TLS · HTTPS · Verschlüsselung
TLS-Zertifikat erklärt — So funktioniert HTTPS-Verschlüsselung (2026)
Das Schloss-Symbol in der Browserzeile ist heute selbstverständlich — aber was passiert eigentlich dahinter? Und warum reicht 'einfach nur HTTPS' nicht aus? Verständlich erklärt, ohne Technik-Gebrabbel.
Was ist ein TLS-Zertifikat?
TLS steht für Transport Layer Security. Es ist der Nachfolger von SSL (Secure Sockets Layer), auch wenn die meisten immer noch "SSL-Zertifikat" sagen. Ein TLS-Zertifikat macht drei Dinge:
- Verschlüsselung: Alles, was zwischen Besucher und Server hin- und hergeschickt wird, ist verschlüsselt. Niemand kann mitlesen — nicht der WLAN-Betreiber, nicht der Internetanbieter, nicht ein Angreifer im selben Netzwerk.
- Authentifizierung: Das Zertifikat beweist, dass Ihre Website tatsächlich Ihnen gehört. Es verhindert, dass jemand Ihre Seite fälscht.
- Datenintegrität: Die Daten kommen genau so an, wie sie gesendet wurden — nichts wurde unterwegs verändert.
Wie funktioniert HTTPS?
Wenn jemand Ihre Website besucht, passiert in Sekundenbruchteilen Folgendes:
- Client Hello: Der Browser sagt: "Hallo, ich möchte eine sichere Verbindung. Ich kann TLS 1.3 und TLS 1.2."
- Server Hello: Ihr Server antwortet mit seinem Zertifikat und dem öffentlichen Schlüssel: "Hier ist mein Ausweis, lass uns TLS 1.3 benutzen."
- Zertifikatsprüfung: Der Browser prüft: Ist das Zertifikat gültig? Von einer vertrauenswürdigen Stelle ausgestellt? Gehört es zu dieser Domain? Ist es abgelaufen?
- Schlüsselaustausch: Browser und Server vereinbaren einen gemeinsamen geheimen Sitzungsschlüssel — ohne ihn jemals direkt zu übertragen.
- Sichere Verbindung: Ab jetzt ist alles verschlüsselt. Niemand kann mitlesen.
Das alles dauert etwa 100 Millisekunden. Der Besucher merkt nichts davon — außer dem Schloss-Symbol in der Adresszeile.
Warum das Schloss-Symbol wichtig ist
Seit 2017 markiert Google Chrome alle HTTP-Seiten ohne Verschlüsselung als "Nicht sicher". Studien zeigen: 84 % der Besucher verlassen eine Website, wenn sie eine Browser-Warnung sehen. Das Schloss ist kein technisches Detail — es ist ein Geschäftssignal.
Für Google ist HTTPS zudem ein Ranking-Faktor. Bei ansonsten gleichen Bedingungen rankt eine HTTPS-Seite besser als eine HTTP-Seite.
Verschiedene Zertifikats-Typen
| Typ | Prüfung | Preis | Einsatz |
|---|---|---|---|
| Domain Validation (DV) | Nur Domain-Inhaber | 0–50 €/Jahr | Kleine Websites, Blogs |
| Organization Validation (OV) | Firma wird geprüft | 50–200 €/Jahr | Business-Websites |
| Extended Validation (EV) | Gründliche Firmenprüfung | 100–500 €/Jahr | Banken, E-Commerce |
Für 95 % der kleinen Unternehmen reicht ein DV-Zertifikat — idealerweise kostenlos von Let's Encrypt. Es bietet die gleiche Verschlüsselungsstärke wie ein EV-Zertifikat. Der einzige Unterschied ist die Tiefe der Identitätsprüfung.
Nicht nur HTTPS — was sonst noch zählt
Website unsicher? Lassen Sie sie professionell prüfen.
Für eine professionelle externe Prüfung mit PDF-Bericht, E-Mail-Sicherheitscheck und Nachprüfung wählen Sie den Deep Review für 299 €.
Ein gültiges Zertifikat ist das Minimum. Aber für eine wirklich sichere Verbindung braucht es mehr:
- HTTP-zu-HTTPS-Weiterleitung: Wer http:// eingibt, muss automatisch auf https:// umgeleitet werden.
- HSTS-Header: Sagt dem Browser: "Merke dir, dass diese Seite immer HTTPS verwendet." Verhindert SSL-Stripping-Angriffe.
- Vollständige Zertifikatskette: Zwischenzertifikate müssen korrekt installiert sein. Sonst vertrauen manche Geräte Ihrer Seite nicht.
- TLS 1.3: Die neueste Protokollversion — schneller und sicherer als TLS 1.2.
- Mixed Content vermeiden: Keine HTTP-Ressourcen (Bilder, Skripte) auf HTTPS-Seiten einbinden.
Was passiert, wenn ein Zertifikat abläuft?
Wenn ein TLS-Zertifikat abläuft, zeigen Browser eine drastische Warnung an: "Ihre Verbindung ist nicht sicher. Angreifer könnten versuchen, Ihre Daten zu stehlen." Der Besucher muss mehrere Klicks machen, um die Seite trotzdem zu besuchen. In der Praxis tun das weniger als 5 %.
Und es passiert schneller, als man denkt: 2025 liefen über 400.000 Zertifikate pro Monat unerwartet ab, weil automatische Erneuerungen fehlkonfiguriert waren.
Kostenlose TLS-Prüfung
Mit unserem TLS-Zertifikat-Check sehen Sie in 30 Sekunden, ob Ihre Konfiguration stimmt. Oder buchen Sie den Deep Review (299 €) für eine vollständige Sicherheitsanalyse inklusive TLS, Headern und mehr.