Websites & SEO

SSL-Zertifikat (TLS-Zertifikat)

Overview

Ein SSL-Zertifikat, korrekt TLS-Zertifikat, bindet einen öffentlichen Schlüssel an einen Domainnamen und wird von einer Zertifizierungsstelle (CA) signiert. Der Browser prüft Signatur, Gültigkeit und Domainnamen und baut erst dann die verschlüsselte HTTPS-Verbindung auf. Der Name SSL hat sich gehalten, obwohl die SSL-Protokolle längst abgeschaltet sind und nur noch TLS 1.2 und 1.3 eingesetzt werden.

Nach Prüftiefe unterscheidet man DV (Domain Validated, nur Domainkontrolle), OV (Organization Validated, zusätzlich Unternehmensdaten) und EV (Extended Validation, erweiterte Prüfung). Die Verschlüsselung ist bei allen gleich, Browser heben OV und EV heute nicht mehr besonders hervor. Für die Google-Suche wurde HTTPS 2014 als leichtes Rankingsignal angekündigt; in der aktuellen Page-Experience-Dokumentation schreibt Google, dass Aspekte außer den Core Web Vitals nicht direkt beim Ranking helfen. Chrome lädt ab Version 154 (angekündigt für Oktober 2026) öffentliche Websites standardmäßig per HTTPS und fragt vor dem Öffnen unverschlüsselter Seiten nach.

Die Laufzeiten sinken deutlich: Nach Ballot SC-081 des CA/Browser Forum gelten öffentlich vertrauenswürdige Zertifikate ab 15. März 2026 höchstens 200 Tage, ab 15. März 2027 höchstens 100 Tage und ab 15. März 2029 höchstens 47 Tage. Eine Domainvalidierung darf im selben Takt nur noch 200, 100 und zuletzt 10 Tage wiederverwendet werden. Let's Encrypt stellt standardmäßig 90-Tage-Zertifikate aus, bietet laut Zeitplan seit 13. Mai 2026 das optionale Profil tlsserver mit 45 Tagen an und verkürzt das Standardprofil am 10. Februar 2027 auf 64 und am 16. Februar 2028 auf 45 Tage. Den OCSP-Dienst hat Let's Encrypt am 6. August 2025 abgeschaltet, Sperrinformationen gibt es dort nur noch per CRL.

How it works

Ablauf von der Beantragung bis zur Verbindung:

  1. Der Server erzeugt ein Schlüsselpaar und eine Zertifikatsanforderung (CSR), oder ein ACME-Client wie Certbot übernimmt das automatisch.
  2. Die CA prüft die Domainkontrolle, etwa per HTTP-01 (Datei unter /.well-known/acme-challenge/) oder DNS-01 (TXT-Eintrag), bei OV und EV zusätzlich das Unternehmen.
  3. Die CA stellt das Zertifikat aus und protokolliert es in öffentlichen Certificate-Transparency-Logs.
  4. Der Server liefert Zertifikat und Zwischenzertifikate im TLS-Handshake aus, der Browser prüft die Kette bis zu einer vertrauenswürdigen Root-CA.
  5. Vor Ablauf erneuert der ACME-Client das Zertifikat automatisch. Let's Encrypt empfiehlt dafür ACME Renewal Information (ARI) statt fester Intervalle.

Benefits

  • Verschlüsselt Formulardaten, Logins und Cookies auf dem Transportweg und schützt so vor Mitlesen und Manipulation.
  • Bestätigt dem Besucher, dass er mit dem echten Server der Domain verbunden ist.
  • Voraussetzung für HTTP/2 und HTTP/3 im Browser sowie für viele Browser-APIs, die nur in sicheren Kontexten laufen.
  • Vermeidet Browserwarnungen, die Chrome ab Version 154 standardmäßig vor HTTP-Seiten anzeigt.

Practical example

Ein Zulieferer mit 150 Beschäftigten betreibt Website, Kundenportal und mehrere Testsysteme mit Zertifikaten, die die IT jährlich von Hand kauft und einspielt. Wegen der Absenkung auf 200 Tage im März 2026 und 47 Tage ab 2029 stellt die IT auf ACME um: Die Website nutzt Let's Encrypt über den Hoster, das Portal ein OV-Zertifikat der bisherigen CA über deren ACME-Schnittstelle. Ein Zertifikats-Monitoring warnt drei Wochen vor Ablauf, und alle Zertifikate stehen in einer Inventarliste.

Things to keep in mind

  • Plane die Automatisierung per ACME jetzt: Manuelle Erneuerung ist bei 47 Tagen Laufzeit nicht mehr praktikabel.
  • Eine feste Erneuerung alle 60 Tage reicht für 45-Tage-Zertifikate nicht; erneuere nach etwa zwei Dritteln der Laufzeit oder per ARI.
  • Inventarisiere alle Zertifikate inklusive Appliances, Load Balancer und Mailserver, denn dort fehlt oft ACME-Unterstützung.
  • Private Schlüssel nur auf dem Zielsystem erzeugen und mit restriktiven Dateirechten schützen.
  • Wildcard-Zertifikate sparsam einsetzen, weil ein kompromittierter Schlüssel alle Subdomains betrifft.

Licensing & availability

DV-Zertifikate gibt es kostenlos bei Let's Encrypt und anderen ACME-fähigen CAs, viele Hoster binden sie automatisch ein. OV- und EV-Zertifikate kommerzieller CAs (z. B. DigiCert, Sectigo, GlobalSign) werden pro Zertifikat oder im Abo abgerechnet, teils mit ACME-Schnittstelle und Verwaltungsportal. Die Laufzeitgrenzen des CA/Browser Forum gelten für alle öffentlich vertrauenswürdigen Zertifikate unabhängig vom Preis; ein mehrjähriges Abo bedeutet daher mehrere Ausstellungen innerhalb der Abolaufzeit. Stand: Oktober 2026.

Conclusion

Ein TLS-Zertifikat ist für jede Website Pflicht, offen ist nur noch, wie automatisiert es erneuert wird. Mit sinkenden Laufzeiten bis 47 Tage im Jahr 2029 führt an ACME und einem Zertifikatsinventar kein Weg vorbei.

Further reading

Related articles