Was ist ein TLS-Zertifikat (SSL-Zertifikat)?
Ein TLS-Zertifikat, oft noch SSL-Zertifikat genannt, ist der digitale Ausweis einer Website, an dem der Browser prüft, dass er wirklich mit dem richtigen Server verbunden ist.
Ohne Fachbegriffe, für Betriebe ohne eigene IT.
Auf dieser Seite4 Abschnitte
Einfach erklärt
Ein TLS-Zertifikat ist der Ausweis Ihrer Website. Bei jedem Besuch prüft der Browser drei Dinge: Ist der Ausweis für genau diese Adresse ausgestellt? Ist er noch gültig? Und stammt er von einer Stelle, der der Browser vertraut? Diese Stellen heißen Zertifizierungsstellen. Nur wenn alles passt, baut der Browser die verschlüsselte Verbindung auf. Sonst zeigt er eine ganzseitige Warnung statt Ihrer Seite.
Warum alle „SSL-Zertifikat“ sagen
SSL hieß das Vorgängerverfahren von TLS aus den 1990er-Jahren. TLS ist daraus hervorgegangen und hat es längst abgelöst, SSL selbst gilt als unsicher. Der alte Name ist aber geblieben: in Werbung, in Kundenmenüs und im Sprachgebrauch. Gemeint ist dasselbe. Ein „SSL-Zertifikat“ ist ein TLS-Zertifikat. Es funktioniert mit jeder aktuellen TLS-Version.
Was Sie tun können
Zertifikate laufen ab. Die erlaubte Laufzeit sinkt dabei schrittweise: Seit März 2026 darf ein öffentlich anerkanntes Zertifikat höchstens 200 Tage gelten, ab März 2027 höchstens 100 Tage und ab März 2029 nur noch 47 Tage. Von Hand müsste dann alle paar Wochen jemand nachlegen. Fragen Sie die Firma, die Ihre Website betreut:
- Wird das Zertifikat automatisch verlängert?
- Wer bekommt eine Nachricht, wenn das scheitert?
- Deckt es alle Adressen ab, also die Fassung mit und ohne „www“?
Gut zu wissen: Ein kostenloses Zertifikat, etwa von Let's Encrypt, verschlüsselt genauso gut wie ein gekauftes. Kostenpflichtige Zertifikate prüfen teils zusätzlich die Firma hinter der Domain. An der Verschlüsselung ändert das nichts.
Was ein Zertifikat nicht aussagt
Ein gültiges Zertifikat bestätigt nur, dass der Server zur Adresse gehört. Ob die Firma dahinter seriös ist, steht nicht darin. Auch eine nachgemachte Seite mit einem Tippfehler im Namen bekommt problemlos ein gültiges Zertifikat. Wer Zertifikate für Ihre Domain ausstellen darf, können Sie mit einem CAA-Eintrag festlegen.
Aufbau und Prüfung im Browser
Ein TLS-Zertifikat ist ein X.509-Zertifikat nach RFC 5280. Es bindet einen öffentlichen Schlüssel an Namen, die im Feld Subject Alternative Name (SAN) stehen. Der Browser prüft beim Verbindungsaufbau:
- Name: Der angefragte Host steht im SAN. Ein Wildcard
*.ihre-firma.dedeckt genau eine Ebene ab, also wederihre-firma.deselbst nocha.b.ihre-firma.de. - Laufzeit:
notBeforeundnotAfter. - Kette: Der Server liefert Endzertifikat und Zwischenzertifikate. Der Client führt sie auf eine Wurzel in seinem Vertrauensspeicher zurück.
- Certificate Transparency: Chrome akzeptiert öffentlich vertrauenswürdige Zertifikate nur mit Nachweis, dass sie in öffentlichen CT-Logs stehen (RFC 6962).
Die Validierungsstufen unterscheiden sich nur in der Prüfung des Antragstellers: DV prüft die Kontrolle über die Domain, OV und EV zusätzlich die Organisation. Für die Verschlüsselung spielt die Stufe keine Rolle.
Laufzeiten nach CA/Browser Forum
| Ausgestellt ab | Höchstlaufzeit | Wiederverwendung der Domainvalidierung |
|---|---|---|
| 15. März 2026 | 200 Tage | 200 Tage |
| 15. März 2027 | 100 Tage | 100 Tage |
| 15. März 2029 | 47 Tage | 10 Tage |
Grundlage ist Ballot SC-081v3 zu den Baseline Requirements, beschlossen im April 2025. Vorher lag die Grenze bei 398 Tagen. Ohne Automatisierung über ACME (Let's Encrypt) wird die Verlängerung zur Daueraufgabe.
Typische Fehler
- Zwischenzertifikat fehlt. Manche Browser laden es selbst nach, Mailprogramme, Skripte und Apps nicht unbedingt. Abhilfe: die vollständige Kette (
fullchain) ausliefern. - Name fehlt. Das Zertifikat gilt für
www.ihre-firma.de, aufgerufen wirdihre-firma.de. - Verlängert, aber nicht geladen. Das neue Zertifikat liegt auf dem Server, der Webserver liefert weiter das alte aus, weil er nicht neu geladen wurde.
- CAA blockiert die neue Stelle. Nach einem Wechsel der Zertifizierungsstelle verbietet ein alter CAA-Eintrag die Ausstellung.
- Ablauf nicht überwacht. Fällt die Automatik aus, merkt es niemand bis zur Browserwarnung. Ein Monitoring auf das Ablaufdatum fängt das ab.
Prüfen
openssl s_client -connect ihre-firma.de:443 -servername ihre-firma.de </dev/null 2>/dev/null \
| openssl x509 -noout -subject -issuer -dates -ext subjectAltName
Welche Zertifikate je für Ihre Domain ausgestellt wurden, zeigen die CT-Logs, durchsuchbar etwa über crt.sh.