# SSL-Verwaltung: So bleibt deine Website verschlüsselt

Quelle: https://madpublishing.ch/blog/ssl-verwaltung
Stand: 2026-10-23

> Zertifikat, automatische Erneuerung, Weiterleitung auf HTTPS und die häufigsten Fehlermeldungen: was zur SSL-Verwaltung einer kleinen Website gehört.

SSL-Verwaltung heisst: Du sorgst dafür, dass deine Website ein gültiges Zertifikat hat, dass es rechtzeitig erneuert wird und dass jede Besucherin automatisch auf der verschlüsselten Adresse mit «https://» landet. Für eine kleine oder mittlere Website ist das kein IT-Projekt. Entscheidend sind drei Dinge: automatische Erneuerung, eine saubere Weiterleitung von HTTP auf HTTPS und ein Blick auf die typischen Fehlermeldungen. Hier erklären wir alle drei so, dass du sie ohne Technikstudium umsetzen oder gezielt abgeben kannst.

**Das Wichtigste in Kürze**

- Ein SSL-Zertifikat (genauer: TLS-Zertifikat) verschlüsselt die Verbindung zwischen Browser und Website und bestätigt, dass die Adresse wirklich zu deinem Server gehört.
- Für die meisten KMU-Websites reicht ein kostenloses, domainvalidiertes Zertifikat, sofern es automatisch erneuert wird. Die Laufzeiten werden kürzer, von Hand erneuern lohnt sich nicht mehr.
- Alle Aufrufe über «http://» sollten dauerhaft auf «https://» umgeleitet werden, sonst gibt es zwei Fassungen deiner Website.
- Viele Zertifikatsfehler liegen nicht am Zertifikat, sondern an der Uhrzeit des Geräts, an einem Antivirenprogramm oder an Bildern, die noch über «http://» geladen werden.
- Am einfachsten ist es, wenn das Hosting das Zertifikat mitliefert und erneuert.

## Was ein SSL-Zertifikat eigentlich tut

SSL steht für Secure Sockets Layer. Das ist der alte Name eines Verfahrens, das heute TLS heisst, Transport Layer Security. Im Alltag sagen fast alle weiterhin «SSL», gemeint ist aber TLS. Die aktuelle Version ist [TLS 1.3, festgelegt in RFC 8446](https://developer.mozilla.org/en-US/docs/Web/Security/Defenses/Transport_Layer_Security). TLS sorgt dafür, dass niemand unterwegs mitlesen oder die Daten verändern kann, die zwischen Browser und Server hin- und hergehen.

HTTPS ist das Ergebnis davon: [die verschlüsselte Version von HTTP](https://developer.mozilla.org/en-US/docs/Glossary/HTTPS), dem Protokoll, mit dem Browser Webseiten abrufen. Ein Protokoll ist nichts anderes als eine vereinbarte Sprache zwischen zwei Computern.

Das Zertifikat selbst ist eine kleine Datei auf dem Server. Sie enthält einen öffentlichen Schlüssel und den Namen der Domain, für die es gilt. Ausgestellt wird es von einer Zertifizierungsstelle (englisch Certificate Authority, kurz CA), einer Organisation, der die Browser vertrauen. Laut der [Firefox-Hilfe zu Sicherheitszertifikaten](https://support.mozilla.org/de/kb/sicherheitszertifikate-von-webseiten) bestätigen diese Zertifikate den rechtmässigen Besitz einer Website und die Unversehrtheit der übertragenen Informationen.

![Ein Browserfenster und ein Server sind über eine Leitung mit Schloss verbunden. Darüber stellt eine Zertifizierungsstelle das Zertifikat mit Domain und Schlüssel aus](https://data.madpublishing.ch/bilder/ssl-verwaltung-zertifikat.jpg)

Wichtig für dich als Inhaberin oder Inhaber: Eine verschlüsselte Verbindung sagt nur, dass niemand mitliest. Sie sagt nicht, dass die Firma dahinter seriös ist. Das Bundesamt für Cybersicherheit (BACS) beschreibt, wie [betrügerische Webshops](https://www.bacs.admin.ch/de/23w31-de) oft mit leicht veränderten Markennamen in der Adresse arbeiten, etwa mit einem angehängten «-switzerland». Ein Zertifikat ist also Pflicht, ersetzt aber kein Vertrauen, das du über Impressum, Kontaktangaben und klare Inhalte aufbaust.

## Was zur SSL-Verwaltung gehört

In grossen Firmen verwalten IT-Abteilungen Hunderte Zertifikate mit eigenen Programmen. Für eine Website mit zehn bis fünfzig Seiten reduziert sich die Aufgabe auf wenige Punkte:

1. **Zertifikat vorhanden:** Für jede Adresse, unter der deine Website erreichbar ist, gibt es ein gültiges Zertifikat. Dazu gehören meist «beispiel.ch» und «www.beispiel.ch».
2. **Erneuerung automatisch:** Das Zertifikat läuft ab und muss regelmässig ersetzt werden. Das sollte ohne dein Zutun passieren.
3. **HTTPS überall:** Wer «http://» eintippt oder einem alten Link folgt, wird dauerhaft auf «https://» umgeleitet.
4. **Keine gemischten Inhalte:** Bilder, Schriften und Skripte werden ebenfalls über HTTPS geladen.
5. **Überblick behalten:** Du weisst, welche Domains du hast, wo sie liegen und wer sich um das Zertifikat kümmert.

Gerade der letzte Punkt geht oft vergessen. Viele Ausfälle passieren nicht, weil die Technik versagt, sondern weil niemand mehr weiss, bei welchem Anbieter eine Domain liegt oder wer damals das Zertifikat bestellt hat. Wie du das im Griff behältst, steht in unserem Beitrag zur [Domainverwaltung](https://madpublishing.ch/blog/domain-verwaltung).

## Kostenlos oder bezahlt?

Die häufigste Frage ist, ob ein kostenloses Zertifikat reicht. Die ehrliche Antwort: Für die allermeisten KMU-Websites ja. Die Verschlüsselung ist bei kostenlosen und bezahlten Zertifikaten gleich stark. Der Unterschied liegt in der Prüfung vor der Ausstellung:

- **DV (Domain Validation):** Geprüft wird nur, ob du die Domain kontrollierst. Gibt es kostenlos, etwa von Let's Encrypt. Passt für Firmenwebsites, Vereine, Blogs und die meisten Shops.
- **OV (Organization Validation):** Zusätzlich wird geprüft, ob die Firma existiert.
- **EV (Extended Validation):** Die gründlichste Prüfung der Firma.

OV und EV kauft man heute meist, weil ein Vertrag, eine Branchenvorgabe oder ein grosser Auftraggeber es verlangt. Für alle anderen ist ein kostenloses DV-Zertifikat mit automatischer Erneuerung die bessere Wahl: Es kostet nichts und fällt seltener aus, weil niemand an ein Ablaufdatum denken muss. Die Unterschiede im Detail, auch zu Wildcard- und Multi-Domain-Zertifikaten, erklären wir in [SSL-Zertifikat-Arten: Welches passt zu deiner Website?](https://madpublishing.ch/blog/ssl-zertifikat-arten)

## Warum automatische Erneuerung jetzt Pflicht ist

Zertifikate haben ein Ablaufdatum. Läuft es ab, zeigen Browser eine ganzseitige Warnung, und die meisten Besucher verlassen deine Seite sofort.

Die Laufzeiten werden zudem kürzer. Nach den Regeln des CA/Browser Forums, eines Gremiums aus Zertifizierungsstellen und Browser-Herstellern, darf ein Zertifikat seit dem 15. März 2026 höchstens 200 Tage gelten, ab März 2027 noch 100 und ab März 2029 noch 47 Tage. Let's Encrypt ist schon heute kürzer unterwegs: Ihre Zertifikate gelten 90 Tage, [ab dem 10. Februar 2027 standardmässig 64 Tage](https://letsencrypt.org/2026/10/07/64-day-certs) und danach [45 Tage](https://letsencrypt.org/2026/02/24/rate-limits-45-day-certs.html). Wer heute einmal im Jahr von Hand ein Zertifikat hochlädt, müsste das bald alle paar Wochen tun.

Die Lösung heisst ACME. Das ist ein Verfahren, mit dem der Server selbst ein neues Zertifikat bei der Zertifizierungsstelle anfordert, bevor das alte abläuft. Unterstützt die Software zusätzlich ARI (ACME Renewal Information), sagt ihr die Zertifizierungsstelle selbst, wann sie erneuern soll, und die kürzeren Laufzeiten gehen ohne Anpassung durch. Für dich heisst das: Frag deinen Hoster nicht, ob er SSL anbietet, sondern ob er Zertifikate automatisch erneuert.

![Zertifikatslaufzeiten bei Let's Encrypt: von 90 Tagen über 64 Tage auf 45 Tage in drei Schritten](https://data.madpublishing.ch/bilder/ssl-verwaltung-laufzeiten.jpg)

## Ein Zertifikat für mehrere Adressen

Sobald du mehr als eine Adresse hast, stellt sich die Frage nach der Art des Zertifikats. Ein Wildcard-Zertifikat deckt alle Subdomains einer Domain ab, etwa shop.beispiel.ch und blog.beispiel.ch. Ein Multi-Domain-Zertifikat (SAN) bündelt mehrere verschiedene Domains. Eine Subdomain ist der Teil vor deiner Domain, etwa «shop» in «shop.beispiel.ch».

Für kleine Unternehmen brauchst du ein Wildcard-Zertifikat selten. Wenn du zwei oder drei Websites hast, ist ein eigenes, automatisch erneuertes Zertifikat pro Website übersichtlicher. Fällt eines aus, betrifft es nur eine Seite. Und wenn du eine Website aufgibst, verschwindet ihr Zertifikat mit.

Mehrere Domains, die auf dieselbe Website zeigen, etwa die .ch- und die .com-Variante, leitest du ohnehin auf eine Hauptadresse um. Jede zusätzliche Domain braucht dann zwar ein gültiges Zertifikat für die Weiterleitung, aber Besucherinnen und Google sehen nur eine Adresse.

## HTTP auf HTTPS umleiten

Ein Zertifikat allein reicht nicht. Deine Website ist unter Umständen weiterhin auch über «http://» erreichbar. Dann gibt es zwei Fassungen, und alte Links, Visitenkarten oder Einträge in Verzeichnissen führen auf die unverschlüsselte.

Die Lösung ist eine dauerhafte Weiterleitung mit dem Statuscode 301. Er sagt Browser und Google: Diese Seite ist endgültig umgezogen. Mehr dazu in [301 oder 302: Welche Weiterleitung passt zu deiner Website?](https://madpublishing.ch/blog/301-vs-302) Bei vielen Hostern lässt sich die Weiterleitung mit einem Schalter aktivieren. Auf einem klassischen Webspace mit dem Webserver Apache geht es auch mit einer Datei namens `.htaccess` im Hauptordner deiner Website:

```
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
```

Diese drei Zeilen leiten jede unverschlüsselte Anfrage auf dieselbe Adresse mit «https://» um. Wenn du deine Website mit einem KI-Assistenten baust, kannst du ihn bitten, die Datei für deinen Server anzupassen, etwa auch für die Umleitung von «www» auf die Variante ohne «www». Teste danach drei Aufrufe: mit «http://», mit «www» und ohne. Alle sollten auf derselben verschlüsselten Adresse landen.

Vorsicht hinter einem CDN oder einem vorgeschalteten Proxy: Dort kommt die Anfrage beim Server oft unverschlüsselt an, obwohl der Besucher HTTPS nutzt. Die Regel oben leitet dann endlos weiter, und Chrome meldet «ERR_TOO_MANY_REDIRECTS». Frag in diesem Fall den Anbieter, wie er die Weiterleitung vorsieht.

Einen Schritt weiter geht HSTS, HTTP Strict Transport Security. Damit teilt deine Website dem Browser mit, dass er sie künftig nur noch verschlüsselt aufrufen soll, auch wenn jemand «http://» eintippt. Das ist sinnvoll, aber erst, wenn HTTPS zuverlässig läuft, denn der Browser merkt sich die Anweisung. Wie du HSTS stufenweise einführst, steht in [HSTS aktivieren](https://madpublishing.ch/blog/hsts-aktivieren-https).

Danach prüfst du auf gemischte Inhalte (englisch Mixed Content). Das sind Bilder, Videos oder Skripte, die noch mit «http://» eingebunden sind. Der Browser blockiert sie oder warnt. Bitte deinen KI-Assistenten, alle Dateien nach «http://» zu durchsuchen und die Adressen zu ersetzen. Das ist im Chat schneller erledigt als von Hand.

## SSL-Fehler beheben: die häufigsten Meldungen

Die [Chrome-Hilfe zu häufigen Fehlermeldungen](https://support.google.com/chrome/answer/95669?hl=de) erklärt viele der Meldungen, die du in der Praxis siehst. Die Tabelle zeigt, was die häufigsten meistens bedeuten und wo du zuerst suchst.

| Meldung | Häufige Ursache | Erster Schritt |
|---|---|---|
| NET::ERR_CERT_DATE_INVALID | Zertifikat abgelaufen oder falsche Uhrzeit auf dem Gerät | Datum am Gerät prüfen, dann die Erneuerung beim Hoster |
| ERR_CERT_COMMON_NAME_INVALID | Zertifikat gilt nicht für diese Adresse, etwa nur für «www» | Prüfen, ob alle Varianten der Domain abgedeckt sind |
| NET::ERR_CERT_AUTHORITY_INVALID | Browser vertraut der ausstellenden Stelle nicht, oft wegen eines Antivirenprogramms oder Firmennetzes | Auf einem anderen Gerät oder im Mobilnetz testen |
| ERR_TOO_MANY_REDIRECTS | Weiterleitungen drehen sich im Kreis, etwa http und https gegenseitig | Weiterleitungsregeln prüfen |
| ERR_SSL_VERSION_OR_CIPHER_MISMATCH | Server spricht nur veraltete Verschlüsselung | Hoster kontaktieren |
| Hinweis «Nicht sicher» | Gemischte Inhalte oder fehlende Weiterleitung | Seite nach «http://»-Adressen durchsuchen |

Der wichtigste Rat: Teste zuerst auf einem zweiten Gerät, am besten auf dem Handy über das Mobilnetz statt über das WLAN. Erscheint der Fehler dort nicht, liegt das Problem sehr wahrscheinlich bei deinem Computer oder Netzwerk, etwa bei einem Antivirenprogramm, das HTTPS-Verbindungen prüft. Dann bringt es nichts, am Zertifikat auf dem Server etwas zu ändern.

Erscheint der Fehler überall, ist meistens die Erneuerung ausgefallen oder eine neue Domain-Variante wurde nicht ins Zertifikat aufgenommen. Das passiert oft nach einem Umzug, wenn die Domain schon auf den neuen Server zeigt, das Zertifikat aber noch beim alten Anbieter liegt.

## SSL und Datenschutz in der Schweiz

Rechtlich steht in der Schweiz das Datenschutzgesetz (DSG) im Vordergrund. Es verlangt in Art. 8 eine angemessene Datensicherheit. Sobald deine Website Personendaten entgegennimmt, etwa über ein Kontaktformular, eine Bestellung oder ein Login, gehört eine verschlüsselte Verbindung zu den naheliegenden Massnahmen.

Die europäische DSGVO kann zusätzlich gelten, wenn du dich mit deinem Angebot gezielt an Personen in der EU richtest. Unsere [Checkliste für DSGVO-konformes Hosting](https://madpublishing.ch/blog/dsgvo-konformes-hosting) hilft beim Einordnen. Das hier ist allgemeine Information, keine Rechtsberatung. Bei Unsicherheit, etwa wenn du Gesundheitsdaten oder Zahlungen verarbeitest, klärst du das mit einer Fachperson für Datenschutzrecht.

## So ist es bei MADLAB // Publishing

Mit «Website – MADLAB-Hosting» gehört das Zertifikat zum Hosting, und du musst dich nicht darum kümmern:

- **Zertifikat und Erneuerung:** Jede Website bekommt ein DV-Zertifikat von Let's Encrypt, für ihre Adresse bei uns und für deine eigene Domain, mit und ohne www. Ausstellen und Erneuern laufen automatisch. Nach dem Verbinden einer Domain dauert es meist Minuten, manchmal einige Stunden, bis das Zertifikat da ist. Siehe [Eigene Domain verbinden](https://madpublishing.ch/hilfe/eigene-domain-verbinden).
- **Weiterleitungen:** Wer `http://` aufruft, landet auf `https://`. Die Variante mit oder ohne www und weitere Domains leiten dauerhaft auf deine Hauptadresse weiter. Siehe [Mehrere Domains auf dieselbe Website](https://madpublishing.ch/hilfe/weitere-domains).
- **HSTS:** Jede Antwort trägt den HSTS-Header. Wir haben mit einer kurzen Dauer angefangen und erhöhen sie Stufe um Stufe, so wie wir es im HSTS-Beitrag empfehlen.
- **Gemischte Inhalte:** Bevor du veröffentlichst, prüft dein Assistent die Website mit `check_site`. Ein Bild oder Skript, das noch über `http://` eingebunden ist, meldet die Prüfung als Fehler.
- **Versionen:** Jede Änderung wird eine eigene Version. Geht eine Anpassung schief, holst du den vorherigen Stand zurück. Siehe [Versionen und Zurückrollen](https://madpublishing.ch/hilfe/versionen).

Hast du bereits einen Webspace und veröffentlichst mit «Website – eigenes Hosting» per FTP oder SFTP dorthin, verwaltest du das Zertifikat beim Anbieter dieses Webspace. Läuft deine Website heute noch auf einem CMS, lässt sich die [bestehende Website übernehmen](https://madpublishing.ch/bestehende-website-uebernehmen), und das Redaktionssystem mit seinem Login bleibt zurück. Was die Pläne kosten, steht unter [Pläne und Zusatzpakete](https://madpublishing.ch/hilfe/plaene-und-zusatzpakete).

## Quellen

- [Transport Layer Security (TLS), MDN](https://developer.mozilla.org/en-US/docs/Web/Security/Defenses/Transport_Layer_Security)
- [HTTPS, MDN-Glossar](https://developer.mozilla.org/en-US/docs/Glossary/HTTPS)
- [Sicherheitszertifikate von Webseiten, Firefox-Hilfe](https://support.mozilla.org/de/kb/sicherheitszertifikate-von-webseiten)
- [Betrügerische Webshops frühzeitig erkennen, Bundesamt für Cybersicherheit](https://www.bacs.admin.ch/de/23w31-de)
- [64-Day Certificate Lifetimes Coming Feb 2027, Let's Encrypt](https://letsencrypt.org/2026/10/07/64-day-certs)
- [Shorter Certificate Lifetimes and Rate Limits, Let's Encrypt](https://letsencrypt.org/2026/02/24/rate-limits-45-day-certs.html)
- [Hilfe bei häufigen Fehlermeldungen in Chrome, Google](https://support.google.com/chrome/answer/95669?hl=de)

## Häufige Fragen

### Ist SSL heute noch aktuell?

Der Name ist veraltet, die Sache nicht. Heute wird TLS verwendet, meist in der Version 1.3, aber im Alltag heisst es weiterhin SSL-Zertifikat. Ohne ein solches Zertifikat warnen Browser vor deiner Website.

### Wie aktiviere ich SSL für meine Website?

Bei den meisten Hostern aktivierst du ein kostenloses Zertifikat im Kundenbereich, oder es ist bereits eingerichtet. Danach richtest du die Weiterleitung von HTTP auf HTTPS ein und prüfst, ob alle Bilder und Skripte über HTTPS geladen werden. Bei «Website – MADLAB-Hosting» ist beides eingerichtet.

### Reicht ein kostenloses Let's-Encrypt-Zertifikat für einen Onlineshop?

Für die Verschlüsselung ja, sie ist gleich stark wie bei einem bezahlten Zertifikat. Ein bezahltes Zertifikat mit Firmenprüfung brauchst du nur, wenn ein Vertrag oder eine Branchenvorgabe es verlangt. Entscheidend ist, dass die Erneuerung automatisch läuft.

### Was passiert, wenn mein Zertifikat abläuft?

Browser zeigen eine ganzseitige Warnung, und die meisten Besucherinnen brechen ab. Deine Daten gehen dabei nicht verloren, aber die Seite ist praktisch nicht nutzbar, bis ein neues Zertifikat installiert ist. Deshalb lohnt sich nur eine Lösung mit automatischer Erneuerung.

### Brauche ich für mehrere Domains ein Wildcard-Zertifikat?

Meistens nicht. Ein Wildcard-Zertifikat deckt nur Subdomains einer einzigen Domain ab, nicht verschiedene Domains. Für mehrere Websites ist je ein eigenes Zertifikat übersichtlicher, für Zusatzdomains reicht meist eine Weiterleitung auf die Hauptadresse.