HTTPS: Verschlüsselung, Zertifikate und Migration
HTTPS ist die verschlüsselte Variante von HTTP. Sie sorgt dafür, dass niemand zwischen Browser und Server mitlesen oder Inhalte verändern kann. Seit Jahren ist HTTPS kein Zusatz mehr, sondern Grundausstattung: Browser markieren unverschlüsselte Seiten aktiv als unsicher, und ohne HTTPS bleiben moderne Web-Funktionen gesperrt. Dieser Leitfaden erklärt die Technik dahinter, ihre SEO-Bedeutung und die Migration ohne Ranking-Verluste.
1. HTTPS, SSL und TLS: die Begriffe
Die drei Begriffe werden durcheinander benutzt, meinen aber Unterschiedliches:
- HTTPS ist HTTP, das über eine verschlüsselte Verbindung läuft. Das „S“ steht für Secure.
- SSL (Secure Sockets Layer) ist das ursprüngliche Verschlüsselungsprotokoll. Es ist seit Jahren vollständig abgeschaltet – die letzte Version SSL 3.0 gilt seit 2015 als unsicher.
- TLS (Transport Layer Security) ist der Nachfolger und das, was heute tatsächlich läuft. Aktuell sind TLS 1.2 und TLS 1.3.
Wer heute „SSL-Zertifikat“ sagt, meint technisch ein TLS-Zertifikat. Der alte Name hat sich in Produktnamen und Umgangssprache gehalten, das ist unproblematisch – entscheidend ist, dass dein Server kein echtes SSL mehr spricht und auch TLS 1.0 und 1.1 abgeschaltet hat.
Drei Dinge leistet TLS gleichzeitig: Vertraulichkeit (niemand kann mitlesen), Integrität (niemand kann unbemerkt verändern) und Authentizität (du sprichst wirklich mit dem Server, der zur Domain gehört). Der dritte Punkt ist der, für den das Zertifikat da ist – Verschlüsselung allein würde auch ohne funktionieren.
2. Was der Browser in der Adressleiste anzeigt
Der schnellste Weg, den Status einer Seite zu erfassen, ist die Adressleiste. Sie kennt drei Zustände:
Zwei Details, die oft falsch verstanden werden:
- Das Schloss sagt nichts über die Seriosität der Seite. Es bestätigt nur, dass die Verbindung verschlüsselt ist und das Zertifikat zur Domain passt. Auch eine Phishing-Seite kann ein gültiges Zertifikat haben. Chrome hat das Schloss-Symbol deshalb 2023 durch ein neutrales Einstellungs-Symbol ersetzt – genau, um diesen falschen Vertrauens-Eindruck zu vermeiden.
- „Nicht sicher“ bei HTTP ist keine Warnung vor Schadsoftware, sondern die Feststellung, dass die Übertragung im Klartext läuft. Jedes eingegebene Passwort und jede Bestellung ist im selben Netzwerk mitlesbar.
3. Wie der TLS-Handshake funktioniert
Bevor das erste Byte HTML fließt, handeln Browser und Server die Verschlüsselung aus. Das dauert bei TLS 1.3 eine einzige Rundreise und ist damit kaum noch ein Performance-Argument gegen HTTPS.
Der entscheidende Schritt ist Nummer 3. Der Browser prüft drei Dinge, und jede dieser Prüfungen erzeugt bei einem Fehler eine eigene Warnseite:
| Prüfung | Frage | Typischer Fehler |
|---|---|---|
| Signaturkette | Stammt das Zertifikat von einer vertrauten Stelle? | Selbstsigniert, fehlendes Zwischenzertifikat |
| Domainname | Steht die aufgerufene Domain im Zertifikat? | Zertifikat nur für beispiel.de, aufgerufen wird www.beispiel.de |
| Laufzeit | Ist das Zertifikat noch gültig? | Abgelaufen, weil die Erneuerung nicht automatisiert war |
Das fehlende Zwischenzertifikat ist besonders tückisch: Viele Browser haben es aus früheren Besuchen zwischengespeichert und zeigen die Seite fehlerfrei an, während Googlebot und frische Geräte einen Fehler sehen. Prüfe die Kette deshalb immer mit einem externen Werkzeug, nie nur im eigenen Browser.
4. Zertifikatstypen: DV, OV und EV
| Typ | Geprüft wird | Ausstellung | Sichtbarer Unterschied |
|---|---|---|---|
| DV (Domain Validated) | Kontrolle über die Domain | Automatisch, Minuten | Keiner |
| OV (Organization Validated) | Domain plus Existenz der Firma | Tage, manuell | Keiner – nur in den Zertifikatsdetails |
| EV (Extended Validation) | Umfangreiche Firmenprüfung | Tage bis Wochen | Keiner mehr |
EV bringt heute keinen sichtbaren Vorteil mehr. Bis 2019 zeigten Browser bei EV-Zertifikaten den Firmennamen in Grün neben der Adresse. Chrome und Firefox haben diese Anzeige entfernt, weil Studien zeigten, dass Nutzer sie nicht beachten. Für SEO sind alle drei Typen identisch: Google unterscheidet nicht zwischen DV, OV und EV.
Für die allermeisten Websites ist ein kostenloses, automatisch erneuertes DV-Zertifikat die richtige Wahl. Anbieter wie Let’s Encrypt stellen sie mit 90 Tagen Laufzeit aus und erneuern sie über das ACME-Protokoll selbstständig. Die kurze Laufzeit ist ein Vorteil, kein Nachteil: Sie erzwingt Automatisierung, und automatisierte Zertifikate laufen nicht ab.
5. HTTPS als Rankingfaktor
Google hat HTTPS 2014 offiziell zum Rankingsignal erklärt – und dabei betont, dass es ein leichtes Signal ist, das weniger als 1 % der Suchanfragen beeinflusst. Es wirkt als Tiebreaker: Bei zwei ansonsten gleichwertigen Ergebnissen gewinnt das verschlüsselte.
Die praktisch wichtigeren Effekte liegen daneben:
- Vertrauen und Konversion. Ein „Nicht sicher“ im Checkout kostet messbar Abschlüsse.
- Referrer-Daten. Beim Wechsel von HTTPS zu HTTP geht der Referrer verloren. Traffic von verschlüsselten Seiten landet in der Analyse fälschlich unter „Direkt“.
- Moderne Browser-Funktionen. Service Worker, HTTP/2 und HTTP/3, Geolocation und Zwischenablage-Zugriff setzen HTTPS voraus. Ohne HTTPS auch kein HTTP/2 – und damit ein Nachteil bei den Core Web Vitals.
- Kein Einschleusen durch Dritte. Über HTTP können Netzbetreiber Werbung oder Skripte in deine Seiten injizieren. Über HTTPS ist das ausgeschlossen.
6. Mixed Content: der häufigste Migrationsfehler
Mixed Content entsteht, wenn eine über HTTPS ausgelieferte Seite einzelne Ressourcen über HTTP nachlädt. Der Browser behandelt aktive und passive Inhalte dabei unterschiedlich:
| Art | Beispiele | Verhalten des Browsers |
|---|---|---|
| Aktiver Inhalt | Skripte, Stylesheets, iframes, Schriften, XHR | Wird blockiert – Funktionen fallen aus |
| Passiver Inhalt | Bilder, Audio, Video | Wird auf HTTPS hochgestuft, sonst blockiert |
Der Schaden ist selten offensichtlich: Ein blockiertes Skript kann den Warenkorb lahmlegen, ohne dass eine Fehlermeldung sichtbar wird. Prüfe nach jeder Migration die Konsole auf allen Seitentypen – Startseite, Kategorie, Produkt, Checkout, Formularseiten.
Häufige Quellen: hart kodierte http://-URLs in der Datenbank, eingebettete Videos und Karten,
Werbe- und Tracking-Skripte, sowie alte Inhalte im CMS. Die schnellste Abhilfe ist eine
Suchen-und-Ersetzen-Operation über die Datenbank plus der Header
Content-Security-Policy: upgrade-insecure-requests als Auffangnetz.
7. HSTS: HTTPS erzwingen
Auch bei einer sauberen Weiterleitung geht der allererste Aufruf über HTTP: Wer beispiel.de
eintippt, sendet zuerst eine unverschlüsselte Anfrage, die dann per
301 auf HTTPS umgeleitet wird. Genau diese eine Anfrage ist angreifbar.
HTTP Strict Transport Security schließt die Lücke. Der Header weist den Browser an, die Domain künftig ausschließlich über HTTPS anzusprechen:
| Direktive | Bedeutung |
|---|---|
max-age |
Gültigkeit in Sekunden; üblich sind 31536000 (ein Jahr) |
includeSubDomains |
Gilt auch für alle Subdomains |
preload |
Aufnahme in die fest im Browser hinterlegte Liste |
Vorsicht bei preload: Die Preload-Liste ist fest in die Browser eingebaut.
Eine Aufnahme ist praktisch nicht kurzfristig rückgängig zu machen – die Entfernung dauert
Monate, bis sie über Browser-Updates bei den Nutzern ankommt. Setze preload erst, wenn
HTTPS auf der Domain und allen Subdomains dauerhaft und lückenlos funktioniert.
8. Migration von HTTP auf HTTPS
Eine Umstellung ist ein Domainumzug im Kleinen: Jede URL ändert sich. In dieser Reihenfolge geht es ohne Verluste:
- Zertifikat einrichten und automatische Erneuerung testen – inklusive aller Subdomains.
- Alle internen Verweise umstellen: Links, Bilder, Skripte, Stylesheets. Am besten
absolute HTTPS-URLs oder relative Pfade, keine hart kodierten
http://-Adressen. - 301 einrichten: jede HTTP-URL auf ihr exaktes HTTPS-Gegenstück, nicht pauschal auf die Startseite.
- Canonicals auf HTTPS umstellen – sie zeigen sonst weiter auf die alte Variante.
- Sitemap und robots.txt aktualisieren, inklusive der Sitemap-Referenz in der robots.txt.
- hreflang-Angaben umstellen, falls vorhanden.
- Neue Property in der Search Console anlegen. HTTPS ist dort eine eigene Property; am besten gleich eine Domain-Property, die alle Varianten abdeckt.
- Mixed Content beheben und die Konsole auf allen Seitentypen prüfen.
- HSTS aktivieren, sobald alles stabil läuft.
- Nachziehen: Backlinks der wichtigsten Quellen aktualisieren lassen, Anzeigen- und Newsletter-Ziele umstellen, Analytics-Property prüfen.
Ein Ranking-Wackeln in den ersten Wochen ist normal, weil Google die neuen URLs erst übernehmen muss. Die Weiterleitungen müssen dauerhaft bestehen bleiben – nicht nur ein paar Monate.
9. Häufige Fehler
- Zertifikat läuft ab. Ohne automatische Erneuerung passiert das früher oder später immer – und dann sehen alle Besucher eine Warnseite.
- Nur die Startseite umgestellt. Jede URL braucht ihre eigene Weiterleitung.
- Alle HTTP-URLs auf die Startseite geleitet. Google wertet das als Soft-404, die Signale der Einzelseiten verfallen.
- Canonicals zeigen weiter auf HTTP. Widerspricht der Weiterleitung und verzögert die Übernahme.
- www und nicht-www nicht abgedeckt. Das Zertifikat muss beide Namen enthalten, sonst gibt es eine Warnung.
- Mixed Content ignoriert. Funktionen fallen still aus.
- Zwischenzertifikat fehlt. Im eigenen Browser unsichtbar, für Googlebot ein Fehler.
- HSTS-Preload zu früh gesetzt. Kaum rückgängig zu machen.
- Interne Links zeigen auf die HTTP-Variante. Jeder Aufruf läuft dann unnötig über eine Weiterleitung – siehe interne Verlinkung.
10. HTTPS prüfen
- Kommandozeile:
curl -vI https://beispiel.dezeigt Zertifikat, Kette und Statuscode.curl -sI http://beispiel.debestätigt die 301 auf HTTPS. - Browser-Konsole: Mixed-Content-Meldungen erscheinen dort als Warnung oder Fehler mit der genauen URL.
- Search Console: Die URL-Prüfung zeigt, welche Variante Google als kanonisch gewählt hat.
- Externer TLS-Test: deckt fehlende Zwischenzertifikate, veraltete Protokollversionen und schwache Verfahren auf – alles, was der eigene Browser durch Zwischenspeicher verdeckt.
Profi-Tipp: Rank-O-Saur zeigt dir für jeden Link auf der Seite den Statuscode und das
Protokoll. Nach einer Migration siehst du damit sofort, welche internen Links noch auf
http:// zeigen und über eine Weiterleitung laufen – genau die Aufräumarbeit, die am
häufigsten liegen bleibt.
11. Checkliste
- Gültiges Zertifikat für alle genutzten Hostnamen inklusive www.
- Automatische Erneuerung eingerichtet und einmal erfolgreich getestet.
- Vollständige Zertifikatskette ausgeliefert (Zwischenzertifikat inklusive).
- TLS 1.2 und 1.3 aktiv, ältere Versionen abgeschaltet.
- Jede HTTP-URL per 301 auf ihr HTTPS-Gegenstück.
- Canonicals, Sitemap, robots.txt und hreflang auf HTTPS umgestellt.
- Interne Links zeigen direkt auf HTTPS, nicht über eine Weiterleitung.
- Keine Mixed-Content-Meldungen auf allen Seitentypen.
- HTTPS-Property in der Search Console angelegt.
- HSTS gesetzt;
preloaderst nach stabilem Dauerbetrieb.
12. Häufig gestellte Fragen
Ist HTTPS ein Rankingfaktor?
Ja, seit 2014 offiziell – aber ein leichtes Signal, das laut Google weniger als ein Prozent der Suchanfragen beeinflusst. Es wirkt als Entscheidungshilfe zwischen sonst gleichwertigen Ergebnissen. Die größeren Effekte sind Vertrauen, Konversion und der Zugang zu HTTP/2 und modernen Browser-Funktionen.
Was ist der Unterschied zwischen SSL und TLS?
TLS ist der Nachfolger von SSL. Alle SSL-Versionen sind seit Jahren abgeschaltet und gelten als unsicher; im Einsatz sind heute TLS 1.2 und 1.3. Der Begriff „SSL-Zertifikat“ hat sich umgangssprachlich gehalten, gemeint ist technisch immer ein TLS-Zertifikat.
Reicht ein kostenloses Zertifikat aus?
Für die allermeisten Websites ja. Ein kostenloses DV-Zertifikat verschlüsselt technisch genau so stark wie ein teures. Google unterscheidet nicht zwischen DV, OV und EV, und Browser zeigen keinen sichtbaren Unterschied mehr. Wichtiger als der Preis ist die automatische Erneuerung.
Bringt ein EV-Zertifikat noch etwas?
Für SEO nichts. Den früheren sichtbaren Vorteil – den Firmennamen in Grün neben der Adresse – haben Chrome und Firefox 2019 entfernt, weil Nutzer ihn nicht beachtet haben. Ein EV-Zertifikat kann höchstens aus internen Compliance-Gründen sinnvoll sein.
Was ist Mixed Content und warum ist er ein Problem?
Mixed Content liegt vor, wenn eine HTTPS-Seite einzelne Ressourcen über HTTP nachlädt. Aktive Inhalte wie Skripte und Stylesheets blockiert der Browser, wodurch Funktionen still ausfallen. Passive Inhalte wie Bilder werden zuerst auf HTTPS hochgestuft und nur blockiert, wenn das fehlschlägt.
Verliere ich bei der Umstellung auf HTTPS Rankings?
Bei sauberer Umsetzung nicht dauerhaft. Ein Wackeln in den ersten Wochen ist normal, weil Google die neuen URLs erst übernimmt. Verluste entstehen durch Fehler: Sammelweiterleitungen auf die Startseite, Canonicals, die weiter auf HTTP zeigen, oder fehlende Weiterleitungen einzelner URLs.
Muss ich HSTS aktivieren?
Notwendig ist es nicht, sinnvoll schon: HSTS schließt die Lücke beim allerersten Aufruf, der
sonst unverschlüsselt über die Weiterleitung läuft. Die Option preload solltest du
aber erst setzen, wenn HTTPS auf der Domain und allen Subdomains dauerhaft stabil ist –
eine Rücknahme dauert Monate.
Warum zeigt mein Browser kein Schloss mehr an?
Chrome hat das Schloss-Symbol 2023 durch ein neutrales Einstellungs-Symbol ersetzt. Der Grund: Viele Nutzer verstanden das Schloss als Bestätigung, dass eine Seite vertrauenswürdig sei. Es bestätigt aber nur die verschlüsselte Verbindung, nicht die Seriosität des Betreibers.
Weiterlesen
