SSL-Zertifikat: Was es ist, was es kostet und woran man ein Problem erkennt
Wer «Nicht sicher» neben der eigenen Webadresse im Browser liest, bekommt meist einen kleinen Schreck, und zu Recht: Besucherinnen und Besucher verlassen solche Seiten oft sofort wieder, weil der Browser sie aktiv davor warnt. Das Problem dahinter heisst in den meisten Fällen: fehlendes, abgelaufenes oder falsch eingerichtetes SSL-Zertifikat. Für ein Schweizer KMU bedeutet das nicht nur einen schlechten ersten Eindruck, sondern auch verlorene Anfragen und ein Risiko für Suchmaschinen-Rankings. Dieser Artikel erklärt, was ein SSL-Zertifikat konkret macht, was es kosten darf, woran Sie ein Problem erkennen und wie Sie es beheben.
In diesem Beitrag
Was ein SSL-Zertifikat tatsächlich macht
Ein SSL-Zertifikat (technisch korrekt mittlerweile meist TLS-Zertifikat, der Begriff SSL hat sich aber umgangssprachlich gehalten) verschlüsselt die Verbindung zwischen dem Browser eines Besuchers und Ihrem Webserver. Ohne diese Verschlüsselung könnten Daten, etwa ein ausgefülltes Kontaktformular, ein Login oder eine Zahlungsinformation im Onlineshop, auf dem Weg durchs Internet theoretisch mitgelesen oder verändert werden. Mit SSL werden diese Daten verschlüsselt übertragen, erkennbar am Schlosssymbol in der Adresszeile und an «https://» statt «http://» vor Ihrer Domain.
Technisch handelt es sich um ein digitales Dokument, das von einer Zertifizierungsstelle ausgestellt wird und bestätigt, dass die Domain tatsächlich zu dem Server gehört, mit dem der Browser gerade kommuniziert. Das Zertifikat hat eine Gültigkeitsdauer und muss regelmässig erneuert werden, das ist der Punkt, an dem in der Praxis die meisten Probleme entstehen.
Warum ein fehlendes Zertifikat Geld kostet
Drei Effekte wirken zusammen, wenn eine Website kein gültiges SSL-Zertifikat hat:
- Browser-Warnung
- Moderne Browser zeigen bei unverschlüsselten Seiten eine deutliche Warnung an, teilweise mit zusätzlichem Klick, um die Seite überhaupt zu öffnen. Viele Besucher brechen an dieser Stelle ab.
- Vertrauensverlust
- Gerade bei Formularen, Anmeldungen oder einem Onlineshop wirkt eine unverschlüsselte Verbindung unprofessionell und schreckt ab, selbst wenn der Besucher die Warnung technisch nicht genau versteht.
- Rangverlust in Suchmaschinen
- Google nennt eine sichere Verbindung seit Jahren als einen von vielen Rankingfaktoren. Entscheidend ist das Zertifikat allein selten, aber in Kombination mit anderen Schwächen kann es den Unterschied machen.
Für ein Beispiel-KMU mit rund 500 Besuchen im Monat über die Website bedeutet eine dauerhafte Browser-Warnung in der Praxis: ein spürbarer Teil der Interessenten verlässt die Seite, bevor überhaupt eine Anfrage möglich wird. Diese Zahl ist bewusst als Beispiel gerechnet und keine allgemeingültige Grösse, der grundsätzliche Effekt ist aber bei praktisch jeder Website gleich: Vertrauen entsteht nicht, wenn der Browser vor der Seite warnt.
Woran Sie ein Problem erkennen
Sichtbare Warnzeichen im Browser
Die klarsten Hinweise sehen Sie direkt in der Adresszeile:
- Die Adresse beginnt mit «http://» statt «https://».
- Statt eines Schlosssymbols erscheint ein durchgestrichenes Schloss oder ein Warndreieck.
- Der Browser zeigt beim Aufruf eine ganzseitige Warnung wie «Verbindung ist nicht privat» oder «Ihre Verbindung ist nicht sicher».
- Bei gemischten Inhalten (teils verschlüsselt, teils nicht) warnt der Browser vor «nicht sicheren Elementen», obwohl die Seite grundsätzlich ein Zertifikat besitzt, das passiert häufig nach einem Website-Relaunch, wenn alte Bilder oder Skripte noch über http eingebunden sind.
Woran Sie ein ablaufendes Zertifikat erkennen, bevor es zu spät ist
Ein abgelaufenes Zertifikat kündigt sich nicht laut an, die Website funktioniert bis zum Ablauftag normal und wird danach plötzlich als unsicher markiert. Wer das Zertifikat selbst verwaltet, sollte den Ablauftermin im Kalender eintragen oder, besser, ein automatisches Erneuerungsverfahren einrichten. Wer Hosting und Wartung an eine Agentur ausgelagert hat, sollte einmal nachfragen, ob die automatische Verlängerung tatsächlich eingerichtet ist, das ist keine Selbstverständlichkeit bei jedem Anbieter.
Was ein SSL-Zertifikat kosten darf
Hier herrscht in der Praxis viel Verwirrung, weil die Preisspanne tatsächlich riesig ist:
- Kostenlose Zertifikate (zum Beispiel über automatisierte Dienste wie Let’s Encrypt) bieten dieselbe Verschlüsselungsstärke wie teure Varianten. Für die allermeisten KMU-Websites, Blogs und auch viele Onlineshops ist das technisch völlig ausreichend.
- Kostenpflichtige Zertifikate mit erweiterter Validierung (sogenannte EV- oder OV-Zertifikate) zeigen teils zusätzliche Firmeninformationen im Zertifikat an. Für bestimmte Branchen mit hohen Compliance-Anforderungen kann das sinnvoll sein, für die meisten KMU ist der Mehrwert gegenüber einem kostenlosen Zertifikat in der Praxis gering.
Wichtiger als die Art des Zertifikats ist die korrekte Einrichtung: Alle Unterseiten müssen auf https umgeleitet werden, interne Links und eingebundene Bilder oder Skripte müssen ebenfalls über https laufen, und die Erneuerung sollte automatisiert sein. Diese Einrichtung ist in der Regel Teil einer professionellen Hosting- und Domain-Verwaltung und sollte nicht separat in Rechnung gestellt werden müssen.
SSL-Zertifikat einrichten: so gehen Sie vor
Falls Ihre Website aktuell kein gültiges Zertifikat hat oder Sie unsicher sind, ob alles korrekt eingerichtet ist, helfen diese Schritte:
- Status prüfen:Rufen Sie Ihre Website auf und schauen Sie in die Adresszeile. Ergänzend gibt ein Blick in die Google Search Console unter «Sicherheit» Hinweise auf erkannte Probleme.
- Hosting-Anbieter oder Betreuer kontaktieren:Klären Sie, ob ein Zertifikat vorhanden und ob die automatische Erneuerung aktiv ist.
- Umleitung prüfen:Geben Sie testweise die http-Version Ihrer Domain ein. Sie sollte automatisch auf https weitergeleitet werden, nicht auf eine Fehlerseite.
- Gemischte Inhalte beheben:Prüfen Sie nach einem Relaunch oder Umzug, ob alle eingebundenen Bilder, Schriften und Skripte über https eingebunden sind.
- Erneuerung automatisieren lassen:Ein manuell verwaltetes Zertifikat ist eine der häufigsten Ursachen für plötzliche Ausfälle, lassen Sie diesen Prozess möglichst automatisieren.
Diese Prüfung gehört bei uns standardmässig zu jeder neuen Website und zu jedem Relaunch, unabhängig vom Umfang des Projekts.
Wann sich eine separate Prüfung lohnt, und wann nicht
Für eine ganz neue Website, die bei einem Hosting-Anbieter mit automatisierter Zertifikatsverwaltung läuft, ist das Thema in der Regel schon beim Setup erledigt, hier braucht es keine zusätzliche Massnahme. Anders sieht es aus bei älteren Websites, die über Jahre gewachsen sind, bei Domain-Umzügen oder wenn mehrere Subdomains (zum Beispiel ein separater Shop-Bereich) im Einsatz sind: Dort lohnt sich eine einmalige, gezielte Prüfung durch jemanden, der sich mit der technischen Seite auskennt. Wenn Sie ohnehin eine Überarbeitung Ihrer Website planen, ist das ein guter Zeitpunkt, die gesamte technische Basis inklusive SSL mitzuprüfen.
Häufige Fragen zum SSL-Zertifikat
Brauche ich als kleines Unternehmen ohne Onlineshop überhaupt ein SSL-Zertifikat?
Ja. Auch eine einfache Visitenkarten-Website mit Kontaktformular überträgt Daten, die geschützt werden sollten. Zudem markieren Browser unverschlüsselte Seiten unabhängig vom Inhalt als unsicher, was unabhängig von der Unternehmensgrösse abschreckend wirkt.
Reicht ein kostenloses SSL-Zertifikat aus oder sollte ich ein kostenpflichtiges kaufen?
Für die meisten KMU-Websites reicht ein kostenloses, automatisch erneuertes Zertifikat vollständig aus. Ein kostenpflichtiges Zertifikat mit erweiterter Validierung lohnt sich nur in Ausnahmefällen, etwa bei besonderen Compliance-Vorgaben in regulierten Branchen.
Was tue ich, wenn meine Website plötzlich als «nicht sicher» angezeigt wird?
Prüfen Sie zuerst, ob das Zertifikat abgelaufen ist, das ist die häufigste Ursache. Kontaktieren Sie danach umgehend Ihren Hosting-Anbieter oder Ihre Webdesign-Agentur, damit das Zertifikat erneuert und die automatische Verlängerung korrekt eingerichtet wird. Je länger die Warnung sichtbar bleibt, desto mehr Besucher und potenzielle Anfragen gehen in dieser Zeit verloren.
Wenn Sie nicht sicher sind, ob Ihre Website technisch sauber abgesichert ist, oder ein SSL-Problem gerade akut vorliegt, melden Sie sich über unsere Kontaktseite, wir prüfen den Status Ihrer Website unkompliziert und sagen Ihnen konkret, was zu tun ist.
