SSL/TLS im Überblick: Welche Verschlüsselung Ihre Website braucht
Ihre Website hat ein Schloss-Symbol im Browser. Das sieht gut aus. Aber wissen Sie, was dahintersteckt? Dieser SSL-Überblick erklärt, was SSL, TLS und HTTPS wirklich bedeuten, welche Versionen heute noch sicher sind, und warum veraltete Verschlüsselung ein konkretes Risiko ist.
Keine Fachwörter ohne Erklärung. Dafür mit einem klaren nächsten Schritt.
Was ist SSL – und warum spricht alle Welt von HTTPS?
SSL steht für "Secure Sockets Layer". Das ist ein Protokoll, das Daten zwischen Browser und Server verschlüsselt. Wer Ihre Website aufruft, schickt dabei Informationen durch das Internet. Ohne Verschlüsselung können diese Informationen abgefangen und mitgelesen werden.
HTTPS ist schlicht HTTP mit aktiver SSL- oder TLS-Verschlüsselung. Das "S" steht für "Secure". Wenn Sie https:// in der Adresszeile sehen, ist die Verbindung verschlüsselt.
Das Schloss-Symbol im Browser zeigt genau das an. Es bedeutet: Die Verbindung zwischen Browser und Server ist gesichert.
SSL und TLS: Was ist der Unterschied?
Hier liegt eine häufige Verwechslung. TLS (Transport Layer Security) ist der Nachfolger von SSL. SSL selbst ist seit Jahren als unsicher eingestuft. Kein aktueller Webserver nutzt echtes SSL mehr.
Trotzdem sprechen alle von "SSL" – aus alter Gewohnheit. Wenn jemand "SSL-Zertifikat" sagt, meint er fast immer TLS. Das ist ein bisschen so, als würde man einen Kühlschrank weiterhin "Eisschrank" nennen. Der Begriff bleibt, die Technik dahinter hat sich geändert.
Für Sie als Entscheider gilt: Der Begriff SSL ist in der Praxis mit TLS gleichzusetzen. Entscheidend ist, welche TLS-Version Ihre Website nutzt.
Welche TLS-Version ist aktuell sicher?
TLS hat mehrere Versionen durchlaufen. Nicht alle sind noch zeitgemäß.
TLS 1.0 und 1.1 gelten als unsicher. Bekannte Angriffsmethoden ermöglichen es Angreifern, die Verschlüsselung zu umgehen. Aktuelle Browser zeigen für Verbindungen mit diesen Versionen eine Warnung oder verweigern die Verbindung ganz. Die IETF, das Gremium das Internetstandards festlegt, hat beide Versionen offiziell als veraltet erklärt.
TLS 1.2 ist noch weit verbreitet und gilt als akzeptabel, wenn korrekt konfiguriert. Allerdings enthält auch TLS 1.2 ältere Konfigurationsmöglichkeiten, die Angriffsfläche bieten, wenn sie aktiviert sind.
TLS 1.3 ist der aktuelle Standard. Er ist schneller, sicherer und schlanker als seine Vorgänger. Moderne Webserver und Browser unterstützen TLS 1.3. Wer neu aufsetzt oder modernisiert, sollte TLS 1.3 als Minimum ansetzen.
Laufen bei Ihnen noch TLS 1.0 oder 1.1, ist das kein Schönheitsfehler. Es ist ein Sicherheitsproblem. Dazu lohnt ein Blick in unseren Artikel zu alten Sicherheitslücken und Legacy-Software.
Was ist ein SSL-Zertifikat?
Ein SSL-Zertifikat ist ein digitaler Ausweis. Es bestätigt, dass eine Website wirklich die ist, die sie vorgibt zu sein. Stellen Sie sich vor: Sie geben Ihre Kreditkartendaten auf einer Seite ein, die aussieht wie Ihre Bank, aber eine gefälschte Kopie ist. Ein gültiges Zertifikat macht diese Art von Angriff deutlich schwerer.
Zertifikate werden von sogenannten Zertifizierungsstellen (Certificate Authorities, kurz CA) ausgestellt. Bekannte CAs sind zum Beispiel Let's Encrypt, DigiCert und Sectigo. Ihr Browser prüft bei jeder verschlüsselten Verbindung, ob das Zertifikat gültig ist, zur Domain passt und von einer vertrauenswürdigen CA stammt.
Stimmt etwas nicht, zeigt der Browser eine Warnung. Viele Nutzer brechen dann den Besuch ab. Das kostet Vertrauen und im schlimmsten Fall Kunden.
Warum braucht wirklich jede Website HTTPS?
Es gibt Websites, die keine Nutzerdaten verarbeiten. Keine Formulare, keine Logins, keine Zahlungsdaten. Auch die brauchen HTTPS. Dafür gibt es drei handfeste Gründe.
Google und SEO: Google bevorzugt HTTPS-Seiten im Ranking. Eine unverschlüsselte Website verliert gegenüber einer verschlüsselten, sonst gleichen Seite an Sichtbarkeit. Wer auf Suchmaschinenbesucher angewiesen ist, kann es sich nicht leisten, hier zu sparen.
Browser-Warnungen: Chrome, Firefox und Safari zeigen für HTTP-Seiten deutliche Warnmeldungen. Besucher sehen dann "Nicht sicher" in der Adresszeile. Das wirkt unprofessionell und schreckt ab.
DSGVO: Die Datenschutz-Grundverordnung verlangt technisch angemessenen Schutz. Eine unverschlüsselte Verbindung ist nicht mehr angemessen. Wer Kontaktformulare, Newsletter-Anmeldungen oder Cookies einsetzt und kein HTTPS nutzt, bewegt sich in einer rechtlichen Grauzone.
Mehr dazu, was veraltete Website-Technik konkret für den Datenschutz bedeutet, lesen Sie in unserem Artikel zu DSGVO und alter Software.
Wie prüfen Sie Ihre aktuelle SSL/TLS-Konfiguration?
Ohne technischen Hintergrund können Sie das trotzdem überprüfen. Es gibt kostenlose Online-Werkzeuge, die Ihre Website analysieren und in wenigen Sekunden zeigen, welche TLS-Versionen aktiv sind und ob Ihr Zertifikat gültig ist.
Ein häufig genutztes Werkzeug ist der SSL-Test von Qualys SSL Labs unter ssllabs.com. Dort geben Sie Ihre Domain ein und erhalten eine Bewertung von A+ bis F. Alles unter B sollte schnellstmöglich überprüft werden.
Was Sie nach dem Test tun, hängt vom Ergebnis ab. In vielen Fällen lässt sich die Konfiguration durch eine Anpassung beim Hosting-Anbieter verbessern. Bei alten Webservern kann es aufwändiger sein.
Was tun wenn SSL oder TLS veraltet ist?
Wenn die Prüfung zeigt, dass Ihre Website noch auf TLS 1.0 oder 1.1 setzt, sind drei Schritte sinnvoll.
Erstens: Klären Sie, wer Ihren Webserver betreibt. Ein Managed-Hosting-Anbieter kann die TLS-Konfiguration häufig auf Anfrage aktualisieren. Das ist kein großes Projekt, sondern oft eine Konfigurationsänderung.
Zweitens: Prüfen Sie, ob Ihre Anwendung TLS 1.3 unterstützt. Sehr alte Software oder veraltete Bibliotheken können Probleme machen. Das ist der Moment, an dem ein Security Audit für Ihre Legacy-Software sinnvoll sein kann.
Drittens: Überprüfen Sie das SSL-Zertifikat selbst. Ist es noch gültig? Wann läuft es ab? Ein abgelaufenes Zertifikat zeigt den Besuchern eine Fehlerseite. Das passiert überraschend oft, weil niemand die Erneuerung im Blick hat.
Fazit: SSL-Überblick für Entscheider
Verschlüsselung ist keine optionale Zusatzausstattung. Sie ist Grundvoraussetzung für Sicherheit, Vertrauen und DSGVO-Konformität. Das Schloss-Symbol im Browser ist ein gutes Zeichen. Ob dahinter wirklich zeitgemäße Technik steckt, ist eine andere Frage.
Prüfen Sie Ihre Website mit einem kostenlosen SSL-Test. Wenn das Ergebnis Fragen aufwirft, sprechen Sie uns an. Das Erstgespräch ist kostenlos. Wir schauen uns Ihre Konfiguration an und sagen Ihnen ehrlich, was als nächstes sinnvoll ist.
