SSL-Zertifikat: Brauchst du eines, und was kostet es?
Ein SSL-Zertifikat weist nach, dass deine Website wirklich dir gehört, und schaltet die Leitung zwischen Browser und Server auf verschlüsselt. Damit bleiben Eingaben wie Passwörter, Kontaktdaten oder Bestellungen auf dem Weg zum Server für Dritte unlesbar.
Zusammenfassung
- Ein SSL-Zertifikat weist deine Website aus und verschlüsselt die Verbindung
- Sobald personenbezogene Daten über deine Website laufen, führt kaum ein Weg daran vorbei
- Den Preis treibt die Prüfstufe und die Reichweite, nicht die Verschlüsselung
- Kostenlose Zertifikate decken die unterste Prüfstufe für eine einzelne Domain ab
- Der kürzeste Bezugsweg führt über den Hoster, bei dem dein Webhosting liegt
- DV, OV und EV unterscheiden sich darin, wie genau die ausstellende Stelle hinsieht
- Laufzeiten werden kürzer, automatische Erneuerung wird zur Normalität
Brauchst du überhaupt eines?
Kurz: in fast allen Fällen ja. Ein Gesetz, das wörtlich von einer „SSL-Pflicht“ spricht, gibt es zwar nicht [PRÜFEN: kein Gesetz nennt eine wörtliche SSL-Pflicht]. Die DSGVO verlangt aber Schutzmaßnahmen, die dem Stand der Technik entsprechen, sobald du personenbezogene Daten überträgst [PRÜFEN: DSGVO verlangt Schutzmaßnahmen nach dem Stand der Technik]. Verschlüsselte Übertragung gehört heute dazu.
In der Praxis heißt das: Sobald deine Website ein Kontaktformular, einen Login, eine Bestellfunktion oder eine Newsletter-Anmeldung hat, ist eine unverschlüsselte Übertragung nicht mehr haltbar. Dieser Artikel ordnet den Mechanismus ein und ersetzt keine Rechtsberatung — für deinen konkreten Fall ist eine fachkundige Auskunft der richtige Weg.
Dazu kommt der Effekt bei den Menschen, die deine Seite besuchen. Browser zeigen fehlende Verschlüsselung sichtbar an und warnen, bevor jemand ein Passwort eintippt. Eine Warnseite steht zwischen deinem Inhalt und deinem Publikum, und sie kostet Vertrauen, bevor der erste Satz gelesen ist. Ein fehlendes Zertifikat bedeutet nicht automatisch Betrug, es erhöht aber das Risiko für alle Beteiligten.
Technisch arbeiten heutige Zertifikate mit zwei Schlüsseln statt einem: Verschlüsselt wird mit dem öffentlichen Schlüssel, entschlüsseln lässt sich die Nachricht nur mit dem privaten. Den öffentlichen Schlüssel liefert dein Server über das Zertifikat mit. Verbreitet sind das Verschlüsselungsverfahren AES und die Hashfunktion SHA256, die konkreten Verfahren wechseln im Lauf der Zeit. Hinter dem Namen SSL steckt übrigens längst der Nachfolger TLS — der alte Name hat sich einfach gehalten.
Was du dafür zahlst, und wann null Euro genügen
Die wichtigste Nachricht zuerst: Die Verschlüsselung selbst ist bei einem kostenlosen und einem kostenpflichtigen Zertifikat technisch dieselbe. Was den Preis treibt, ist der Aufwand der Prüfung und die Reichweite des Zertifikats.
| Preistreiber | Wirkung |
|---|---|
| Prüfstufe (DV, OV, EV) | Je mehr die ausstellende Stelle prüft, desto mehr Handarbeit steckt darin |
| Reichweite (eine Domain, Subdomains, mehrere Domains) | Mehr abgedeckte Adressen bedeuten einen höheren Preis |
| Support und Betreuung | Bezahlte Zertifikate kommen mit Ansprechstelle, kostenlose in der Regel ohne |
| Laufzeit und Erneuerung | Manuelle Verlängerung bindet Zeit, Automatisierung spart sie |
Seit 2015 stellt die Zertifizierungsstelle Let’s Encrypt Zertifikate kostenfrei aus. Das deckt die unterste Prüfstufe ab und gilt meist für eine einzelne Domain. Für eine Vereinsseite, einen Blog oder die Visitenkarten-Website eines Einzelunternehmens reicht das in der Regel aus.
Kostenpflichtig wird es, sobald du mehr brauchst: eine höhere Prüfstufe, mehrere Domains in einem Zertifikat oder eine Ansprechstelle, die bei Problemen hilft. Höhere Prüfstufen gibt es ausschließlich kostenpflichtig, weil dahinter Menschen Unterlagen prüfen.
Ein kostenloses Zertifikat verschlüsselt genauso gut wie ein bezahltes. Der Unterschied liegt in der Prüfung der Identität und in der Reichweite, nicht in der Sicherheit der Verbindung. Wer dir etwas anderes erzählt, verkauft dir die Prüfstufe als Verschlüsselungsqualität.
Woher du eines bekommst
Es gibt drei gangbare Wege und einen, der für öffentliche Websites ausscheidet.
- Über deinen Hoster: Dort, wo deine Domain und dein Webhosting liegen, laufen Ausstellung und Installation zusammen. Das ist meist der kürzeste Weg, weil du dich um die Dateiformate auf dem Server nicht selbst kümmern musst.
- Direkt bei einer Zertifizierungsstelle: sinnvoll, wenn du eine bestimmte Stelle oder eine bestimmte Prüfstufe brauchst und den Server selbst betreust.
- Über Let’s Encrypt: kostenfrei, oft bereits automatisiert in die Oberfläche des Hosters eingebunden, inklusive automatischer Erneuerung.
- Selbst ausgestellt: funktioniert technisch, Browser erkennen solche Zertifikate aber nicht an. Für eine öffentliche Website ist das keine Option, höchstens für interne Testumgebungen.
Entscheidend ist in allen Fällen dasselbe: Die Browserhersteller müssen die ausstellende Stelle anerkennen. Ohne diese Anerkennung bringt dir das beste Zertifikat nichts, weil die Warnseite trotzdem erscheint. Bei world4you buchst du ein SSL-Zertifikat als Zusatz zu deiner Domain — von einer kostenlosen Basisvariante bis zu höheren Prüfstufen, je nachdem, was dein Projekt braucht.
Wenn du dich ohnehin gerade mit der Absicherung deiner Umgebung beschäftigst, lohnt ein Blick auf die Grundlagen: Server absichern behandelt die Schritte, die neben der Transportverschlüsselung dazugehören. Liegen Domain und Webhosting bei verschiedenen Stellen, vereinfacht ein Domain-Umzug die Verwaltung, weil danach alles an einem Ort zusammenläuft.
Nach der Ausstellung muss das Zertifikat auf dem Server installiert werden. Dafür gibt es verschiedene Dateiformate, und welches du brauchst, hängt von der eingesetzten Serversoftware ab. Übernimmt dein Hoster diesen Schritt, entfällt die Auswahl für dich komplett.
Wie streng geprüft wird: DV, OV und EV
Die drei Prüfstufen unterscheiden sich darin, was die ausstellende Stelle kontrolliert, bevor sie ausstellt. Die Verschlüsselung bleibt über alle Stufen gleich.
| Prüfstufe | Geprüft wird | Passend, wenn |
|---|---|---|
| Domain Validation (DV) | Nur die Kontrolle über die Domain, automatisiert | Du eine Website ohne Zahlungs- oder Kontodaten betreibst |
| Organization Validation (OV) | Zusätzlich Unterlagen des Unternehmens, oft ein Firmenbuchauszug, teils ein Telefonat | Besucher:innen sehen sollen, welche Organisation hinter der Website steht |
| Extended Validation (EV) | Domain, Organisation sowie die antragstellende Person samt Berechtigung | Du im besonders sensiblen Umfeld arbeitest und die strengste Prüfung brauchst |
Bei der Domain Validation führst du den Nachweis über eine E-Mail-Adresse, einen DNS-Eintrag oder eine Datei auf dem Server. Wie der Weg über den DNS-Eintrag funktioniert, erklärt der Guide zu DNS-Server. Dieser Teil läuft automatisiert ab und dauert meist nur Minuten.
Bei der Organization Validation wird die geprüfte Organisation im Zertifikat sichtbar. Interessierte können also nachsehen, wer die Website betreibt. Für die Extended Validation muss die ausstellende Stelle selbst dazu autorisiert sein. Diese Autorisierung vergibt das CA/Browser-Forum, ein Zusammenschluss von Zertifizierungsstellen und Browserherstellern.
Eine Domain oder gleich alle Subdomains?
Die zweite Entscheidung betrifft die Reichweite. Sie hängt nicht an der Prüfstufe, sondern daran, wie viele Adressen du absicherst.
| Variante | Deckt ab | Sinnvoll, wenn |
|---|---|---|
| Single Name | Eine Domain samt Unterseiten, keine Subdomains | Deine gesamte Website unter einer Adresse liegt |
| Wildcard | Zusätzlich alle Subdomains | Du neben musterfirma.at auch shop.musterfirma.at betreibst
|
| Multi-Domain (SAN) | Mehrere eigenständige Domains in einem Zertifikat | Du mehrere Projekte oder Länderdomains gebündelt verwalten willst |
Der häufigste Stolperstein liegt bei den Subdomains: Ein Zertifikat für musterfirma.at deckt zwar alle Unterseiten ab, nicht aber eine Subdomain wie blog.musterfirma.at. Wenn dir der Unterschied zwischen Unterseite und Subdomain noch nicht ganz klar ist, hilft der Guide Was sind Domains? weiter.
Was in Österreich dazukommt
Der technische Rahmen ist international, der organisatorische hat heimische Eigenheiten.
- Zertifikate bekommst du sowohl bei österreichischen Anbietern und Hostern als auch bei internationalen Zertifizierungsstellen. Beides ist gleichwertig, solange die Browserhersteller die ausstellende Stelle anerkennen.
- Bei der Organization Validation tritt der Firmenbuchauszug an die Stelle des Dokuments, das in Deutschland Handelsregisterauszug heißt. Halte ihn bereit, bevor du den Antrag stellst.
- Die Wirtschaftskammer Österreich informiert zum Thema und ist für Betriebe eine geläufige Anlaufstelle, wenn du eine neutrale Einschätzung suchst.
- Die DSGVO gilt in Österreich wie im übrigen EU-Raum. Für die Frage, ob du verschlüsseln musst, macht der Standort deines Betriebs also keinen Unterschied.
Läuft deines noch? So siehst du nach
Zertifikate laufen ab, derzeit nach einer Dauer zwischen einem und dreizehn Monaten. Das Datum steht im Zertifikat selbst, zusammen mit dem Beginn der Gültigkeit. So prüfst du den Stand deiner eigenen Website:
- Rufe deine Website im Browser auf und sieh in die Adresszeile. Steht dort
https://und ein Schloss-Symbol, ist ein Zertifikat aktiv. - Klicke auf das Schloss. Der Browser zeigt die ausstellende Stelle, das verwendete Verschlüsselungsverfahren und die Gültigkeitsdauer.
- Vergleiche das Ablaufdatum mit dem heutigen. Liegt es nahe, kümmere dich um die Erneuerung, bevor es so weit ist.
- Prüfe, ob dein Hoster die Erneuerung automatisch übernimmt. Wenn ja, erledigt sich der Rest von selbst.
In der Detailansicht findest du neben der Gültigkeit noch weitere Angaben, die bei einer Rückfrage hilfreich sind:
- Die ausstellende Stelle, also die Zertifizierungsstelle, die für die Prüfung geradesteht
- Die Seriennummer, über die sich das einzelne Zertifikat eindeutig benennen lässt
- Den Fingerabdruck, eine Prüfsumme über den Inhalt des Zertifikats
- Bei OV- und EV-Zertifikaten zusätzlich die geprüfte Organisation
Das CA/Browser-Forum hat beschlossen, die maximale Laufzeit von Zertifikaten bis 2029 schrittweise auf 47 Tage zu senken. Manuelles Verlängern wird damit zur Fleißaufgabe — automatische Erneuerung über den Hoster wird zur Normalität.
Fehlt ein gültiges Zertifikat, warnen Browser spätestens bei der Eingabe von Passwörtern. Diese Warnung bezieht sich auf die Verbindung, nicht auf die Absichten der Betreiberseite. Für dein Publikum ist der Unterschied allerdings schwer erkennbar, und das spricht dafür, den Ablauf im Blick zu behalten.
Unterm Strich ist die Entscheidung übersichtlicher, als die Abkürzungen vermuten lassen. Fast jede Website braucht ein Zertifikat, die Verschlüsselung ist überall dieselbe, und für eine klassische Unternehmens- oder Vereinsseite genügt die unterste Prüfstufe für eine einzelne Domain. Erst wenn du Subdomains absicherst, mehrere Projekte bündelst oder deine Organisation im Zertifikat sichtbar machen willst, lohnt sich der Schritt zu einer höheren Stufe oder größeren Reichweite. Den kürzesten Weg hast du dort, wo deine Domain und dein Webhosting ohnehin schon liegen.