SSL / TLS

Wann läuft Ihr Zertifikat ab – und was deckt es ab?

Ein abgelaufenes Zertifikat blockiert eine Website komplett durch ganzseitige Browser-Sicherheitswarnungen. Dieses Tool baut eine echte TLS-Verbindung auf und analysiert das von Ihrem Server ausgelieferte Zertifikat.

Wir öffnen eine TLS-Verbindung auf Port 443 und lesen das Zertifikat aus.

Wir bauen eine echte TLS-Verbindung zu Port 443 auf und lesen das Zertifikat samt Zertifikatskette aus. Die Validierung wird beim Auslesen bewusst nicht erzwungen, damit auch abgelaufene oder fehlerhafte Zertifikate detailliert analysiert werden können.

Der Leitfaden hinter diesem Tool SSL-Zertifikate: Ablauf, Zertifikatsketten und typische Fehler Warum SSL-Zertifikate ausfallen, warum Seiten am PC funktionieren aber am Smartphone scheitern und warum bezahlte Zertifikate selten lohnen. Leitfaden lesen · 2 Min. Lesezeit →

Was dieses Tool prüft

Echte TLS-Verbindung zu Port 443 zur direkten Analyse des vom Server ausgelieferten Zertifikats.

  • Tage bis zum Ablauf

    Ein abgelaufenes Zertifikat verlangsamt nicht – es sperrt Besucher durch Vollbild-Warnungen komplett aus.

  • Hostname-Abdeckung

    Welche Domains geschützt sind und ob die aufgerufene Adresse enthalten ist.

  • www und Hauptdomain

    Ein Zertifikat für example.com deckt www.example.com nicht automatisch ab, sofern es nicht explizit eingetragen ist.

  • Vollständigkeit der Zertifikatskette

    Ob das Intermediate-Zertifikat mitgesendet wird. Mobilgeräte blockieren bei unvollständigen Ketten.

  • TLS-Version

    1.3 ist aktueller Standard und schneller als 1.2. Ältere Versionen werden von Browsern abgelehnt.

  • Aussteller und Algorithmus

    Wer das Zertifikat ausgestellt hat und wie es kryptografisch signiert ist.

  • Gültigkeitsdauer

    Öffentlich vertraute Zertifikate mit mehr als 398 Tagen Laufzeit werden von Browsern abgewiesen.

So lesen Sie Ihr Ergebnis

Weniger als 21 Tage Restlaufzeit bedeutet Handlungsbedarf: Let's Encrypt-Zertifikate erneuern sich an Tag 60 von 90. Wurde das Zertifikat noch nicht erneuert, liegt ein Fehler in der Automation vor (Firewall, Webroot, API-Token). Prüfen Sie den Cronjob sofort.

Nicht abgedeckte Hostnames: Besucher, die über diese Domain kommen, sehen eine Sicherheitswarnung. Ein Fehler, der Administratoren oft entgeht.

Unvollständige Zertifikatskette: Das Intermediate-Zertifikat fehlt. Was am Laptop funktioniert, scheitert oft auf Smartphones. Verlassen Sie sich nicht auf Einzeltestergebnisse am PC.

Kostenlos vs. Bezahlt: Bei der Verschlüsselungsstärke gibt es keinen Unterschied. Kaufen Sie Zertifikate nur bei speziellen vertraglichen Vorgaben.

Überwachen Sie das reale Ablaufdatum per externem Monitoring, nicht nur den internen Status des Erneuerungsskripts.

Typische Probleme bei SSL-Zertifikaten

Ablaufdatum überschritten

Der folgenschwerste Fehler. Browser zeigen eine abschreckende Warnmeldung, die kaum ein Besucher überspringt, und Suchmaschinen-Crawler stufen die Seite als nicht erreichbar ein. Der Umsatz bricht schlagartig ein.

Let's Encrypt-Zertifikate gelten 90 Tage und erneuern sich idealerweise nach 60 Tagen automatisch. Das minimiert Risiken – bis der Erneuerungs-Cronjob unbemerkt abbricht. Überwachen Sie das Ablaufdatum unabhängig vom internen Erneuerungsprozess.

Hostname-Abdeckung

Ein Zertifikat schützt nur die im Feld „Subject Alternative Name“ gelisteten Domains. Ein Zertifikat für example.com deckt www.example.com nicht ab, sofern www nicht explizit enthalten ist. Viele Besucher sehen Warnungen, die Ihnen selbst nie auffallen.

Wildcards (*.example.com) decken genau eine Subdomain-Ebene ab: shop.example.com ist geschützt, eu.shop.example.com nicht.

Probleme in der Zertifikatskette

Ihr Zertifikat wird von einem Intermediate-Zertifikat signiert, das wiederum von einer vertrauenswürdigen Root-CA stammt. Ihr Server muss das Intermediate mitsenden. Fehlt es, ergänzen viele Desktop-Browser dies zwar automatisch – mobile Browser und API-Clients tun dies jedoch oft nicht und melden ein unsicheres Zertifikat.

Deshalb kann eine Seite am Laptop funktionieren, am Smartphone eines Kunden jedoch scheitern. Prüfen Sie stets die vollständige Kette.

TLS-Version

TLS 1.2 ist das absolute Minimum. TLS 1.3 ist schneller: Der Handshake benötigt nur einen Roundtrip statt zwei, was messbare Geschwindigkeitsvorteile bringt. TLS 1.0 und 1.1 sind veraltet und werden von modernen Browsern blockiert.

Was ein Zertifikat nicht leistet

Teurere EV- oder OV-Zertifikate belegen eine Unternehmensprüfung, doch Browser zeigen diesen Unterschied seit Jahren nicht mehr optisch an. Für praktisch jede Website bietet ein kostenloses Let's Encrypt-Zertifikat identische Verschlüsselung. Zahlen Sie nur für Zertifikate, wenn spezielle Compliance-Vorgaben dies fordern.

Häufig gestellte Fragen

Wie lange vor Ablauf sollte erneuert werden?

Automatisierte Prozesse sollten nach zwei Dritteln der Laufzeit erneuern – bei einem 90-Tage-Zertifikat an Tag 60. Richten Sie eine unabhängige Benachrichtigung für 14 Tage vor Ablauf ein, um lautlose Ausfälle der Erneuerungs-Skripte rechtzeitig abzufangen.

Ist ein kostenloses Zertifikat so sicher wie ein bezahltes?

In puncto Verschlüsselung absolut identisch. Let's Encrypt nutzt dieselben modernen Algorithmen. Bezahlte Zertifikate bieten Unternehmensvalidierung oder Garantien, bringen für normale Websites im Browser aber keinen sichtbaren Mehrwert.

Die Seite funktioniert, aber das Tool warnt vor der Kette. Ist das wichtig?

Ja. Desktop-Browser laden fehlende Intermediate-Zertifikate oft stillschweigend nach. Smartphones und Schnittstellen tun dies nicht und stufen die Seite als unsicher ein. Ein funktionierender Desktop-Browser ist kein verlässlicher Test für korrekte TLS-Ketten.

Brauche ich ein Wildcard-Zertifikat?

Nur bei sehr vielen oder dynamisch erstellten Subdomains. Andernfalls ist das gezielte Eintragen der Hostnames sicherer, da ein kompromittierter Wildcard-Schlüssel alle Subdomains der Domain gefährdet.

Weitere kostenlose Tools

SEO & Speed Audit

Echte Core Web Vitals aus Googles API plus Live-On-Page-Prüfungen Ihres tatsächlichen HTML-Codes.

Sagen Sie uns, was Sie voranbringen möchten.

Ein Team. Drei Standorte. Wo immer Sie sind: Sie bekommen eine Antwort von einem Senior – kein Verkaufsskript.

Angebot anfordern → Jetzt Nachricht senden

Ein schriftliches Angebot innerhalb eines Werktages in Ihrer Sprache.