SSL-Zertifikat-Arten: Welches passt zu deiner Website?

SSL-Zertifikate unterscheiden sich in zwei Punkten: wie gründlich geprüft wird, wer hinter der Website steht (DV, OV, EV), und welche Adressen sie abdecken (eine Domain, alle Subdomains oder mehrere Domains). Für die meisten Websites reicht ein DV-Zertifikat, das sich automatisch erneuert. Und genau das Erneuern wird wichtiger: Die Laufzeiten der Zertifikate sinken in den nächsten Jahren Schritt für Schritt auf 47 Tage.

Übrigens: «SSL» ist der alte Name. Die Verschlüsselung heisst heute TLS, im Alltag sagt man aber weiterhin SSL-Zertifikat. Gemeint ist dasselbe.

Das Wichtigste in Kürze

• DV, OV und EV verschlüsseln gleich stark. OV und EV prüfen zusätzlich die Organisation, kosten mehr und brauchen länger.
• Ein Wildcard-Zertifikat deckt alle Subdomains einer Domain ab, gibt es aber nicht als EV. Mehrere verschiedene Domains bündelt ein Multi-Domain-Zertifikat (SAN).
• Die höchstzulässige Laufzeit sinkt von 398 Tagen auf 200 (seit März 2026), 100 (ab März 2027) und 47 Tage (ab März 2029). Let's Encrypt stellt ab Februar 2027 standardmässig 64-Tage-Zertifikate aus.
• Von Hand erneuern wird damit unrealistisch. Plan die automatische Erneuerung von Anfang an ein, oder wähl ein Hosting, das sie übernimmt.

Validierungsstufen: Was prüft die Zertifizierungsstelle?

Eine Zertifizierungsstelle (englisch Certificate Authority, kurz CA) stellt das Zertifikat aus und prüft vorher, wer dahintersteht. Wie gründlich sie das tut, bestimmt die Validierungsstufe. An der Verschlüsselung selbst ändert die Stufe nichts, wie auch SSLs.com im Vergleich von DV, OV und EV betont.

• DV (Domain Validation): Geprüft wird nur, ob du die Domain kontrollierst. Das geht vollautomatisch in Sekunden. Für Firmenwebsites, Blogs, Vereine und die meisten Shops ist das die Standardwahl.
• OV (Organization Validation): Zusätzlich wird die Firma geprüft, etwa über das Handelsregister. Die Angaben stehen danach im Zertifikat.
• EV (Extended Validation): Die gründlichste Prüfung, mit mehr Dokumenten und Rückfragen. Kommt infrage, wenn Vorgaben einer Branche oder eines Auftraggebers das verlangen.

Je tiefer die Prüfung, desto länger dauert die Ausstellung und desto teurer wird es. Der Nutzen für Besucherinnen und Besucher ist dagegen klein geworden: Den grünen Balken mit dem Firmennamen für EV-Zertifikate haben Chrome und Firefox schon 2019 abgeschafft, wie Evertrust in einem Überblick zu DV, OV und EV festhält. Dort steht auch die Faustregel: DV ist für das öffentliche Web inzwischen der Normalfall. OV und EV lohnen sich dort, wo Prüfer, Behörden oder andere Systeme die Firmenangaben im Zertifikat tatsächlich auslesen.

Abdeckung: eine Domain, alle Subdomains oder mehrere Domains?

Die zweite Frage ist, welche Adressen ein Zertifikat schützt. Sectigo unterscheidet in einer Übersicht der Zertifikatstypen drei Hauptarten:

1. Einzeldomain: Das Zertifikat sichert eine Adresse, zum Beispiel www.beispiel.ch. Mehr braucht eine einzelne Website meist nicht.
2. Wildcard: Es deckt alle Subdomains einer Ebene ab, also *.beispiel.ch für shop.beispiel.ch, blog.beispiel.ch und alles, was du neu anlegst. Zwei Einschränkungen: Wildcards gibt es nur als DV oder OV, nicht als EV. Und *.beispiel.ch deckt weder beispiel.ch ohne Vorsatz noch eine zweite Ebene wie a.b.beispiel.ch ab.
3. Multi-Domain (SAN): SAN steht für Subject Alternative Name. Ein Zertifikat deckt mehrere verschiedene Domains ab, etwa beispiel.ch, beispiel.de und mein-verein.ch.

Ein Beispiel: Eine Bäckerei mit Hauptseite, Online-Shop und Stellenportal auf Subdomains ist mit einem Wildcard-Zertifikat gut bedient. Ein Verein mit drei eigenständigen Domains für Verein, Turnier und Jugendarbeit eher mit einem SAN-Zertifikat. Wie du bei uns mehrere Domains auf dieselbe Website legst, steht in Mehrere Domains auf dieselbe Website.

Laufzeiten: Warum die Erneuerung automatisch laufen muss

Wie lange ein Zertifikat höchstens gelten darf, legt das CA/Browser Forum fest, ein Gremium aus Zertifizierungsstellen und Browser-Herstellern. Mit dem Beschluss SC-081 von 2025 sinkt die Höchstdauer in drei Schritten:

Ausgestellt ab	Höchstens gültig
bis 14. März 2026	398 Tage
15. März 2026	200 Tage
15. März 2027	100 Tage
15. März 2029	47 Tage

Let's Encrypt, die grösste kostenlose Zertifizierungsstelle, ist schon heute kürzer unterwegs: Ihre Zertifikate gelten 90 Tage. Ab dem 10. Februar 2027 stellt Let's Encrypt standardmässig 64-Tage-Zertifikate aus, für 2028 sind 45 Tage geplant. Gleichzeitig sinkt die Zeit, in der eine erfolgreiche Prüfung der Domain wiederverwendet werden darf, von 30 auf 10 Tage und 2028 auf sieben Stunden.

Was heisst das für dich? Wer heute einmal im Jahr ein Zertifikat von Hand einspielt, müsste das bald alle paar Wochen tun. Das geht spätestens schief, wenn jemand in den Ferien ist. Darum:

• Automatisieren mit ACME. ACME ist das Protokoll, über das Software Zertifikate ohne Handarbeit bestellt und erneuert. Let's Encrypt empfiehlt zusätzlich ARI (ACME Renewal Information): Damit sagt die Zertifizierungsstelle deiner Software selbst, wann sie erneuern soll.
• Feste Tage aus Skripten entfernen. Steht irgendwo «alle 60 Tage erneuern», funktioniert das mit 64- oder 45-Tage-Zertifikaten nicht mehr. Let's Encrypt rät, nach etwa zwei Dritteln der Laufzeit zu erneuern.
• Eine Warnung einrichten, die meldet, wenn eine Erneuerung scheitert.
• Oder ein Hosting wählen, das das alles übernimmt.

So wählst du das richtige Zertifikat

Geh diese Fragen der Reihe nach durch:

• Wie viele Adressen? Eine Adresse spricht für ein Einzelzertifikat, viele Subdomains für Wildcard, mehrere Domains für SAN.
• Muss jemand deine Firma im Zertifikat sehen? Nur dann braucht es OV oder EV.
• Läuft die Website hinter einem CDN? Ein CDN (Content Delivery Network) ist ein Netz von Servern, das Inhalte schneller ausliefert. Dann klärst du, wer das Zertifikat dort hinterlegt.
• Läuft die Erneuerung automatisch?
• Budget: DV gibt es kostenlos, OV und EV kosten spürbar mehr.

Kurz nach Art der Website: Blog, Portfolio oder Vereinsseite brauchen DV mit automatischer Erneuerung. Ein Shop kommt mit DV aus, bei Geschäftskunden mit Prüfpflichten kann OV dazukommen. Mehrere Domains bündelt ein SAN-Zertifikat.

So kommst du zu einem Zertifikat

1. Art wählen: Validierungsstufe (DV, OV, EV) und Abdeckung (Einzeldomain, Wildcard, SAN).
2. Kontrolle über die Domain nachweisen: über eine Datei auf dem Webserver (HTTP-01), einen TXT-Eintrag im DNS (DNS-01) oder TLS-ALPN-01. Für ein Wildcard-Zertifikat von Let's Encrypt geht nur der Weg über das DNS. DNS ist das Adressbuch des Internets. Wie du Einträge bei uns selbst pflegst, steht in DNS-Einträge verwalten.
3. Bestellen: bei einer CA oder direkt über dein Hosting.
4. Installieren und prüfen: Zertifikat beim Hosting hinterlegen und mit einem SSL-Test prüfen, ob alles stimmt.

Hast du deine Domain noch nicht verbunden, hilft Eigene Domain verbinden.

RSA oder ECC?

Neben Prüfung und Abdeckung unterscheiden sich Zertifikate im Schlüsselverfahren, also im mathematischen Verfahren, auf dem die Verschlüsselung aufbaut. Verbreitet sind RSA und ECC.

RSA ist der Klassiker. Praktisch jedes System versteht es, auch ältere Server und Geräte. Dafür braucht RSA lange Schlüssel und etwas mehr Rechenzeit.

ECC (Elliptic Curve Cryptography) kommt mit deutlich kürzeren Schlüsseln aus und baut die Verbindung meist schneller auf. Das entlastet den Server. Sehr alte Systeme kommen damit nicht immer zurecht.

Für heutige Websites taugen beide. Viele Hosting-Anbieter wählen das Verfahren für dich, und manche Server liefern beide parallel aus, dann bekommt jeder Browser, was er versteht. Am Prüfniveau ändert das Verfahren nichts: Ein DV-Zertifikat mit ECC bleibt ein DV-Zertifikat.

Kostenlos oder kostenpflichtig?

Kostenlose Zertifikate gibt es als DV, etwa von Let's Encrypt. Sie verschlüsseln genauso gut wie bezahlte. Der Unterschied liegt im Drumherum: Sie sind auf Automatisierung ausgelegt und laufen kurz, einen persönlichen Ansprechpartner gibt es nicht. Wer die Erneuerung einmal sauber eingerichtet hat, hat danach kaum mehr Arbeit.

Kostenpflichtige Zertifikate bringen mehr Auswahl, also OV und EV, und meist Support. Sie lohnen sich, wenn du einen Nachweis deiner Firma im Zertifikat brauchst oder verbindliche Unterstützung willst. Für eine Website, die einfach sicher ausgeliefert werden soll, reicht ein kostenloses DV-Zertifikat, solange es sich automatisch erneuert.

Server, Shared Hosting und CDN

Ein Zertifikat läuft auf jedem gängigen Webserver, ob Apache, Nginx oder einem anderen. Auf einem eigenen Server richtest du es selbst ein und kümmerst dich auch um die Erneuerung.

Beim Shared Hosting, bei dem sich viele Websites einen Server teilen, gibt es oft einen Knopf im Kundenbereich. Prüf vorher, ob Wildcard- oder SAN-Zertifikate erlaubt sind und ob du ein eigenes Zertifikat hochladen darfst.

Bei einem CDN endet die Verschlüsselung oft beim CDN. Dann braucht es ein Zertifikat für die Strecke vom Besucher zum CDN und eines für die Strecke vom CDN zu deinem Server. Frag den Anbieter, wer was übernimmt.

So ist es bei MADLAB // Publishing

Bei uns gehört das Zertifikat zum Hosting, und du musst dich nicht darum kümmern. Jede Website bekommt ein DV-Zertifikat von Let's Encrypt, für ihre Adresse bei uns und für deine eigene Domain. Ausstellen und Erneuern laufen automatisch. Nach dem Verbinden einer eigenen Domain dauert es meist Minuten, manchmal einige Stunden, bis das Zertifikat da ist.

Ein Zertifikat, das niemand verwalten muss, ist eines weniger, das vergessen gehen kann. Das gilt auch für den Rest: Bei MADLAB // Publishing gibt es kein Redaktionssystem mit Login und keine Plugins, die gepflegt werden müssen. Gebaut und gepflegt wird die Website im Gespräch mit einem KI-Assistenten wie Claude oder ChatGPT. Wir übernehmen Vorschau, Versionen mit Zurückholen, das Veröffentlichen und das Hosting in der Schweiz und der EU, mit täglichen Sicherungen. Ausprobieren kannst du das im Gratis-Plan. Was die Pläne kosten, steht in Pläne und Zusatzpakete.

Quellen

• 64-Day Certificate Lifetimes Coming Feb 2027 – Let's Encrypt
• Ballot SC-081v3: Schedule of reducing validity and data reuse periods – CA/Browser Forum
• Different types of SSL certificates explained – Sectigo
• DV, OV and EV certificates – Evertrust
• DV vs OV vs EV in the era of shorter SSL lifetimes – SSLs.com

Häufige Fragen

Welche Arten von SSL-Zertifikaten gibt es?

Man unterscheidet nach Prüfstufe (DV, OV, EV) und nach Abdeckung (Einzeldomain, Wildcard, Multi-Domain/SAN). Beides lässt sich kombinieren, mit einer Ausnahme: Wildcard gibt es nicht als EV. Für die meisten Websites reicht ein DV-Zertifikat.

Wie lange ist ein SSL-Zertifikat gültig?

Seit dem 15. März 2026 höchstens 200 Tage, ab dem 15. März 2027 höchstens 100 und ab dem 15. März 2029 höchstens 47 Tage. Zertifikate von Let's Encrypt gelten heute 90 Tage, ab Februar 2027 standardmässig 64 Tage.

Wie erhalte ich ein SSL-Zertifikat?

Du wählst die Art, weist nach, dass du die Domain kontrollierst, und installierst das Zertifikat. Bei vielen Hosting-Anbietern läuft das automatisch, bei MADLAB // Publishing ebenfalls.

Wie erkenne ich eine verschlüsselte Verbindung?

Am «https» vor der Adresse. Chrome zeigt seit 2023 statt des Schlosses ein Symbol für die Seiteneinstellungen, andere Browser weiterhin ein Schloss. Ein Klick darauf zeigt die Angaben zum Zertifikat. Ob es DV, OV oder EV ist, sieht man auf den ersten Blick nicht mehr.

Was ist ein SAN-Zertifikat?

Ein SAN-Zertifikat (Subject Alternative Name) schützt mehrere verschiedene Domains mit einem einzigen Zertifikat. Ein Wildcard-Zertifikat dagegen deckt alle Subdomains einer einzigen Domain ab.