SSL-Zertifikat

Ohne Verschlüsselung wandert alles, was zwischen Besucher und Website ausgetauscht wird, im Klartext durchs Netz. Wer im selben WLAN sitzt — im Café, im Hotel, im Wartebereich — kann mit frei verfügbaren Mitteln mitlesen, was in ein Formular getippt wurde. Bei einer reinen Informationsseite ist das unschön, bei einem Kontaktformular mit Namen, Telefonnummer und Anliegen ist es ein Problem.

Genau das verhindert ein Zertifikat. Es ist eine Datei auf Ihrem Server, ausgestellt von einer anerkannten Stelle, und sie bestätigt zwei Dinge: dass dieser Server wirklich zu Ihrer Adresse gehört und mit welchem Schlüssel verschlüsselt werden soll. Ist es vorhanden, beginnt die Adresse mit https statt http, und der Browser zeigt ein Schloss statt eines Hinweises.

Die Begriffe sind historisch gewachsen und verwirren. SSL ist die alte Bezeichnung des Verfahrens, TLS die heute tatsächlich verwendete. Im Alltag sagt jeder weiter SSL-Zertifikat, gemeint ist dasselbe. Wichtiger als der Name ist, dass es aktuell und gültig ist.

Kosten: Ein Zertifikat kann kostenlos sein. Die Initiative Let's Encrypt stellt sie ohne Gebühr aus, und die Verschlüsselung ist dieselbe wie bei einem kostenpflichtigen. Was teurere Zertifikate zusätzlich leisten, ist eine weitergehende Prüfung des Unternehmens hinter der Adresse — für einen Handwerksbetrieb, eine Kanzlei oder ein Hotel bringt das im Regelfall keinen sichtbaren Vorteil. Wer Ihnen ein Zertifikat als jährlichen Posten verkauft und dabei von stärkerer Verschlüsselung spricht, beschreibt es falsch.

Der häufigste Ausfall hat nichts mit Angriffen zu tun, sondern mit einem Datum. Zertifikate laufen ab, kostenlose oft nach 90 Tagen. Wird nicht rechtzeitig erneuert, zeigt der Browser eine ganzseitige Warnung, und die Besucher sind weg — meist am Wochenende, weil niemand hinschaut. Die Erneuerung gehört deshalb automatisiert und überwacht; das ist Teil eines ordentlichen Hostings, kein Sonderwunsch.

Die Warnung ist keine Kleinigkeit. Chrome markiert Seiten ohne Verschlüsselung seit Juli 2018 ausdrücklich als »Nicht sicher«, andere Browser tun Ähnliches. Ein Besucher, der das sieht, unterscheidet nicht zwischen einem abgelaufenen Zertifikat und einem echten Angriff — er geht zurück. Wir haben Betriebe erlebt, die wochenlang keine Anfragen bekamen und die Ursache in ihren Texten suchten.

Es gibt auch einen rechtlichen Bezug. Artikel 32 der Datenschutz-Grundverordnung verlangt geeignete technische Maßnahmen nach dem Stand der Technik und nennt Verschlüsselung ausdrücklich als Beispiel. Ähnliche Datenschutzfragen klärt der Ratgeber zum Cookie-Banner. Ein Formular, über das Namen und Kontaktdaten unverschlüsselt übertragen werden, lässt sich damit schwer vereinbaren. Das ist kein Grund zur Panik, aber ein Grund, es nicht aufzuschieben.

Für Sie heißt das: Das Zertifikat ist kein Produkt, das man einmal ersteht, sondern ein laufender Vorgang. Die drei Fragen, die Sie Ihrem Anbieter stellen sollten, lauten: Wird automatisch erneuert, werde ich gewarnt, wenn das fehlschlägt, und wird jede Variante meiner Adresse erfasst — mit und ohne www. Fehlt eine davon, ist das Problem nicht erledigt, sondern nur vertagt.