Viele Anleitungen im Netz behaupten, eine Verschlüsselung sei für Ihre Website freiwillig.

Für eine deutsche Firmenwebsite ist das falsch, und dieser Beitrag erklärt zuerst, warum.

Danach geht es um das Zertifikat selbst, um die Umstellung auf HTTPS ohne die typischen Fehler, und um die Sicherheitsmaßnahmen, die darüber hinaus wirklich nötig sind.

Inhalt

Was ein SSL-Zertifikat ist

Ein Zertifikat ist eine digitale Datei auf Ihrem Server, die zwei Dinge leistet.

Es verschlüsselt die Verbindung zwischen dem Browser Ihres Besuchers und Ihrem Server, sodass niemand auf dem Weg mitlesen kann.

Und es bestätigt, dass der Server tatsächlich zu Ihrer Adresse gehört, sodass sich niemand dazwischenschalten kann.

Sichtbar wird das an zwei Stellen: die Adresse beginnt mit „https“ statt „http“, und der Browser zeigt kein Warnhinweis mehr an.

Eine Begriffsklärung, weil sie in der Praxis für Verwirrung sorgt.

Das Verfahren heißt eigentlich TLS, also Transport Layer Security.

Das alte SSL ist seit Jahren veraltet und wird von Browsern nicht mehr akzeptiert.

Der Name SSL ist aber hängen geblieben, deshalb heißt es überall weiterhin SSL-Zertifikat, obwohl TLS darin arbeitet.

Ist Verschlüsselung Pflicht?

Hier wird es wichtig, denn genau an dieser Stelle steht in vielen Ratgebern das Gegenteil.

Es gibt kein Gesetz, in dem der Satz „jede Website braucht ein SSL-Zertifikat“ steht.

Und trotzdem ist die Antwort für Ihre Firmenwebsite praktisch ja.

Warum?

Weil die Datenschutz-Grundverordnung vorschreibt, personenbezogene Daten nach dem Stand der Technik zu schützen.

Und eine verschlüsselte Übertragung ist seit Jahren Stand der Technik, nicht mehr die Ausnahme.

Personenbezogene Daten verarbeiten Sie aber schon dann, wenn Ihre Website ein Kontaktformular hat, einen Newsletter anbietet oder Zugriffe protokolliert.

Damit gilt die Anforderung für nahezu jede Firmenwebsite.

Was passiert konkret, wenn Sie darauf verzichten?

Ein Formular ohne Verschlüsselung überträgt Name, Telefonnummer und Anliegen Ihres Interessenten im Klartext.

Das ist nicht nur angreifbar, sondern ein klassischer Anlass für eine Abmahnung mit Kostennote.

Dazu kommt der praktische Teil, der Sie sofort trifft: Browser markieren unverschlüsselte Seiten mit einem Hinweis, dass die Verbindung nicht sicher ist.

Dieser Hinweis steht direkt neben Ihrem Firmennamen, und kein Interessent tippt darunter seine Telefonnummer ein.

Wir sind Webdesigner und keine Rechtsanwälte, deshalb gilt für die rechtliche Bewertung Ihres Falls: einmal prüfen lassen.

An der technischen Empfehlung ändert das nichts, denn ein Zertifikat ist bei den meisten Anbietern kostenlos enthalten.

Was Sie konkret davon haben

1. Die Daten sind geschützt

Passwörter, Formulareingaben und Zahlungsdaten können auf dem Übertragungsweg nicht mitgelesen werden.

Besonders relevant ist das in offenen Netzwerken, etwa im Café oder am Bahnhof, wo genau dieses Mitlesen technisch trivial ist.

Ein Hinweis zur Einordnung: die Verschlüsselung schützt den Weg, nicht Ihre Website.

Ein Zertifikat verhindert keinen Einbruch über ein veraltetes Plugin, das ist ein anderes Thema und steht weiter unten.

2. Kein Warnhinweis im Browser

Das ist der Vorteil mit der größten unmittelbaren Wirkung auf Ihre Anfragen.

Das Schlosssymbol nimmt niemand bewusst wahr.

Die Warnung „Nicht sicher“ bemerkt dagegen jeder, und sie wirkt wie ein Urteil über Ihre Firma.

3. Ein kleiner Vorteil bei der Suchmaschine

Auch hier eine Richtigstellung, weil dieser Punkt gern übertrieben wird.

Google berücksichtigt eine verschlüsselte Verbindung, aber als schwaches Signal unter vielen.

Ein Zertifikat allein bringt Sie keine Position nach vorne, wenn Inhalt und Ladezeit nicht stimmen.

Ohne Zertifikat dagegen verlieren Sie Besucher an der Browserwarnung, und das wiegt schwerer als das Signal selbst.

4. Voraussetzung für Zahlungen

Wenn Sie Kartenzahlungen annehmen, verlangen die Sicherheitsvorgaben der Kartenbranche eine verschlüsselte Übertragung.

Ohne Zertifikat bekommen Sie hier gar keinen Anbieter.

Wie Sie ein Zertifikat bekommen

Der einfachste Weg zuerst.

Bei nahezu allen Hostinganbietern ist ein Zertifikat von „Let’s Encrypt“ im Paket enthalten, kostenlos.

Sie müssen es nur im Verwaltungsbereich Ihres Anbieters für Ihre Domain aktivieren, das sind meist zwei Klicks.

Die Verlängerung läuft automatisch, weil diese Zertifikate nur wenige Monate gelten.

Prüfen Sie aber nach der ersten Verlängerung einmal nach, ob sie tatsächlich stattgefunden hat.

Ein abgelaufenes Zertifikat erzeugt eine Vollbildwarnung, die deutlich schlimmer wirkt als gar keine Verschlüsselung.

Kostenpflichtige Zertifikate, etwa von „DigiCert“ oder „Sectigo“, verschlüsseln nicht besser.

Sie prüfen zusätzlich Ihr Unternehmen und bringen Haftungszusagen mit, was für Banken und große Shops relevant ist.

Für eine gewöhnliche Firmenwebsite ist das kostenlose Zertifikat vollkommen ausreichend.

Die Umstellung auf HTTPS ohne Fehler

Das Zertifikat zu aktivieren ist der leichte Teil.

Danach ist Ihre Website nämlich über zwei Adressen erreichbar, mit und ohne Verschlüsselung, und das müssen Sie aufräumen.

  1. Backup erstellen. Vor der Umstellung, nicht danach.
  2. Adresse in WordPress ändern. Unter Einstellungen tragen Sie die Adresse der Website und die WordPress-Adresse mit „https“ ein.
  3. Alte Verweise im Inhalt ersetzen. Bilder und interne Links, die im Text fest mit „http“ hinterlegt sind, bleiben sonst unverschlüsselt.
  4. Dauerhafte Umleitung einrichten. Jeder Aufruf über „http“ wird per 301 auf „https“ geleitet, damit Ihre Seite nur noch unter einer Adresse existiert.
  5. Search Console ergänzen. Die verschlüsselte Adresse ist für Google eine eigene Eigenschaft und muss dort hinzugefügt werden, sonst sehen Sie Ihre Daten nicht mehr.

Genau hier passiert der häufigste Fehler, und er heißt gemischter Inhalt.

Die Seite selbst wird verschlüsselt geladen, aber einzelne Bilder, Schriften oder Skripte weiterhin unverschlüsselt.

Die Folge: der Browser zeigt trotz gültigem Zertifikat kein geschlossenes Schloss, und je nach Fall lädt er die betroffenen Dateien gar nicht, sodass Bilder fehlen oder das Layout bricht.

Wollen Sie es sich einfach machen, nimmt Ihnen das Plugin „Really Simple SSL“ die Umstellung und das Aufräumen der gemischten Inhalte ab.

Eine Warnung dazu, weil sie oft fehlt: solche Plugins arbeiten teilweise erst beim Ausliefern der Seite.

Deaktivieren Sie das Plugin später, sind die alten unverschlüsselten Verweise wieder da.

Die dauerhaft saubere Lösung ist deshalb, die Adressen einmal in der Datenbank zu ersetzen.

Und noch eine Falle, wenn ein Dienst wie Cloudflare vor Ihrer Website liegt.

Dort gibt es eine Einstellung, bei der die Verbindung nur bis Cloudflare verschlüsselt ist und von dort zu Ihrem Server unverschlüsselt weiterläuft.

Der Besucher sieht ein Schloss, die Strecke ist aber offen.

Stellen Sie das auf die Variante um, bei der beide Teilstrecken verschlüsselt sind.

Prüfen, ob alles richtig sitzt

Drei Prüfungen, in fünf Minuten erledigt.

  • Der „Qualys SSL Labs Server Test“. Ruft Ihre Domain ab und bewertet die Konfiguration mit einer Note. Alles ab A ist in Ordnung, bei B oder schlechter nennt der Bericht die Ursache, meist veraltete Verfahren, die Ihr Anbieter abschalten muss.
  • Ein Aufruf über die alte Adresse. Tippen Sie Ihre Domain mit „http“ ein. Landen Sie automatisch bei „https“, sitzt die Umleitung.
  • Das Schloss auf mehreren Seiten. Nicht nur auf der Startseite, sondern auch auf einer Seite mit vielen Bildern und auf der Kontaktseite, denn gemischter Inhalt tritt oft nur auf einzelnen Unterseiten auf.

Sicherheit über das Zertifikat hinaus

Ein verbreiteter Irrtum: mit dem Schloss in der Adressleiste sei die Website sicher.

Das Schloss sagt nur, dass die Leitung dicht ist.

Über die Haustür sagt es nichts, und Einbrüche passieren über die Haustür.

Vier Maßnahmen, die für eine gewöhnliche WordPress-Website tatsächlich zählen.

  • Updates einspielen. Der wirksamste Schutz überhaupt, weil automatisierte Angriffe gezielt nach veralteten Erweiterungen mit bekannten Lücken suchen.
  • Ein Sicherheitsplugin. „Wordfence“ für WordPress überwacht Anmeldeversuche, sperrt auffällige Zugriffe und durchsucht die Installation nach Schadcode. „Sucuri“ bietet zusätzlich eine vorgeschaltete Firewall.
  • Ordentliche Zugänge. Kein Benutzer namens „admin“, ein langes eigenes Passwort und Zwei-Faktor-Anmeldung. Der häufigste erfolgreiche Angriff ist kein technischer Kunstgriff, sondern ein durchprobiertes Passwort.
  • Die Google Search Console. Kostenlos, und sie meldet Ihnen, wenn Google auf Ihrer Website Schadcode erkennt. Oft erfahren Betreiber genau dort zuerst von einem Befall.

Was Sie nicht brauchen: die großen Schwachstellenscanner aus der Unternehmens-IT.

Diese Werkzeuge sind für Serverlandschaften gedacht, erzeugen hunderte Meldungen und setzen Fachwissen voraus, um sie zu bewerten.

Für eine Firmenwebsite bringt ein solcher Bericht keinen Erkenntnisgewinn, sondern nur Verunsicherung.

Und das Wichtigste, ganz unabhängig von jedem Werkzeug: ein Backup außerhalb des Servers.

Kein Schutz ist vollständig, und im Ernstfall entscheidet nicht Ihr Sicherheitsplugin, sondern die Frage, ob Sie eine saubere Fassung zurückspielen können.

Fazit

Es gibt kein Gesetz mit dem Wort SSL darin, und für Ihre Firmenwebsite ist Verschlüsselung dennoch verbindlich, weil die Datenschutz-Grundverordnung den Stand der Technik verlangt.

Aktivieren Sie das kostenlose Zertifikat bei Ihrem Anbieter, stellen Sie die Adressen in WordPress um, richten Sie die Umleitung ein und räumen Sie die gemischten Inhalte auf.

Prüfen Sie danach mit dem Server-Test und auf mehreren Unterseiten nach.

Sollte das Schloss trotz gültigem Zertifikat fehlen, ist es fast immer gemischter Inhalt.

Öffnen Sie dann die Entwicklerwerkzeuge Ihres Browsers und sehen Sie sich die Meldungen in der Konsole an.

Dort steht die genaue Datei, die noch unverschlüsselt geladen wird, und damit haben Sie den Fehler gefunden!