Secure Sockets Layer (SSL)

Secure Sockets Layer (SSL) ist ein Verschlüsselungsprotokoll, das eine sichere Verbindung zwischen Client (z. B. Browser) und Server etabliert. Die ursprüngliche SSL-Spezifikation aus den 1990ern wurde längst durch ihren Nachfolger TLS (Transport Layer Security) abgelöst – im allgemeinen Sprachgebrauch hat sich der Begriff “SSL” aber gehalten. Wenn heute jemand von einem “SSL-Zertifikat” spricht, ist faktisch ein TLS-Zertifikat gemeint. Erkennbar ist eine SSL/TLS-verschlüsselte Verbindung am https:// in der Adresszeile und am Schloss-Symbol davor – und sie ist heute nicht mehr optional: Browser markieren http://-Seiten als “Nicht sicher”, Google rankt unverschlüsselte Seiten schlechter und DSGVO-konformes Hosting verlangt sie ohnehin.

Wofür wird SSL/TLS gebraucht?

Drei zentrale Schutzziele werden mit SSL/TLS gleichzeitig erreicht:

• Vertraulichkeit: Die Datenübertragung ist verschlüsselt – ein Mitlauscher im Netzwerk (öffentliches WLAN, ISP, MITM) kann den Inhalt nicht lesen
• Integrität: Die Daten lassen sich auf dem Weg nicht unbemerkt manipulieren (Hash-Sicherung pro Paket)
• Authentizität: Der Server weist sich über sein Zertifikat aus – der Client weiß, mit welchem Gegenüber er kommuniziert

Ohne diese Schutzziele wären Online-Banking, Login-Formulare, Bezahlvorgänge und vertrauliche Kontaktformulare schlicht nicht möglich.

Der TLS-Handshake (vereinfacht)

Wenn ein Browser eine https://-URL aufruft, läuft im Hintergrund ein TLS-Handshake ab, der die sichere Verbindung etabliert:

1. Client Hello: Der Browser sendet seine unterstützten TLS-Versionen und Cipher-Suiten
2. Server Hello: Der Server wählt eine Cipher-Suite und schickt sein Zertifikat
3. Zertifikatsprüfung: Der Browser prüft die Vertrauenskette gegen seine eingebauten Root-CAs und das Ablaufdatum
4. Schlüsselaustausch: Über Diffie-Hellman / ECDHE wird ein symmetrischer Sitzungsschlüssel erzeugt
5. Verschlüsselte Verbindung steht: Alle weiteren Daten laufen verschlüsselt

Die moderne Version TLS 1.3 reduziert die Anzahl der Roundtrips drastisch (1-RTT, in Sonderfällen 0-RTT) – ein klar messbarer Performance-Gewinn gegenüber TLS 1.2.

Zertifikatstypen

Nicht jedes SSL/TLS-Zertifikat ist gleich. Drei Validierungsstufen sind heute relevant:

Der früher sichtbare grüne EV-Balken in der Browserzeile ist mittlerweile fast überall verschwunden – moderne Browser zeigen nur noch das Schloss-Symbol. Der Unterschied DV/OV/EV ist heute primär eine Vertrauens- und Compliance-Frage, kein UX-Vorteil mehr.

Single, Wildcard, SAN

• Single-Domain-Zertifikat: gilt für eine Hostname, z. B. nur www.example.com
• Wildcard-Zertifikat: gilt für eine Domain und alle Subdomains (*.example.com)
• SAN- oder Multi-Domain-Zertifikat: deckt mehrere konkret definierte Domains ab (example.com, example.de, another-domain.com)

Let’s Encrypt

Let’s Encrypt ist eine kostenlose Zertifizierungsstelle, die DV-Zertifikate automatisiert ausstellt. Über Tools wie Certbot lassen sich Erneuerungen alle 90 Tage skriptgesteuert durchführen. Für die meisten Standard-Webprojekte ist Let’s Encrypt heute die naheliegende Wahl – kostenfrei, weit verbreitet und in fast jedem Webhosting integriert.

HTTPS, HSTS und sichere Migration

Wer eine bestehende Webseite von HTTP auf HTTPS migriert, sollte zusätzlich zu SSL/TLS einrichten:

• 301-Redirect von http:// auf https:// für jede URL (nicht nur die Startseite)
• Strict-Transport-Security-Header (HSTS): Sagt Browsern, eine Domain in Zukunft nur noch per HTTPS aufzurufen – schützt gegen Downgrade-Angriffe
• Mixed-Content-Cleanup: Alle internen Ressourcen (Bilder, Scripts, Stylesheets) auf https://-URLs umstellen
• Canonical-Tags: Auf die https://-Variante zeigen lassen
• Sitemap und Robots: Die Sitemap komplett auf https:// umschreiben und neu bei der Google Search Console einreichen

Aus SEO-Sicht ist HTTPS seit 2014 ein offizielles, wenn auch leichtes Ranking-Signal. Aus Vertrauens- und DSGVO-Sicht ist es längst Pflicht.

Häufige Fragen zu SSL/TLS

Was ist der Unterschied zwischen SSL und TLS? TLS ist die moderne, sichere Weiterentwicklung von SSL. Die letzten echten SSL-Versionen (SSL 3.0) gelten seit 2014 als unsicher und sind in jedem aktuellen Browser deaktiviert. Heutige “SSL-Zertifikate” sind faktisch immer TLS-Zertifikate.

Brauche ich SSL für meine Webseite zwingend? Ja, in der Praxis schon. Browser warnen bei http://-Formularen, Google bestraft unverschlüsselte Seiten leicht im Ranking und die DSGVO verlangt für die Übertragung personenbezogener Daten den “Stand der Technik” – HTTPS ist heute genau das.

Wie viel kostet ein SSL-Zertifikat? Mit Let’s Encrypt nichts. Für OV/EV-Zertifikate bewegen sich die Preise je nach CA und Laufzeit im zwei- bis dreistelligen Euro-Bereich pro Jahr.

Verlangsamt SSL/TLS meine Webseite? In modernen TLS-1.3-Setups praktisch nicht – die Handshake-Latenz ist im einstelligen Millisekundenbereich. Verbreitete Optimierungen wie OCSP-Stapling und Session Resumption reduzieren den Aufwand zusätzlich.

Wie lange ist ein Zertifikat gültig? Maximal 398 Tage (vom CA/Browser-Forum festgelegt). Let’s Encrypt-Zertifikate laufen 90 Tage und werden in der Regel automatisch erneuert.

Was bedeutet das Schloss-Symbol im Browser konkret? Es bestätigt: Die Verbindung ist verschlüsselt und das Zertifikat gehört zur Domain. Es sagt nicht, dass die Webseite seriös ist – auch Phishing-Sites haben heute fast immer ein gültiges Let’s-Encrypt-Zertifikat.

Fazit

SSL/TLS ist heute kein Sicherheits-Add-on, sondern Grundausstattung jeder Webseite. Die Frage ist nicht ob, sondern welche Zertifikatsstufe und wie sauber die Migration läuft – inklusive HSTS, sauberer Redirects und Mixed-Content-Cleanup. Wir richten SSL-Zertifikate inkl. automatischer Erneuerung in jedem Hosting- und Relaunch-Projekt sicher ein. Sprich uns für ein unverbindliches Beratungsgespräch gerne an.