SSL-Zertifikate: Ablauf, Zertifikatsketten und typische Fehler

Ein abgelaufenes SSL-Zertifikat verlangsamt eine Website nicht. Es sperrt Besucher durch eine ganzseitige Browser-Warnmeldung komplett aus und sorgt dafür, dass Suchmaschinen-Crawler die Seite als nicht erreichbar einstufen.

Der Umsatz bricht schlagartig ein. Dies passiert selbst großen Unternehmen regelmäßig, da der Fehler bis zum Tag des Ablaufs völlig lautlos bleibt.

Hier erfahren Sie, welche Probleme auftreten und wie Sie diese frühzeitig erkennen.

1. Ablaufdatum: Die Erneuerung, die unbemerkt abbricht

Let's Encrypt-Zertifikate gelten 90 Tage und erneuern sich idealerweise nach 60 Tagen automatisch. Die Automatisierung bannt das Risiko – bis der Cronjob durch eine Serveränderung (Firewall-Regel, geänderter Webroot, abgelaufenes API-Token) scheitert und niemand den Fehler bemerkt.

Die Sicherheitsregel: Überwachen Sie das tatsächliche Ablaufdatum des Live-Zertifikats unabhängig vom internen Erneuerungsprozess. Setzen Sie einen Alarm auf 14 Tage Restlaufzeit. Hat sich ein 90-Tage-Zertifikat an Tag 76 noch nicht erneuert, liegt definitiv ein Fehler vor – und Sie haben zwei Wochen Zeit, ihn in Ruhe zu beheben.

2. Hostname-Abdeckung: Die www-Falle

Ein Zertifikat schützt nur die im Feld Subject Alternative Name explizit aufgeführten Hostnamen. Ein Zertifikat für example.com deckt www.example.com nicht automatisch ab.

Das fällt intern oft nicht auf, da man die Domain immer gleich eingibt. Besucher, die das www voranstellen oder einem alten Link folgen, sehen jedoch eine Sicherheitswarnung.

Prüfen Sie immer beide Varianten: Hauptdomain und www.

3. Zertifikatsketten: Funktioniert am PC, scheitert am Smartphone

Ihr Zertifikat wird von einem Intermediate-Zertifikat signiert, das wiederum von einem vertrauenswürdigen Root-Zertifikat stammt. Ihr Webserver muss das Intermediate-Zertifikat zwingend mitsenden.

Sendet der Server nur das eigene Zertifikat, laden Desktop-Browser das fehlende Intermediate meist stillschweigend nach. Viele Smartphones, mobile Browser und Schnittstellen tun dies jedoch nicht und blockieren die Seite als unsicher.

Ein funktionierender Desktop-Browser ist kein Beleg für eine korrekte TLS-Kette. Prüfen Sie die vollständige Kette mit unserem kostenlosen SSL-Zertifikats-Checker.

4. TLS-Versionen

• TLS 1.3: Aktueller Standard. Schließt den Handshake in einem Roundtrip statt in zweien ab – ein messbarer Geschwindigkeitsvorteil bei jedem Seitenaufruf.
• TLS 1.2: Akzeptables Minimum.
• TLS 1.0 und 1.1: Veraltet, von modernen Browsern blockiert und Verstoß gegen PCI-DSS-Standards.

5. Kostenlos vs. Bezahlt

Hinsichtlich der kryptografischen Verschlüsselungsstärke gibt es keinen Unterschied: Let's Encrypt nutzt dieselben Algorithmen wie Zertifikate für mehrere hundert Euro jährlich.

Teurere EV-Zertifikate (Extended Validation) boten früher eine grüne Adressleiste mit Unternehmensnamen. Browser haben diese optische Unterscheidung jedoch vor Jahren abgeschafft. Für normale Besucher sind kostenlose und bezahlte Zertifikate optisch nicht mehr zu unterscheiden.

6. Mixed Content (Gemischte Inhalte)

Ein gültiges Zertifikat nützt nichts, wenn eine HTTPS-Seite unverschlüsselte Ressourcen (Bilder, Skripte, Fonts über http://) lädt. Browser blockieren solche Skripte oder entfernen das Schloss-Symbol. Nutzen Sie durchgehend relative oder explizite https://-Pfade.