Viele Website-Inhaber setzen sich mittlerweile verstärkt mit der Sicherheit im Internet auseinander und möchten dafür sorgen, dass die Nutzung ihrer Seite risikolos möglich ist. Gerade in Zeiten, in denen viele Geschäfte und Transaktionen online stattfinden, müssen Unternehmen und Website-Betreiber sicherstellen, dass ihre Website und Kundendaten vor Hackern geschützt sind.
Ein SSL-Zertifikat setzt genau an diesem Punkt an: Es verschlüsselt die Datenübertragung zwischen dem Browser des Nutzers und dem Server der Website. Durch die Verwendung eines solchen Zertifikates kann also verhindert werden, dass nicht autorisierte Personen auf die Website-Daten zugreifen können.
Doch wie funktioniert ein SSL-Zertifikat genau, welche Anbieter gibt es und wie sieht es mit den Kosten aus?
Was macht ein SSL-Zertifikat?
Zu Beginn möchten wir erst einmal die grundlegenden Fakten klären: Was bedeutet SSL überhaupt und was macht ein solches Zertifikat? Die Abkürzung SSL steht für “Secure Sockets Layer”. Dabei handelt es sich um eine spezielle Sicherheitsmaßnahme, welche die Daten von Website-Nutzern mithilfe einer komplexen Verschlüsselungstechnik – der sogenannten 256-Bit-Verschlüsselung – schützt. Heute ist das Verfahren auch als TLS (Transport Layer Security) bekannt, es wird jedoch immer noch als SSL bezeichnet.
SSL-Zertifikate werden zum Zweck der verschlüsselten Kommunikation zwischen Nutzer und Website eingesetzt. Ist die SSL-Verschlüsselung aktiv, können Bedrohungen von außen keine sensiblen Daten wie Passwörter oder Kreditkarteninformationen auslesen.
Im Detail funktioniert diese Verschlüsselung wie folgt:
- Ruft ein Nutzer eine bestimmte Website auf, gibt er in der Regel eine URL wie www.beispiel.de in die Browser-Leiste ein.
- Verwendet die Beispielseite ein SSL-Zertifikat, schickt der Server, auf dem die Website gespeichert ist, ein entsprechendes Zertifikat an den Browser des Nutzers.
- Das Zertifikat besitzt eine Art virtuellen Schlüssel, anhand dessen der Browser den Server aus einer Liste von Zertifizierungsstellen authentifizieren kann.
- Nach der Authentifikation sendet der Browser selbst einen Schlüssel an den Server und kodiert diesen mit dem Serverschlüssel.
- Nachdem der Server den Schlüssel des Nutzer-Browsers empfangen hat, kann die sichere Kommunikation hergestellt werden. Die Website-URL wird dem Nutzer daraufhin mit der Abkürzung HTPPS angezeigt.
Diese grundlegende Funktion des SSL-Zertifikats wird durch eine weitere nützliche Funktion ergänzt: Neben der Verschlüsselung der Kommunikation prüft das Zertifikat verschiedene Informationen der Website auf ihre Echtheit. Je nach Zertifikatstyp werden dabei mehr oder weniger Sicherheitsmerkmale einer Seite überprüft. Nutzer der Website können so sicherstellen, dass die Internetseite echt ist oder ob es sich um eine gefälschte Kopie von Hackern handelt, das sogenannte Phishing.
Warum sind SSL-Zertifikate nötig?
Ein SSL-Zertifikat ist ein wichtiger Bestandteil einer Website – sowohl für die Betreiber als auch für die Nutzer. Letztere wünschen sich beim Besuch einer Website vor allem Datensicherheit. Egal, ob Kennwörter, sensible Gesundheitsdaten oder die Kreditkarte, damit Hacker nicht an die privaten Daten gelangen, ist das HTTPS-Zertifikat von entscheidender Bedeutung.
Gleichzeitig profitieren Website-Betreiber und Unternehmen von der Sicherheit der Kundendaten. Welcher Anbieter möchte schließlich eine Datenpanne auf der eigenen Website verantworten? Kleinere Seitenbetreiber, die aufgrund des Aufwands und der Kosten auf ein entsprechendes Zertifikat verzichten, haben nicht selten nach kurzer Zeit Probleme mit dem Datenschutz – und damit auch mit dem Vertrauen ihrer Besucher.
Neben dem erhöhten Datenschutz und dem damit einhergehenden Kundenvertrauen sorgt das Zertifikat auch dafür, dass Besuchern einer Website keine Sicherheitswarnung beim Aufrufen der Seite angezeigt wird. Des Weiteren ist das SSL-Zertifikat ein relevanter Rankingfaktor für die Suchmaschinenplatzierung der Website.
Ein DNS-Server sorgt weiterhin für eine sichere Kommunikation zwischen Client und Server bei der Namenszuweisung der URL.
DSGVO-Pflicht für SSL
Webseiten, die sensible Nutzerdaten verarbeiten, müssen ein SSL-Zertifikat verwenden, das den Anforderungen der Europäischen Datenschutz-Grundverordnung (DSGVO) entspricht. Im Gegensatz dazu benötigen private Internetseiten – beispielsweise Blogs – laut der Datenschutz-Grundverordnung keine datenschutzkonforme SSL-Verschlüsselung.
Pflicht ist das SSL-Zertifikat damit für folgende Websites:
- Onlineshops
- Kontaktformulare
- Anmeldungen zum Newsletter
- Online-Bezahlvorgänge
- Login für Mitglieder
Bei der Erstellung einer Website sollte also stets individuell geprüft werden, ob eine SSL-Verschlüsselung Pflicht ist oder ob auch darauf verzichtet werden kann.
SSL und SEO
Ein SSL-Zertifikat ist nicht nur für die Sicherheit einer Website sinnvoll, auch das Ranking in den Google-Platzierungen kann dadurch positiv beeinflusst werden. Suchmaschinen wie Google und Bing strafen Websites ohne ein solches HTTPS-Zertifikat ab – das gilt übrigens auch für Seiten, deren SSL-Zertifikat nicht mehr gültig ist. Die Folge: Die Website erhält eine schlechtere Platzierung in den Suchergebnissen der Suchmaschine – Nutzer werden so weniger auf die Seite aufmerksam.
Die Verwendung eines SSL-Zertifikats ist also ein wichtiger Bestandteil des SEO-Marketings. Schließlich sollen sich Kunden auf der Seite wohlfühlen – und ihre Daten in sicheren Händen wissen.
Mangelndes Kundenvertrauen
Webseiten, die keine SSL-Verschlüsselung verwenden, werden dem Nutzer ohne das kleine Schlosssymbol und dem Zusatz HTTPS – zu finden links neben der URL – angezeigt. Das kann sich negativ auf das Vertrauen der Websitebesucher auswirken. Viele Browser zeigen Nutzern zudem eine Sicherheitswarnung an, wenn die Website keine SSL-Verschlüsselung besitzt. Dieser Hinweis kann beispielsweise wie folgt lauten: “Dies ist keine sichere Verbindung” oder “Diese Seite ist nicht sicher”.
SSL-Zertifikate für jeden Zweck
Die verschiedenen SSL-Zertifikatstypen ermöglichen es Website-Betreibern, die ideale Lösung für ihren individuellen Anspruch zu finden. Dabei kommen verschiedene Kategorien für unterschiedliche Anwendungszwecke infrage:
- Die Kategorie Single Domain SSL-Zertifikate ist vor allem dann interessant, wenn ein Zertifikat für eine einzelne Domain eingesetzt werden soll. Dieser Typ schützt dementsprechend keine Subdomains und keinerlei andere Domainnamen.
- Wird ein SSL-Zertifikat für mehrere Domains gesucht, ist die Kategorie der Multidomain-SSL-Zertifikate eine mögliche Lösung. Diese werden in der Regel als SAN- oder UC-Zertifikat bezeichnet und sichern mehrere Domains und Subdomains gleichzeitig ab, welche sich auf einem gemeinsamen Server befinden. Dabei können die Seiten vollkommen unterschiedliche Internetadressen haben.
- Wird ein Zertifikat für mehrere Subdomains benötigt, kann die Kategorie Wildcard-Zertifikate infrage kommen. Wildcard-SSL-Zertifikate sichern eine einzelne Domain inklusive aller ihrer Subdomains ab, jedoch keine weiteren unabhängigen Domains.
- Soll das Zertifikat eingesetzt werden, um Daten von E-Commerce-Kunden zu schützen, sind spezifisch darauf ausgelegte Zertifikate für Onlineshops die passende Lösung.
Welcher Zertifikatstyp ist der richtige?
Betreiber von Internetseiten können aus unterschiedlichen Zertifikatstypen wählen, wobei diese jeweils verschiedene Informationen einer Seite validieren, das heißt, verschiedene Zertifikatsvalidierungsstufen verwenden. Dabei gilt: Je mehr Informationen validiert werden, desto mehr Kosten sind für das SSL-Zertifikat zu erwarten. Tatsächlich haben die verschiedenen Zertifikatstypen jedoch keinen Einfluss auf die Verschlüsselungsstärke – diese ist bei allen drei Varianten gleich stark ausgeprägt. Jeder Verschlüsselungstyp kann sowohl für eine einzelne Domain als auch kombiniert für mehrere Domains verwendet werden.
Domain-Validierung (DV SSL)
Speziell kleinere Websites wie Blogs oder privat genutzte Internetseiten können von einem Domain-Validierung-Zertifikat (DV SSL), auch Basis-Zertifikat genannt, profitieren. Personen- oder Unternehmensdaten überprüft das Zertifikat nicht.
Der entscheidende Vorteil dieses Zertifikatstyps: Die Verschlüsselung erfolgt bereits innerhalb weniger Minuten, weshalb die Einrichtung besonders schnell, günstig und einfach erfolgen kann. Jedoch sollten auch die Nachteile dieser Variante nicht außer Acht gelassen werden: Da keine Daten der Seite überprüft werden, können auch Hacker für ihre Phishing-Seiten ein DV SSL-Zertifikat kaufen und die Besucher der Seite so in die Irre führen.
Organisations-Validierung (OV SSL)
Für kleine Onlineshops oder Firmenwebsites von kleineren Unternehmen eignet sich der Einsatz eines Organisations-Validierung-Zertifikat (OV SSL). Dieses sorgt nicht nur für eine Zertifizierung der Website-Domain, sondern validiert auch den Unternehmensnamen. So erhalten Besucher Auskunft darüber, ob hinter der Website ein vertrauenswürdiger Anbieter steckt – Phishing-Attacken werden damit deutlich schwieriger.
Um die Validierung zu ermöglichen, werden entsprechende Ausweisdokumente von der Zertifizierungsstelle angefordert und im Anschluss mit den Angaben der Unternehmensseite abgeglichen. Auch eine telefonische Überprüfung ist möglich.
Aufgrund der Namens-Validierung dauert der Zertifizierungsprozess bei OV SSL etwas länger als bei DV SSL. Zudem fallen auch die Kosten für die Verwendung etwas höher aus. Dennoch lohnt sich ein solches Zertifikat besonders für öffentlich relevante Websites, um das Vertrauen der Seitenbesucher zu sichern.
Erweiterte Validierung (EV SSL)
Die Erweiterte Validierung (EV SSL) – auch Extended Validation genannt – stellt eine besondere Variante der Organisations-Validierung dar. Damit eine Website dieses Zertifikat erhält, muss sich der Anbieter einer umfangreichen Überprüfung unterziehen und auch mit entsprechenden Kosten planen. Diese maximale Sicherheitsstufe verifiziert eine ganze Reihe an Informationen über den Website-Anbieter oder Inhaber.
Das EV SSL-Zertifikat wird ausschließlich an natürliche Personen ausgestellt, die in einem öffentlichen Onlineregister, beispielsweise dem Online-Handelsregister, zu finden sind. Nutzern wird diese besondere Überprüfung in den meisten Browsern durch eine grüne Einfärbung angezeigt, welche das Vertrauen in die Website maßgeblich stärkt. Vor allem Behörden und Banken nutzen deshalb dieses Zertifikat, um ihren Kunden die bestmögliche Nutzererfahrung zu bieten und den maximalen Vertrauenswert zu schaffen.
Selbstverständlich dauert der Zertifizierungsprozess hier entsprechend länger und ist auch um einiges teurer als eine reguläre OV SSL-Zertifizierung. Neben Banken und Behörden können auch große E-Commerce-Anbieter von einem solch hohen Vertrauenswert profitieren.
Anbieter & Kosten
Internetseiten-Betreiber haben verschiedene Möglichkeiten, SSL-Zertifikate zu erwerben. Es gibt eine Reihe an Anbietern, die Zertifikatslösungen anbieten. Sie können natürlich auch über eine der offiziellen Zertifizierungsstellen wie Thawte oder DigiCert erworben werden.
Je nach Zertifikatstyp und Domainanzahl variieren die Kosten für das SSL-Zertifikat. Basis-Lösungen, die nur eine einzelne Domain schützen sollen, kosten etwa zwischen 10 und 150 Euro im Jahr.
OV-Lösungen kosten bereits deutlich mehr, ebenso wie Zertifikate mit Erweiterter Validierung. Hier können zwischen 130 und 1400 Euro pro Jahr – und pro Domain – anfallen.
Unabhängig vom Zertifikatstyp beträgt die Laufzeit eines SSL-Zertifikats in der Regel immer ein Jahr. Nach dieser Dauer müssen die Zertifikate erneuert werden – denn ein abgelaufenes Zertifikat bringt dieselben negativen Folgen mit sich wie ein fehlendes Zertifikat.
Bist du noch auf der Suche nach einem passenden Anbieter für ein SSL-Zertifikat für deine Website? Nachfolgend stellen wir die bekanntesten Anbieter für kostenpflichtige Zertifikatslösungen – auch als Paid SSL bezeichnet – vor.
GlobalSign
GlobalSign gehört zu den renommiertesten Zertifikatsstellen (CA) weltweit. Für ein DV SSL-Zertifikat fallen hier Kosten von 149 Euro an – Wildcard-Zertifikate kosten rund 504 Euro. Ein OV SSL-Zertifikat gibt es bei GlobalSign ab 189 bis 684 Euro. Zertifikate mit Erweiterter Validierung schlagen mit 459 Euro zu Buche.
Thawte
Auch Thawte gehört zu den führenden Anbietern für SSL-Zertifikate. Egal, ob für ein kleines oder großes Unternehmen, Thawte bietet SSL-Zertifikate für Websites jeder Größe an. Je nach Anzahl der Domains und Zertifikatstyp fallen die Preise unterschiedlich aus: Zwischen 129 und 758 Euro pro Jahr sind dabei möglich.
Die Domain-Validierung bei Thawte dauert lediglich wenige Minuten, während für eine genauere Prüfung bei EV SSL-Zertifikaten bis zu drei Werktage erforderlich sein können.
DigiCert SSL
Als der größte Aussteller von SSL-Zertifikaten weltweit gilt der Anbieter DigiCert. Dieser versorgt nicht nur Kunden, sondern auch weitere Provider, mit Zertifikatslösungen.
Im Vergleich zur Konkurrenz sind die Preise jedoch deutlich höher: Pro Jahr können diese bis zu 1.339 Euro für ein EV SSL-Zertifikat betragen. Trotz des hohen Preises kann sich die Verwendung eines DigiCert-Zertifikats lohnen: Webseiten, die das Siegel besitzen, strahlen eine besonders hohe Vertrauenswürdigkeit für Kunden aus.
Kostenlose Lösungen
Neben den kostenpflichtigen Anbietern gibt es auch eine Auswahl an kostenlosen SSL-Zertifikaten. Doch wo liegt überhaupt der Unterschied zwischen kostenpflichtigen und kostenlosen SSL-Zertifikaten?
Grundsätzlich gilt: Die Verschlüsselungsstärke der Besucherdaten unterscheidet sich bei beiden Lösungen nicht. Kostenpflichtige Zertifikate bieten jedoch eine Reihe weiterer Vorteile, die kostenlose Zertifikatslösungen weniger geeignet machen. So wird das Kundenvertrauen in die Website durch folgende Aspekte gestärkt:
- Gültigkeitsdauer: Kostenlose Zertifikate weisen in der Regel eine Gültigkeitsdauer von wenigen Wochen bis Monaten auf und müssen dementsprechend deutlich öfter erneuert werden. SSL-Zertifikate, die Geld kosten, besitzen hingegen eine längere Laufzeit von einem Jahr.
- Validierungsstufe: Nur SSL-Zertifikate in der DV-Variante können kostenlos angeboten werden. Die Organisation-Validierung (OV SSL) und die Erweiterte Validierung (EV SSL) sind ausschließlich in der kostenpflichtigen Variante erhältlich.
- Domainanzahl: Kostenlose SSL-Zertifikate können immer nur eine einzige Domain schützen. Die kostenpflichtigen Lösungen bieten auch Optionen, bei welchen mehrere Domains oder Subdomains geschützt werden können (Multi-Domain-Lösungen oder Wildcard-Zertifikate).
Für kleine, private Websites wie persönliche Tagebücher kann auch eine kostenlose SSL-Lösung sinnvoll sein – und stellt immer noch die bessere Alternative zu gar keiner Verschlüsselung dar. Für alle anderen Website-Anbieter gilt: Die Investition in eine kostenpflichtige SSL-Verschlüsselung zahlt sich langfristig aus und bringt eine Reihe an Vorteilen mit sich, die das Kundenvertrauen in die Internetseite maßgeblich stärken können.
Für die nahe Zukunft ist allerdings bereits geplant Zertifikate nur noch für einen Zeitraum von wenigen wochen zu akzeptieren. Je komplizierter der Vorgang der Zertifikatsausstellung ist, desto wahrscheinlicher ist ein Ausfall eines kostenpflichtigen Zertifikats.
Kostenlose Zertifikate von LetsEncrypt sind technisch perfekt für jede Art von Website und kann vollautomatisiert ausgestellt und erneuert werden.
Zertifikate einrichten
Je nachdem, wie eine Website erstellt und aufgebaut wurde, erfolgt die Einrichtung des SSL-Zertifikats auf unterschiedliche Art und Weise. Grundsätzlich kommen drei verschiedene Optionen zur Erstellung einer Website infrage:
- Content-Management-System, beispielsweise WordPress
- Website-Baukasten
- Homepage selbst programmieren
Der Hauptanteil der Websites wird mithilfe eines Homepage-Baukastens erstellt, weshalb wir die Aktivierung des Zertifikats für diese Variante vorstellen. Der große Vorteil hierbei ist, dass viele der Baukästen bereits HTTPS-Zertifikate enthalten und somit keine extra Kosten dafür anfallen.
Im Folgenden erklären wir anhand des Beispiels Plesk die Aktivierung des SSL-Zertifikats bei einer Seite, die mithilfe eines Webbaukastens oder Wordpress erstellt wurde:
- Anmelden bei webhoster
- Den Reiter “Website & Domains” auswählen
- Die eigene Website auswählen und den Reiter “SSL/TLS Zertifikate” klicken
- “SSL-Zertifikat neu ausstellen” wählen
- ggf. noch weitere Subdomains auswählen und bestätigen.
Wie am Beispiel zu erkennen, ist die Aktivierung des SSL-Zertifikats bei einer Baukasten-Homepage denkbar einfach. Wurden alle fünf Schritte ausgeführt, profitiert die Homepage anschließend von den Vorteilen des SSL-Schutzes und genießt ein verstärktes Kundenvertrauen.
Anschließend müssen sich Website-Betreiber um nichts kümmern – solange, bis das Zertifikat abläuft und seine Gültigkeit verliert. Sobald das SSL-Zertifikat ausgelaufen ist, muss dieses erneuert werden. Die webhoster.de AG bietet im Bereich der Website-Verwaltung die Möglichkeit “SSL-Zertifikat erneuern” an. Mit einem Klick kann der bestehende Vertrag so bequem verlängert werden. Die Standardeinstellung ist übrigens die kostenlose Aktivierung eines Letsencrypt Zertifikats für alle angelegten Domains und Subdomains. Verschlüsselung ist heutzutage Standard und sollte auch nichts kosten, oder zusätzliche Arbeit verursachen, deshalb kümmert sich der webhoster um grundsätzliche Anforderungen schon selbst.
Verschlüsselung erkennen & prüfen
Vor allem bei Transaktionen oder der Eingabe von sensiblen Daten ist es für Nutzer besonders wichtig zu wissen, ob ein Online-Shop oder eine andere Internetseite durch ein SSL-Zertifikat verschlüsselt ist. Doch wie können Website-Besucher erkennen, ob eine Website sicher ist?
Folgende Aspekte zeigen, dass eine SSL-Verschlüsselung vorliegt:
- Die Internetadresse einer verschlüsselten Website beginnt mit dem Kürzel HTTPS.
- Internetseiten mit gültigem Zertifikat werden mit einem kleinen Schloss-Symbol angezeigt, das sich links neben der URL befindet.
- Wird eine verschlüsselte Seite besucht, zeigen Browser keine Warnmeldung
Um welchen Zertifikatstyp es sich konkret bei der Verschlüsselung einer Website handelt, lässt sich ebenfalls herausfinden: Mit einem Klick auf das Schloss-Symbol neben der URL kann der Reiter “Zertifikat anzeigen” ausgewählt werden, um genauere Infos über die Verschlüsselung zu erhalten.
FAQ
Je nach Art des Zertifikats fallen die Kosten unterschiedlich aus: OV und EV Zertifikate, die mehrere Domains oder Subdomains verschlüsseln, sind immer kostenpflichtig und müssen in der Regel nach einem Jahr Laufzeit erneuert werden. Domain-validierte SSL-Zertifikate gibt es hingegen auch in der kostenlosen Version – hier sollten Website-Betreiber jedoch darauf achten, dass diese Zertifikate meist bereits nach wenigen Monaten erneuert werden müssen. Dennoch bieten die kostenlosen DV SSL-Zertifikate eine genauso gute Schutzleistung für die Einzeldomain.
Es gibt unterschiedliche Möglichkeiten, ein kostenloses SSL-Zertifikat zu erhalten. Anlaufstellen wie die Seite Let’s Encrypt bieten kostenfreie SSL-Zertifikate für Websites, die selbst programmiert wurden. Der größte Nachteil dieser Lösungen besteht darin, dass nur eine einzelne Domain geschützt werden kann.
Einige Anbieter von Homepage-Baukästen bieten in ihren Webhosting-Tarifen kostenfreie SSL-Zertifikate an, die für mehrere Subdomains verwendet werden können.
Die Verschlüsselung mittels SSL-Zertifikat ist nicht für jede Website vorgeschrieben. Seit die Europäische Datenschutz-Grundverordnung (DSGVO) 2018 in Kraft getreten ist, besteht nur für bestimmte Websites eine Pflicht zur SSL-Verschlüsslung: Sobald mit sensiblen Nutzerdaten gearbeitet wird – beispielsweise in Form von Transaktionen oder Formularen, die personenbezogene Daten abfragen – muss ein SSL-Zertifikat vorliegen. Private Blogs und andere kleine Websites können weiterhin auf ein SSL-Zertifikat verzichten.
Wer als Website-Betreiber auf ein SSL-Zertifikat verzichtet, riskiert, dass Hacker auf die Daten der Website zugreifen und diese stehlen können. Ein SSL-Zertifikat ist somit entscheidend für das Vertrauen der Website-Besucher. Überdies ist es auch ein wichtiger Ranking-Faktor für die Platzierung der Seite in den Suchmaschinen.
Fazit
Die Gewährleistung der Datensicherheit für Benutzer des Internets ist heutzutage von entscheidender Bedeutung. SSL-Zertifikate spielen dabei eine zentrale Rolle: Sie schützen Benutzerdaten vor Phishing-Angriffen, verifizieren die Betreiber einer Website und sorgen dafür, dass Website-Besucher Vertrauen in die Seite haben.
Auch wenn es derzeit noch keine allgemeine Verpflichtung zur SSL-Verschlüsselung von Websites gibt, hat die Einführung der DSGVO einen entscheidenden Fortschritt bewirkt: Eine Internetseite ohne sichere SSL-Verschlüsselung ist nur noch in manchen Fällen erlaubt, gleichzeitig erfahren solche Seiten eine Schlechterstellung im Ranking von Suchmaschinen sowie schwindendes Kundenvertrauen.
Welche SSL-Lösung für die eigene Website geeignet ist, hängt von verschiedenen, hier im Beitrag erläuterten Faktoren, ab. Grundsätzlich lohnt sich der Einsatz eines kostenpflichtigen SSL-Zertifikats für fast jede Website.