HTTPS und SSL: warum das Schloss im Browser Pflicht ist
Links oben in der Adresszeile steht ein kleines Symbol. Fehlt es, warnt der Browser Ihre Besucher mit den Worten „Nicht sicher". Das sieht jemand, der gerade Ihre Telefonnummer sucht, bevor er eine einzige Zeile Ihrer Seite gelesen hat. Wie Sie das vermeiden, steht hier.
Was das Schloss im Browser eigentlich bedeutet
Wenn jemand Ihre Webseite aufruft, reisen die Daten durch viele fremde Netze: WLAN im Café, Mobilfunk, Rechenzentren. Ohne Verschlüsselung sind diese Daten unterwegs lesbar, so wie eine Postkarte. Mit HTTPS wird daraus ein verschlossener Umschlag.
Möglich macht das ein SSL-Zertifikat, technisch heute korrekt TLS-Zertifikat. Es leistet zwei Dinge gleichzeitig. Erstens verschlüsselt es die Verbindung. Zweitens bestätigt es, dass die Seite wirklich zu Ihrer Domain gehört und sich nicht jemand dazwischengeschaltet hat. Beides zusammen ergibt das Schloss.
Sie müssen die Technik dahinter nicht verstehen. Wichtig ist nur, dass sie da ist, überall gilt und nicht abläuft.
Was passiert, wenn es fehlt
Moderne Browser sind ungnädig geworden. Eine unverschlüsselte Seite bekommt einen sichtbaren Warnhinweis. Sobald ein Formular im Spiel ist, wird die Warnung deutlicher, bei manchen Konstellationen erscheint sogar eine ganzseitige Zwischenseite. Für Ihre Besucher liest sich das wie: „Hier stimmt etwas nicht."
Der Schaden ist selten dramatisch und trotzdem teuer. Menschen brechen ab, rufen nicht an, füllen kein Formular aus. Und sie erzählen es weiter. Gerade bei Praxen, Kanzleien und Handwerksbetrieben ist Vertrauen der halbe Auftrag.
Dazu kommt ein Risiko, das man nicht sieht. In einem offenen WLAN kann jemand in eine unverschlüsselte Seite Inhalte einschleusen, etwa Werbung oder eine gefälschte Telefonnummer. Ihre Besucher merken davon nichts und halten es für Ihr Angebot. Mit HTTPS ist dieser Weg versperrt, weil der Browser jede Veränderung unterwegs erkennt.
Kurz gesagt: HTTPS ist heute kein Extra, sondern die Grundausstattung. Es ist die Voraussetzung dafür, dass Ihre Seite überhaupt seriös wirkt.
Warum HTTPS rechtlich und bei Google zählt
Der rechtliche Teil
Die Datenschutz-Grundverordnung verlangt, dass Sie personenbezogene Daten nach dem Stand der Technik schützen. Verschlüsselung wird dort ausdrücklich als Beispiel genannt. Sobald Ihre Seite ein Kontaktformular, ein Buchungsfeld oder einen Newsletter hat, verarbeiten Sie solche Daten. Eine unverschlüsselte Übertragung ist dann kaum zu rechtfertigen.
Auch ohne Formular gilt: Aufsichtsbehörden erwarten Verschlüsselung inzwischen als Selbstverständlichkeit. Wer sie nicht hat, muss erklären, warum. Welche weiteren Punkte auf der Liste stehen, haben wir in der DSGVO-Checkliste für kleine Betriebe zusammengestellt. Verschlüsselung ist dabei nur die Basis: Wenn Ihre Seite zusätzlich Statistik- oder Werbedienste lädt, brauchen Sie dafür eine Einwilligung. Wie das ohne Frust für die Besucher gelingt, steht im Artikel zum richtigen Cookie-Banner.
Dieser Abschnitt informiert, er ersetzt keine Rechtsberatung. Für eine verbindliche Bewertung Ihrer Seite wenden Sie sich an eine Anwältin oder einen Anwalt für IT-Recht.
Der SEO-Teil
Google hat HTTPS bereits 2014 als Rankingsignal bestätigt. Für sich genommen ist es ein schwaches Signal, aber es wirkt indirekt sehr viel stärker. Verschlüsselte Verbindungen sind die Voraussetzung für moderne Übertragungsverfahren, die Seiten spürbar schneller machen. Und Geschwindigkeit ist ein echter Faktor, wie wir im Artikel zu den Core Web Vitals beschreiben.
Hinzu kommt das Verhalten Ihrer Besucher. Wer wegen einer Warnung sofort zurückspringt, sendet ein schlechtes Signal. Kurz gesagt: HTTPS gewinnt keine Rankings, aber sein Fehlen kostet welche. Mehr zum Zusammenspiel der Faktoren finden Sie auf unserer Seite zur Suchmaschinenoptimierung.
In zwei Minuten selbst prüfen
Sie brauchen kein Werkzeug und keine Kenntnisse. Gehen Sie diese vier Schritte durch:
- Adresszeile ansehen. Steht dort ein Schloss oder ein Warnhinweis? Klicken Sie darauf, dann zeigt der Browser den Status und die Laufzeit des Zertifikats.
- Ohne „s" aufrufen. Tippen Sie Ihre Adresse einmal bewusst mit http:// ein. Landen Sie automatisch auf der verschlüsselten Fassung? Gut. Bleiben Sie auf der unverschlüsselten? Dann fehlt eine Weiterleitung.
- Alle Schreibweisen testen. Mit www und ohne www, dazu alte Domains, die Sie noch besitzen. Jede Variante muss beim Schloss enden.
- Unterseiten stichprobenartig öffnen. Manchmal ist nur die Startseite sauber und eine ältere Unterseite fällt heraus.
Die häufigsten Fehler und woran Sie sie erkennen
Wenn das Schloss fehlt oder durchgestrichen ist, steckt fast immer eine dieser Ursachen dahinter:
| Was Sie sehen | Ursache | Was zu tun ist |
|---|---|---|
| Schloss mit Warnzeichen | Gemischte Inhalte: einzelne Bilder oder Schriften werden noch unverschlüsselt geladen | Diese Adressen im Quelltext auf https umstellen |
| Deutliche Warnseite | Zertifikat abgelaufen | Verlängerung im Hosting-Konto anstoßen, automatische Erneuerung aktivieren |
| Warnung nur mit www | Zertifikat deckt nicht alle Schreibweisen ab | Zertifikat für beide Varianten ausstellen lassen |
| Seite bleibt auf http | Keine dauerhafte Weiterleitung eingerichtet | Weiterleitung auf https im Hosting oder in der Serverkonfiguration setzen |
| Google zeigt alte http-Adressen | Interne Links und Sitemap noch nicht umgestellt | Links anpassen, Sitemap erneuern, Property in der Search Console prüfen |
Der erste Fall ist der tückischste. Die Seite ist verschlüsselt, aber ein einzelnes altes Bild hängt noch an einer unverschlüsselten Adresse. Das genügt, damit der Browser das Schloss zurücknimmt. Solche Reste tauchen gern nach einem Umzug oder nach dem Einbau eines neuen Plugins auf. Genau deshalb gehört ein kurzer Blick darauf in die regelmäßige Wartung.
Beispiel
Nehmen wir ein Autohaus, das seine Seite auf HTTPS umstellt. Startseite und Kontakt zeigen das Schloss, die Fahrzeugübersicht nicht. Der Grund: Die Bilder der Fahrzeuge liegen noch auf einer alten Subdomain ohne Zertifikat. Nach dem Umstellen der Bildadressen verschwindet die Warnung auf allen Seiten.
Was ein Zertifikat kostet und welches Sie brauchen
Für einen normalen Betrieb reicht die einfachste Sorte, ein sogenanntes domainvalidiertes Zertifikat. Es bestätigt, dass die Seite zu Ihrer Domain gehört. Es gibt gemeinnützige Zertifizierungsstellen, die solche Zertifikate kostenlos ausstellen, und praktisch jedes seriöse Hosting-Paket bringt das heute mit. In den meisten Fällen ist es eine Frage von zwei Klicks im Kundenkonto, nicht von Geld.
Teurere Varianten prüfen zusätzlich Ihr Unternehmen. Für den Vertrauensgewinn bringt das kaum etwas, denn Browser zeigen diesen Unterschied seit Jahren nicht mehr sichtbar an. Sparen Sie sich das und stecken Sie den Aufwand lieber in Inhalte und Ladezeit.
Wichtiger als der Preis ist die automatische Erneuerung. Kostenlose Zertifikate laufen oft nur wenige Monate. Solange sich der Server selbst darum kümmert, merken Sie nie etwas davon. Fällt diese Automatik aus, steht eines Morgens die Warnseite da. Prüfen Sie deshalb einmal im Hosting-Konto, ob die Verlängerung wirklich automatisch läuft.
Nach der Umstellung nicht vergessen
Wenn Sie von http auf https wechseln, ist das für Suchmaschinen technisch eine neue Adresse. Damit nichts verloren geht, gehören drei Dinge dazu: dauerhafte Weiterleitungen von allen alten Adressen, eine aktualisierte Sitemap und interne Links, die direkt auf die neue Fassung zeigen. Prüfen Sie außerdem Ihr Google-Unternehmensprofil und Ihre Social-Media-Profile: Dort steht die Webadresse oft noch in der alten Schreibweise.
Fazit: fünf Schritte für heute
HTTPS ist einer der wenigen Punkte, die schnell erledigt und danach dauerhaft wirksam sind.
- Rufen Sie Ihre Seite mit http, mit www und ohne www auf und achten Sie auf das Schloss.
- Fehlt das Zertifikat, aktivieren Sie es im Hosting-Konto oder lassen Sie es aktivieren.
- Richten Sie eine dauerhafte Weiterleitung aller alten Adressen auf https ein.
- Suchen Sie nach gemischten Inhalten, meist alte Bild- oder Schriftadressen.
- Prüfen Sie, ob die Verlängerung automatisch läuft, und tragen Sie sich sonst eine Erinnerung ein.
Zeigt Ihre Seite das Schloss auf allen Seiten?
Der kostenlose Sichtbarkeits-Check prüft Verschlüsselung, Weiterleitungen, Ladezeit und Auffindbarkeit Ihrer Webseite.