Eine Website ohne HTTPS ist 2026 keine ernstzunehmende Website. Browser markieren sie als "nicht sicher", Google rankt sie schlechter, Formulare funktionieren teilweise nicht mehr. Glücklicherweise sind SSL-Zertifikate heute günstig oder kostenlos zu bekommen.
Let's Encrypt: kostenlos und automatisch
Let's Encrypt ist eine kostenlose Zertifizierungsstelle, getragen von der Internet Security Research Group. Über 90 Prozent aller HTTPS-Websites weltweit nutzen Let's Encrypt. Vorteile:
- Kostenlos.
- Vollständig automatisierbar (Renewal alle 90 Tage).
- Von allen modernen Browsern als vertrauenswürdig anerkannt.
- Einrichtung über Certbot, ACME-Client oder Hosting-Panel meist Ein-Klick.
Wann kommerzielle Zertifikate sinnvoll sind
- Extended Validation (EV) Zertifikate – früher mit Firmennamen in Adressleiste, heute weniger relevant.
- Bei besonders hohen Vertrauens-Anforderungen (Banken, Bezahldienste).
- Wenn längere Laufzeiten gewünscht sind (1-2 Jahre statt 90 Tage).
- Mit Versicherungs-Schutz bei Schadensfall.
Einrichtung Schritt für Schritt
- Hoster-Konto öffnen, SSL-Sektion finden.
- Bei Managed Hosting: meist One-Click-Aktivierung von Let's Encrypt.
- Bei Eigenservern: Certbot installieren (sudo apt install certbot), Domain-Validierung durchführen.
- Nach Aktivierung: Test über sslshopper.com/ssl-checker.html.
- 301-Weiterleitung von HTTP auf HTTPS einrichten (per .htaccess oder Server-Konfiguration).
- HSTS-Header setzen, damit Browser zukünftig nur HTTPS verwenden.
Häufige Probleme nach Aktivierung
- Mixed Content: Bilder oder Skripte werden noch über HTTP geladen. Lösung: alle internen Links auf HTTPS.
- Browser-Cache: alte HTTP-Version noch gespeichert. Lösung: Hard-Reload (Strg+F5).
- Plugins blockieren oder verändern Header. Lösung: Sicherheits-Plugins prüfen.
- Auto-Renewal funktioniert nicht. Lösung: Cron-Job prüfen, Logs checken.
TLS 1.2 / 1.3 und Cipher Suites
Moderne Hoster aktivieren TLS 1.2 und 1.3 standardmäßig. Veraltete Versionen (SSLv3, TLS 1.0/1.1) sollten deaktiviert sein. Test über ssllabs.com/ssltest – sollte mindestens A-Grade ergeben.