Ein SSL-Zertifikat gehört zur technischen Grundlage einer Website, die über HTTPS erreichbar ist. Es hilft dem Browser, die Verbindung zur aufgerufenen Webadresse zu prüfen. Die darüber übermittelten Daten werden verschlüsselt übertragen. Für Ihr Unternehmen ist entscheidend, dass diese Absicherung tatsächlich funktioniert und nach dem Start weiter betreut wird.
Dieser Leitfaden erklärt die Begriffe, die Auswahl im Hosting und einen überschaubaren Prüfablauf. Sie benötigen dafür keine eigene Serveradministration. Sie sollten aber wissen, welche Adressen dazugehören, wer das Zertifikat verwaltet und an wen Sie sich bei einer Warnung wenden.
Was ist ein SSL-Zertifikat, und was bedeutet TLS?
Die Bezeichnung „SSL-Zertifikat“ ist im Alltag weiterhin verbreitet. Bei modernen verschlüsselten Webverbindungen kommt jedoch TLS zum Einsatz, der Nachfolger von SSL. Mozilla erläutert TLS als Schutz für die Verbindung zwischen Anwendungen, etwa Browser und Webserver. HTTPS ist die entsprechend abgesicherte Variante von HTTP.
Das Zertifikat enthält unter anderem Angaben zu den abgedeckten Namen, einen öffentlichen Schlüssel und Informationen zur Ausstellung und Gültigkeit; diese Bestandteile erläutert Cloudflares Zertifikatsübersicht. Im Verbindungsaufbau prüft der Browser die Angaben. Das Zertifikat arbeitet dabei mit weiteren technischen Bestandteilen zusammen; es ist keine Datei, die man lediglich in die Mediathek von WordPress hochlädt.
Domain, Hosting und Zertifikat erfüllen unterschiedliche Aufgaben. Die Domain ist der Name, das Hosting stellt die technische Umgebung bereit, und die HTTPS-Konfiguration sichert die Verbindung ab. Wenn diese Zuordnung noch unklar ist, hilft unser Einstieg Was ist Webhosting?
Was schützt HTTPS – und was sagt es nicht aus?
Eine korrekt eingerichtete HTTPS-Verbindung schützt übertragene Informationen vor Mitlesen und Veränderung auf dem Transportweg. Das ist beispielsweise relevant, wenn jemand ein Kontaktformular ausfüllt oder sich bei der Website anmeldet. Daraus folgt allerdings keine automatische Absicherung der gespeicherten Informationen auf dem Server.
Ebenso wenig bescheinigt ein gültiges Zertifikat die Qualität eines Angebots, die Richtigkeit eines Textes oder die Seriosität eines Unternehmens. Google erklärt die Sicherheitsanzeige in Chrome als Information zur Verbindung und empfiehlt, auch bei sicheren Verbindungen den tatsächlichen Websitenamen zu kontrollieren. Eine ähnlich geschriebene fremde Adresse bleibt eine fremde Adresse.
Ein Zertifikat ersetzt deshalb weder sichere Zugänge noch Updates, Backups oder eine geeignete Zugriffskontrolle. Es verspricht auch keine besseren Suchpositionen. Bewerten Sie die Verbindung als einen konkreten technischen Bestandteil Ihrer Website, statt daraus ein allgemeines Gütesiegel zu machen.
Welches Zertifikat braucht eine kleine Unternehmenswebsite?
Beginnen Sie mit einer Liste der tatsächlich verwendeten Hostnamen: Hauptadresse, gegebenenfalls die Variante mit „www“ und zusätzliche Dienste unter eigenen Subdomains. Lassen Sie die Betreuung prüfen, welche davon über welche Verbindung erreichbar sind und vom vorgesehenen Zertifikat abgedeckt werden. Eine neue Unterseite unter demselben Host ist etwas anderes als ein weiterer Hostname.
Bei einem Domain-Validation-Zertifikat wird die Kontrolle über die betreffenden Domainnamen nachgewiesen. Let’s Encrypt beschreibt diesen Nachweis anhand technischer Prüfaufgaben vor der Ausstellung. Das ist keine inhaltliche Prüfung Ihres Unternehmens oder Ihrer Website.
Fragen Sie beim Anbieter nicht nur nach einem Produktnamen. Klären Sie den passenden Umfang: Welche Namen sind eingeschlossen? Wer richtet die Verbindung ein? Wie wird erneuert? Wer erhält Fehlermeldungen? Bei mehreren Anwendungen oder vorgeschalteten Diensten muss die Betreuung die gesamte beteiligte Verbindungskette berücksichtigen.
Ist ein kostenloses SSL-Zertifikat ausreichend?
Let’s Encrypt stellt Domain-Validation-Zertifikate ohne Zertifikatsgebühr aus. Die FAQ der Zertifizierungsstelle weisen zugleich darauf hin, dass Integratoren für Verwaltung und Betreuung Gebühren berechnen können. Kostenloses Zertifikat und kostenlose Einrichtung sind daher nicht dasselbe.
Für den Angebotsvergleich ist der tatsächliche Leistungsumfang wichtiger als das Etikett „kostenlos“ oder „Premium“. Lassen Sie begründen, warum eine bestimmte Lösung zu Ihren Anwendungen passt. Eine kostenpflichtige Position sollte verständlich sagen, ob sie ein Zertifikat, die technische Arbeit, Überwachung oder Unterstützung bei Problemen umfasst.
Einrichtung und Erneuerung: Wer übernimmt welche Aufgabe?
Die Einstiegshilfe von Let’s Encrypt unterscheidet zwei Wege: Der Hostinganbieter beschafft und verwaltet das Zertifikat, oder eine berechtigte technische Person betreibt dafür geeignete Software. Bei vielen Hostingangeboten ist die Verwaltung integriert; ob sie automatisch aktiv ist oder eingeschaltet werden muss, hängt vom Anbieter ab.
Für Ihren Betrieb genügt eine kurze Zuständigkeitsübersicht. Notieren Sie den betreuten Dienst, die verantwortliche Person, den Kontakt bei einer Warnung und die vorgesehene Kontrolle der Erneuerung. Eine aktivierte Automatik ist eine Einrichtung, noch kein Nachweis, dass eine spätere Erneuerung erfolgreich war.
Lassen Sie außerdem klären, wie Besucher von einer alten HTTP-Adresse zur vorgesehenen HTTPS-Adresse gelangen. Interne Verweise und eingebundene Ressourcen sollten zur endgültigen Einrichtung passen. Eine HTTPS-Umstellung ist damit mehr als ein einzelner Schalter im WordPress-Backend.
Wie prüfen Sie die Website nach der Einrichtung?
- Adresse kontrollieren: Öffnen Sie die vereinbarte öffentliche Adresse ohne Administratoranmeldung und prüfen Sie den vollständigen Hostnamen.
- Verbindung ansehen: Rufen Sie die Websiteinformationen des Browsers auf. Achten Sie auf Warnungen und lassen Sie die Zertifikatsangaben bei Unklarheiten fachkundig prüfen.
- Besucherwege durchspielen: Testen Sie wichtige Unterseiten, Bilder, Downloads und den freigegebenen Anfrageweg auch auf dem Smartphone.
- Varianten prüfen: Kontrollieren Sie vereinbarte Varianten wie „www“ und alte HTTP-Verweise. Halten Sie unerwartete Weiterleitungen fest.
- Ergebnis dokumentieren: Speichern Sie Datum, geprüfte Adressen, konkrete Auffälligkeiten und die zuständige Person.
Wird eine HTTPS-Seite geöffnet, lädt aber Ressourcen über unverschlüsseltes HTTP nach, spricht man von Mixed Content. Browser können solche Anfragen je nach Ressource aktualisieren oder blockieren. Ein fehlendes Bild oder Skript sollte deshalb gezielt untersucht werden; das Zertifikat vorsorglich auszutauschen löst nicht jeden Darstellungsfehler.
Fiktives Beispiel: Eine Buchbinderei bereitet den Start vor
Eine erfundene Buchbinderei in Österreich veröffentlicht Leistungen und ein Anfrageformular. Das Team lässt Hauptadresse und „www“-Variante prüfen und vereinbart, dass der Hostinganbieter die Zertifikatsverwaltung übernimmt. Die zuständige Kontaktperson und der Ablauf bei Warnungen werden schriftlich festgehalten.
Bei der Abnahme prüft eine Mitarbeiterin die öffentliche Seite am Telefon. Ein älterer Bildverweis wird als konkrete Auffälligkeit notiert und korrigiert. Danach werden Bild und Formular erneut getestet. Das Beispiel beschreibt einen möglichen Ablauf, keine tatsächliche KIM-Kundenarbeit und keine gemessene Verbesserung.
Was tun bei einer Zertifikatswarnung?
Notieren Sie Adresse, Uhrzeit, Browser und den genauen Warntext. Übermitteln Sie diese Angaben an die zuständige Betreuung, statt Besucher zum Wegklicken der Warnung aufzufordern. Ob ein falscher Name, ein Gültigkeitsproblem oder eine andere Ursache vorliegt, muss am konkreten Fall geprüft werden.
Verbinden Sie diese Zuständigkeit mit Ihrer laufenden WordPress-Wartung. Wenn Sie Aufbau, HTTPS-Einrichtung und Betreuung gemeinsam klären möchten, unterstützt KIM Systems Sie bei Unternehmenswebsites. Ein sinnvoller Ausgangspunkt sind Ihre verwendeten Adressen und die Frage, wer ihren verlässlichen Betrieb übernimmt.