SSL-Zertifikate sind eines der am meisten missverstandenen IT-Themen für KMU. Viele Unternehmensinhaber wissen, dass ihre Website “HTTPS haben soll”, verstehen aber nicht warum, wie man es einrichtet oder was zu tun ist, wenn etwas schief geht.

Dieser Leitfaden erklärt alles Wesentliche — ohne tiefes technisches Wissen vorauszusetzen.

Was SSL/TLS ist und warum es wichtig ist

SSL (Secure Sockets Layer) und sein Nachfolger TLS (Transport Layer Security) sind kryptografische Protokolle, die die Kommunikation zwischen Browser und Webserver verschlüsseln.

Was das praktisch bedeutet:

  • Ohne SSL: Wenn ein Besucher ein Kontaktformular ausfüllt, wird seine E-Mail-Adresse und Nachricht im Klartext übertragen — jeder im gleichen Netzwerk kann sie mitlesen (Man-in-the-Middle-Angriff).
  • Mit SSL: Die Kommunikation ist verschlüsselt. Nur Browser und Server können sie lesen.

In 2026 ist TLS 1.3 der aktuelle Standard. TLS 1.0 und 1.1 gelten als unsicher und sollten deaktiviert sein.

Warum HTTPS in 2026 unverzichtbar ist

  1. Browser-Warnungen: Chrome, Firefox, Edge zeigen “Nicht sicher” für alle HTTP-Sites. Das schreckt Besucher ab.
  2. Google-Ranking: HTTPS ist seit 2014 ein Ranking-Faktor. HTTP-Sites ranken schlechter.
  3. DSGVO: Kontaktformulare, Newsletter-Anmeldungen, Benutzerkonten ohne HTTPS könnten gegen die Datenschutzgrundverordnung verstoßen (Art. 32 — technische Sicherheitsmaßnahmen).
  4. Browser-Funktionen: Geolocation, Push-Notifications, Service Workers — all das erfordert HTTPS.
  5. Vertrauen: Besucher erkennen HTTPS als Grundstandard. Eine Site ohne HTTPS wirkt unprofessionell.

SSL-Zertifikat-Typen

DV (Domain Validation) — Domainvalidierung

Der häufigste Typ. Prüft nur, ob der Antragsteller die Domain kontrolliert (via DNS-Record oder Datei auf dem Server).

  • Prüfung: Automatisch, in Minuten
  • Zeigt: Schloss-Icon + https://
  • Kosten: Kostenlos (Let’s Encrypt) oder 10–50 EUR/Jahr
  • Für: Blogs, Firmenwebsites, Landing Pages, kleinere Online-Shops

Empfehlung: Für 90 % der DACH-KMU-Websites ausreichend.

OV (Organization Validation) — Organisationsvalidierung

Prüft zusätzlich zur Domain die Unternehmensregistrierung (Handelsregister, Adresse).

  • Prüfung: Manuell, 1–3 Werktage
  • Zeigt: Schloss-Icon, aber im Zertifikat ist der Unternehmensname eingetragen
  • Kosten: 50–200 EUR/Jahr
  • Für: B2B-Websites, bei denen Kunden das Zertifikat aktiv überprüfen

EV (Extended Validation) — Erweiterte Validierung

Der höchste Validierungsgrad. Früher hat er den Unternehmensnamen in der grünen Adressleiste gezeigt — diese Anzeige haben Chrome und Firefox 2019 entfernt.

  • Prüfung: Umfangreich, bis 2 Wochen
  • Kosten: 150–500 EUR/Jahr
  • Für 2026: Weitgehend obsolet. Die Mehrkosten sind für die meisten KMU nicht gerechtfertigt.

Wildcard-Zertifikat

Gilt für die Hauptdomain und alle Subdomains: *.firma.de deckt www.firma.de, blog.firma.de, shop.firma.de usw. ab.

  • Kosten: 100–300 EUR/Jahr (kommerziell) oder kostenlos via Let’s Encrypt
  • Für: Unternehmen mit mehreren Subdomains

Multi-Domain-Zertifikat (SAN)

Gilt für mehrere verschiedene Domains in einem Zertifikat: firma.de, firma.at, firma.ch.

  • Für: Unternehmen mit mehrsprachigen Domains oder DACH-Präsenz

Let’s Encrypt: kostenloses SSL für alle

Let’s Encrypt ist eine kostenlose, automatisierte und offene Zertifizierungsstelle, betrieben von der Internet Security Research Group (ISRG). Seit 2015 hat sie über 3 Milliarden Zertifikate ausgestellt.

Vorteile:

  • Kostenlos — keine Gebühren
  • Automatisch — Ausstellung und Erneuerung vollständig automatisiert
  • Vertrauenswürdig — von allen modernen Browsern anerkannt
  • Wildcard-Support — seit 2018

Nachteile:

  • 90-Tage-Gültigkeit — erfordert automatische Erneuerung
  • Kein OV/EV — nur DV-Level
  • Support — kein bezahlter Support (Community-Forum)

Wie Let’s Encrypt einrichten

Option 1: Über Hosting-Provider (empfohlen für KMU ohne eigenen Server)

Die meisten modernen Hoster (Hetzner, Strato, IONOS, Hostinger) bieten Let’s Encrypt mit einem Klick im Control Panel. Aktivierung dauert 2 Minuten.

Option 2: Certbot auf eigenem Server

Für Linux-Server (Ubuntu/Debian):

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d firma.de -d www.firma.de

Certbot installiert das Zertifikat, konfiguriert nginx/Apache automatisch und richtet Auto-Erneuerung ein.

Option 3: Cloudflare (CDN + SSL)

Wenn die Website hinter Cloudflare läuft, übernimmt Cloudflare das SSL-Zertifikat — kostenlos, ohne Setup am Server. Empfehlenswert für Sites mit internationalem Traffic oder DDoS-Schutz-Bedarf.

HTTPS korrekt konfigurieren

Ein Zertifikat installieren ist nur der erste Schritt. Vollständige HTTPS-Konfiguration umfasst:

HTTP → HTTPS Redirect

Alle HTTP-Anfragen müssen auf HTTPS umgeleitet werden (301 Redirect). Ohne das können Besucher die unsichere Version aufrufen.

In nginx:

server {
    listen 80;
    server_name firma.de www.firma.de;
    return 301 https://$host$request_uri;
}

HSTS (HTTP Strict Transport Security)

HSTS teilt dem Browser mit: “Rufe diese Domain immer nur über HTTPS auf — auch wenn jemand eine HTTP-URL tippt.” Das verhindert HTTPS-Downgrade-Angriffe.

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload";

HSTS Preload: Sie können Ihre Domain in die HSTS-Preload-Liste von Google eintragen (hstspreload.org). Browser haben diese Liste eingebaut und rufen die Domain immer über HTTPS auf — auch beim ersten Besuch ohne Cache.

Mixed Content eliminieren

Mixed Content bedeutet: eine HTTPS-Seite lädt Ressourcen (Bilder, Skripte, Stylesheets) über HTTP. Browser blockieren oder warnen bei Mixed Content.

Überprüfen mit:

  • Chrome DevTools (Console-Tab zeigt Mixed Content Warnungen)
  • SSL Labs Test (ssllabs.com/ssltest)
  • WhyNoPadlock.com

TLS-Version konfigurieren

TLS 1.0 und 1.1 sind veraltet und unsicher. In nginx deaktivieren:

ssl_protocols TLSv1.2 TLSv1.3;

SSL-Monitoring: Ablauf rechtzeitig erkennen

Abgelaufene Zertifikate sind einer der häufigsten Gründe für plötzliche Website-Ausfälle. Monitoring einrichten:

Kostenlose Dienste:

  • UptimeRobot — kostenlos, prüft SSL-Ablauf, sendet E-Mail-Alert
  • SSL Labs (ssllabs.com) — manuelle Überprüfung der SSL-Konfigurationsqualität

Empfehlung:

Alert 30 Tage vor Ablauf — ausreichend Zeit für Erneuerung ohne Stress.

Für Let’s Encrypt: Certbot richtet automatisch einen Cron-Job ein, der das Zertifikat 30 Tage vor Ablauf erneuert. Funktioniert dies nicht (Fehlermeldung per E-Mail), haben Sie 30 Tage Puffer.

Certificate Transparency Monitoring

Certificate Transparency (CT) ist ein öffentliches Log aller ausgestellten SSL-Zertifikate. Überwachen Sie, ob jemand ein Zertifikat für Ihre Domain ausstellt — das könnte auf einen Domain-Hijacking-Angriff hinweisen.

Dienst: crt.sh (kostenlos, manuell) oder Cert Spotter (automatische Alerts).

SSL-Konfiguration testen

Nachdem das Zertifikat installiert ist, prüfen Sie die Konfiguration:

  1. SSL Labs Test (ssllabs.com/ssltest) — gibt eine Note A bis F für die TLS-Konfiguration
  2. securityheaders.com — prüft HTTP-Sicherheits-Header (HSTS, CSP, X-Frame-Options)
  3. Chrome DevTools → Security Tab — zeigt Zertifikatsdetails und Mixed-Content-Probleme

Ziel: SSL Labs Note A oder A+ (erreichbar mit Let’s Encrypt + HSTS + TLS 1.3).

Für Modulario-Kunden

Modulario als Cloud-SaaS übernimmt SSL/TLS vollständig für die ERP-Anwendung:

  • TLS 1.3 für alle Verbindungen zum Modulario-System
  • Zertifikate automatisch erneuert, kein Handlungsbedarf für den Kunden
  • HSTS aktiviert für alle Modulario-Domains

Was Kunden selbst konfigurieren müssen: die eigene Firmenwebsite (falls von Modulario getrennt gehostet) und Custom Domains (wenn Modulario unter einer Subdomain der eigenen Domain läuft — z. B. erp.meinefirma.de).

Häufige Fragen

Ist ein SSL-Zertifikat für meine Website Pflicht? Gesetzlich keine direkte Pflicht, praktisch unverzichtbar: Ohne SSL warnt Chrome “Nicht sicher”, Google rankt schlechter, DSGVO-Anforderungen für Kontaktformulare. In 2026 ist HTTPS der Standard-Erwartungswert.

Was ist der Unterschied zwischen kostenlosem und kostenpflichtigem SSL? Kryptografisch identisch. Unterschied: Validierungsniveau. DV (Let’s Encrypt) prüft nur Domain-Eigentümerschaft — für 90 % der KMU ausreichend. OV prüft Unternehmensregistrierung (50–200 EUR/Jahr). EV (früher grüne Adressleiste) ist in 2026 weitgehend obsolet.

Was passiert beim Ablauf des SSL-Zertifikats? Browser zeigt “NET::ERR_CERT_DATE_INVALID” und Besucher können die Site nicht aufrufen. Prävention: automatische Erneuerung (Let’s Encrypt via Certbot) + Monitoring mit Alert 30 Tage vor Ablauf.