SSL Zertifikat: HTTPS einfach erklärt für KMU

Ein SSL Zertifikat ist ein digitaler Ausweis für deine Website, der eine verschlüsselte Verbindung über HTTPS ermöglicht. Damit können Dritte die Daten zwischen deiner Website und deinen Besucherinnen und Besuchern weder mitlesen noch unbemerkt verändern. Fehlt das Zertifikat, zeigt Chrome neben der Adresse den Hinweis «Nicht sicher». Ein kostenloses Zertifikat von Let’s Encrypt reicht für die meisten Kleinbetriebe völlig aus.

In diesem Artikel erklären wir dir ohne Fachchinesisch, was hinter dem Schloss im Browser steckt, wie du in wenigen Minuten prüfst, ob bei deiner Website alles stimmt, und welche typischen Stolpersteine es gibt. Wenn du deine Website gleich umfassend durchgehen willst, findest du in unserer Website-Check-Checkliste viele weitere Punkte.

Was ist ein SSL Zertifikat?

Ein SSL Zertifikat ist eine kleine Datei auf dem Server, die bestätigt, dass eine Website wirklich zur angegebenen Domain gehört, und die eine verschlüsselte Verbindung ermöglicht. Genau genommen heisst die heutige Technik TLS, der Name SSL hat sich im Alltag aber gehalten. Wenn wir also von SSL sprechen, meinen wir dasselbe.

Sobald ein Zertifikat installiert ist, ist deine Website über https:// statt über http:// erreichbar. Das «s» steht für «secure», also sicher. Der Browser und der Server handeln dann einen geheimen Schlüssel aus, mit dem alle Daten unterwegs verschlüsselt werden.

Du kannst dir das wie einen versiegelten Briefumschlag vorstellen. Ohne HTTPS reist deine Nachricht als Postkarte: Jede Station unterwegs kann sie lesen. Mit HTTPS steckt sie in einem verschlossenen Couvert, das nur der Empfänger öffnen kann.

Was schützt HTTPS konkret?

HTTPS schützt zwei Dinge: die Vertraulichkeit und die Unversehrtheit der Daten. Laut web.dev verhindert HTTPS, dass Angreifer oder auch neugierige Netzbetreiber den Datenverkehr zwischen Website und Besuchern manipulieren, etwa indem sie Werbung einschleusen. Gleichzeitig verhindert es, dass jemand passiv mitliest.

Das betrifft nicht nur Websites mit Onlineshop oder Login. Auch eine einfache Visitenkarten-Website mit Kontaktformular verschickt Namen, E-Mail-Adressen und Nachrichten. Und selbst wer nur Seiten liest, verrät ohne Verschlüsselung, wofür er sich interessiert. Stell dir vor, jemand sitzt im Café am Zürcher Hauptbahnhof im offenen WLAN und schaut sich die Angebote einer Physiotherapiepraxis an. Mit HTTPS bleibt das seine Sache.

Dazu kommt: Viele moderne Browserfunktionen laufen nur noch über HTTPS. web.dev nennt zum Beispiel den Zugriff auf Kamera und Mikrofon, Offline-Funktionen über sogenannte Service Worker und den Standortzugriff. Auch wenn du diese Funktionen heute nicht brauchst, ist HTTPS damit die Grundlage für eine zeitgemässe Website.

Warum zeigt der Browser «Nicht sicher» an?

Der Browser zeigt «Nicht sicher», wenn eine Website keine verschlüsselte Verbindung nutzt. Google erklärt in der Chrome-Hilfe, dass bei diesem Hinweis andere Personen die Informationen, die du an die Website sendest, sehen oder verändern könnten. Und Google hält auch fest: Beheben kann das nur der Inhaber der Website, indem er HTTPS einsetzt.

Für dich als Betrieb ist das ein Problem der Wirkung. Eine potenzielle Kundin sieht die Warnung direkt neben deinem Namen in der Adresszeile. Aus unserer Erfahrung schreckt genau dieser Moment ab, bevor jemand überhaupt dein Angebot gelesen hat. Ob jemand deswegen tatsächlich abspringt, lässt sich pro Website natürlich nicht pauschal sagen, aber vertrauensbildend ist der Hinweis sicher nicht.

Chrome kennt laut Hilfe-Seite grob drei Stufen:

Sicher: Die Verbindung ist privat, die Daten bleiben zwischen dir und der Website.
Info oder «Nicht sicher»: Die Website nutzt keine private Verbindung.
Gefährlich: Chrome rät davon ab, persönliche Daten einzugeben. Ist eine Seite als schädlich eingestuft, erscheint eine rote Warnseite.

Kostenloses oder kostenpflichtiges SSL Zertifikat: Was brauchst du?

Für die meisten Kleinbetriebe genügt ein kostenloses Zertifikat. Die bekannteste Anbieterin ist Let’s Encrypt, eine gemeinnützige Zertifizierungsstelle, die sich über Sponsoren und Spenden finanziert. Ihre Zertifikate sind gratis. Laut FAQ von Let’s Encrypt können einzelne Hostinganbieter allerdings eine kleine Gebühr für ihren Aufwand verlangen.

Der Unterschied zwischen Zertifikaten liegt nicht in der Stärke der Verschlüsselung, sondern darin, was vorher geprüft wird. Let’s Encrypt stellt ausschliesslich sogenannte DV-Zertifikate aus. DV steht für Domain Validation: Es wird geprüft, dass du die Domain kontrollierst. OV-Zertifikate (Organization Validation) und EV-Zertifikate (Extended Validation) prüfen zusätzlich das Unternehmen dahinter. Diese bietet Let’s Encrypt nach eigenen Angaben nicht an und plant das auch nicht.

Typ	Was wird geprüft	Für wen sinnvoll
DV (z. B. Let’s Encrypt)	Kontrolle über die Domain	Websites von Kleinbetrieben, Blogs, Onepager
OV / EV (kostenpflichtig)	Domain plus Angaben zum Unternehmen	Grössere Firmen mit besonderen Anforderungen

Unsere Einschätzung: Für eine Coiffeuse in Winterthur, einen Schreiner in Uster oder eine Praxis in Zürich gibt es kaum einen Grund, für ein Zertifikat extra zu bezahlen. Viele Hostinganbieter in der Schweiz richten Let’s Encrypt heute mit wenigen Klicks im Kundenbereich ein. Frag bei deinem Anbieter nach, falls du die Option nicht findest.

Wie prüfst du, ob dein SSL Zertifikat korrekt läuft?

Du kannst dein Zertifikat in wenigen Minuten selbst prüfen, ganz ohne Technikwissen. Geh dafür so vor:

Öffne deine Website in Chrome und schau in die Adresszeile. Steht dort «Nicht sicher», fehlt HTTPS oder es gibt ein Problem.
Klicke auf das Symbol links neben der Adresse. Chrome zeigt dir dort, ob die Verbindung sicher ist, und lässt dich Details zum Zertifikat ansehen, etwa für welche Domain es gilt und bis wann.
Tippe deine Adresse einmal bewusst mit http:// ein. Eine korrekt eingerichtete Website leitet dich automatisch auf https:// weiter.
Probiere auch die Variante mit und ohne www. Beide sollten auf dieselbe sichere Adresse führen.
Klicke dich durch ein paar Unterseiten, vor allem das Kontaktformular und Seiten mit vielen Bildern.
Wiederhole den Test auf dem Handy. Dort fallen Warnungen manchmal anders aus.

Bei Punkt 3 lohnt sich ein genauer Blick. Google empfiehlt bei einem Umzug von HTTP auf HTTPS in seiner Dokumentation zu Website-Umzügen dauerhafte serverseitige Weiterleitungen, etwa mit dem Statuscode 301 oder 308. So landen alte Links und Lesezeichen auf der neuen, sicheren Adresse, und Google versteht, welche Version die richtige ist.

Was ist Mixed Content und warum ist er ein Problem?

Mixed Content bedeutet, dass eine Seite zwar über HTTPS geladen wird, einzelne Bestandteile wie Bilder, Skripte oder Stylesheets aber noch über unsicheres HTTP. web.dev beschreibt, dass solche unsicheren Anfragen unterwegs abgefangen oder verändert werden können. Das Schloss im Browser ist dann nur die halbe Wahrheit.

Man unterscheidet zwei Arten:

Passiver Mixed Content: Bilder, Videos und Audiodateien. Ein Angreifer könnte diese austauschen, aber die Seite nicht übernehmen.
Aktiver Mixed Content: Skripte, Stylesheets oder eingebettete Inhalte (iframes). Wer diese kontrolliert, kann laut web.dev die ganze Seite übernehmen, Zugangsdaten abgreifen oder Besucher umleiten.

Browser blockieren Mixed Content heute grundsätzlich, aktive Inhalte besonders streng. Chrome versucht passive Inhalte teilweise automatisch über HTTPS zu laden. Gibt es keine HTTPS-Version, wird die Datei nicht angezeigt. Für dich heisst das: Im schlimmsten Fall fehlt plötzlich ein Bild, eine Karte oder ein Formular funktioniert nicht mehr.

Aus unserer Erfahrung entsteht Mixed Content oft nach einer Umstellung auf HTTPS. Alte Bildlinks im Text, eingebettete Videos oder ein Plugin, das noch mit http:// arbeitet, bleiben dann zurück. Die Lösung ist, diese Verweise auf https:// umzustellen. In Chrome findest du entsprechende Hinweise in den Entwicklertools, Firefox und Safari zeigen sie in der Konsole.

Wann läuft ein SSL Zertifikat ab und wie wird es erneuert?

Jedes SSL Zertifikat hat ein Ablaufdatum und muss rechtzeitig erneuert werden. Die Standardzertifikate von Let’s Encrypt sind 90 Tage gültig. Let’s Encrypt empfiehlt in seiner FAQ, sie alle 60 Tage zu erneuern. Zusätzlich gibt es auf Wunsch kurzlebige Zertifikate mit sechs Tagen Laufzeit, die alle drei Tage erneuert werden sollten.

Das klingt nach viel Aufwand, ist es aber normalerweise nicht. Bei den meisten Hostinganbietern läuft die Erneuerung automatisch im Hintergrund. Du musst dich also nicht alle zwei Monate selbst darum kümmern.

Trotzdem lohnt es sich, ab und zu einen Blick darauf zu werfen. Automatische Erneuerungen können scheitern, zum Beispiel wenn die Domain zu einem anderen Anbieter umgezogen ist oder die DNS-Einstellungen geändert wurden. Läuft ein Zertifikat ab, zeigen Browser eine deutliche Warnseite, und viele Besucher brechen dort ab. Unser Tipp: Prüfe das Ablaufdatum über das Symbol in der Adresszeile, wenn du ohnehin an deiner Website arbeitest. Und wenn du dein Hosting oder deine Domain wechselst, teste danach unbedingt, ob HTTPS sauber funktioniert.

Worauf solltest du bei der Umstellung auf HTTPS achten?

Eine Umstellung auf HTTPS ist in der Regel schnell erledigt, sie sollte aber vollständig sein. Folgende Punkte haben sich bei uns bewährt:

Zertifikat beim Hostinganbieter aktivieren und für alle Varianten der Domain einrichten, also mit und ohne www.
Dauerhafte Weiterleitungen von HTTP auf HTTPS einrichten.
Interne Links, Bilder und eingebettete Inhalte auf https:// umstellen, damit kein Mixed Content entsteht.
In deinem Content-Management-System die Hauptadresse der Website auf HTTPS ändern.
Die HTTPS-Version in der Google Search Console hinzufügen und die Sitemap dort neu einreichen.
Profile und Einträge ausserhalb der Website aktualisieren, zum Beispiel dein Google Unternehmensprofil, local.ch oder Social-Media-Profile.

Häufige Fragen

Brauche ich ein SSL Zertifikat, wenn ich keinen Onlineshop habe?

Ja, wir empfehlen es für jede Website. Ohne HTTPS zeigt Chrome «Nicht sicher» an, und auch ein einfaches Kontaktformular überträgt persönliche Daten. Mit Let’s Encrypt kostet das Zertifikat selbst nichts.

Ist ein kostenloses SSL Zertifikat weniger sicher?

Nein, die Verschlüsselung ist nicht schwächer. Der Unterschied zu kostenpflichtigen OV- oder EV-Zertifikaten liegt darin, dass zusätzlich Angaben zum Unternehmen geprüft werden. Let’s Encrypt prüft nur die Kontrolle über die Domain.

Was passiert, wenn mein SSL Zertifikat abläuft?

Browser zeigen dann eine Warnseite statt deiner Website. Besucher müssen die Warnung aktiv übergehen, was viele nicht tun. Darum ist eine funktionierende automatische Erneuerung wichtig.

Warum steht trotz Zertifikat noch «Nicht sicher» da?

Häufig liegt es an Mixed Content, also einzelnen Inhalten, die noch über HTTP geladen werden. Möglich ist auch, dass das Zertifikat nicht für die aufgerufene Variante der Domain gilt, etwa nur für die Version ohne www.

Muss ich SSL und TLS unterscheiden?

Für den Alltag nicht. TLS ist der Nachfolger von SSL, im Sprachgebrauch heissen die Zertifikate aber weiterhin meist SSL Zertifikat. Entscheidend ist, dass deine Website über HTTPS erreichbar ist.

Fazit: HTTPS ist heute Pflichtprogramm

Ein SSL Zertifikat schützt die Daten deiner Besucherinnen und Besucher, verhindert die «Nicht sicher»-Warnung und ist die Grundlage für eine moderne Website. Für Kleinbetriebe reicht in aller Regel ein kostenloses Zertifikat von Let’s Encrypt. Wichtig ist, dass die Weiterleitung stimmt, kein Mixed Content übrig bleibt und die Erneuerung zuverlässig läuft.

Wenn du dich nicht selbst darum kümmern möchtest, sind wir von sitebuddy.ch gerne für dich da. Bei den Websites, die wir für Kleinbetriebe bauen, gehört eine saubere HTTPS-Einrichtung selbstverständlich dazu. Vereinbare einfach ein kostenloses Erstgespräch.