sicherstellen, dass Google die HTTPS-Version crawlen und indexieren kann und keine unerwarteten HTTP-URLs meldet.

Bei einer bestehenden Website ist die Umstellung mehr als das Aktivieren eines Zertifikats. Weiterleitungen, Canonicals und Sitemap müssen konsistent dieselbe HTTPS-Version nennen. Eine saubere Umstellung vermeidet doppelte URLs, Browserwarnungen und unnötige Verluste bei Tracking oder Sichtbarkeit.

Prüfen Sie dabei nicht nur die Startseite. Häufig bleiben alte Bilder in Blogartikeln, eingebettete Schriften, Tracking-Skripte oder Weiterleitungen einzelner Unterseiten auf HTTP stehen. Auch Formulare sollten nach der Umstellung vollständig getestet werden: Der sichtbare Seitenaufruf kann verschlüsselt sein, während ein falsch konfiguriertes Formular seine Daten an eine alte HTTP-Adresse sendet.

Die häufigsten SSL-Probleme

• Zertifikat abgelaufen: Die automatische Verlängerung wurde nicht ausgeführt oder das neue Zertifikat nicht geladen.
• Domain fehlt: Eine Subdomain wie www oder eine weitere verwendete Adresse ist nicht im Zertifikat enthalten.
• HTTP und HTTPS parallel: Beide Versionen bleiben ohne eindeutige 301-Weiterleitung erreichbar.
• Mixed Content: Bilder, Skripte oder Schriftarten werden weiterhin über HTTP eingebunden und lösen Warnungen aus.
• Fehlgeschlagene Domainprüfung: DNS-Einstellungen, Weiterleitungen, Firewalls oder nicht erreichbare Challenge-Dateien blockieren ACME.
• Verlängerung defekt: Zugangsdaten, Berechtigungen, Zeitpläne oder alte ACME-Clients verhindern die Erneuerung.
• Cloudflare nur teilweise verschlüsselt: Die Verbindung zum Besucher ist geschützt, jene zum Ursprungsserver jedoch nicht korrekt abgesichert.

Häufige Fragen zu kostenlosem SSL

Fachliche Quellen

• Let’s Encrypt: So funktionieren ACME und die Ausstellung
• Let’s Encrypt: Challenge Types
• Let’s Encrypt: Laufzeiten und geplante Verkürzung
• Cloudflare: Universal SSL
• Google Search Central: HTTPS als Ranking-Signal
• Chromium Blog: Änderung des Schloss-Symbols

Ist Ihre Website vollständig über HTTPS erreichbar?
Wir prüfen SSL, Weiterleitungen, Mixed Content und weitere technische SEO-Grundlagen Ihrer Website. Technische SEO prüfen lassen ↗