SSL-Zertifikate: Was sie für Ihre Website leisten

Wenn die Sicherheit Ihrer Website jemals etwas ist, woran Sie denken müssen, arbeitet Ihre Einrichtung bereits gegen Sie. Ein gültiges Zertifikat ist keine Funktion, die man kauft. Es ist Infrastruktur. Und wie die Wasserleitungen im Haus sollten Sie es nur dann bemerken, wenn jemand schlechte Arbeit geleistet hat.

So wird das Thema aber meist nicht verkauft. SSL-Zertifikate werden als Upgrade angepriesen, als Punkt zum Abhaken, als Zusatz mit eigener Position auf der Rechnung. Diese Sichtweise ist verkehrt, und sie kann ein kleines Unternehmen unbemerkt Vertrauen kosten, dessen Schwinden es nie mitbekommt.

Was leistet ein SSL-Zertifikat wirklich?

Zwei Dinge, und es hilft, sie auseinanderzuhalten, denn beide werden ständig vermischt.

Es bestätigt, dass der Browser mit der echten Website spricht. Das Zertifikat erlaubt es dem Browser eines Besuchers zu überprüfen, dass er tatsächlich mit Ihrer Website unter Ihrer Webadresse verbunden ist und nicht mit einem Betrüger, der sich dazwischenschaltet.
Es ermöglicht eine private Verbindung. Sobald diese Prüfung bestanden ist, bauen der Browser und Ihre Website eine verschlüsselte Verbindung auf, sodass das, was zwischen ihnen übertragen wird, ein Kontaktformular, ein Login, eine Buchung, nicht heimlich von anderen gelesen werden kann, die sich zufällig im selben Netzwerk befinden.

Eine landläufige Darstellung schreibt dem Zertifikat die Verschlüsselung selbst zu. Das tut es keineswegs. HTTPS, die sichere Art, wie eine Seite lädt, verschlüsselt die Verbindung. Das Zertifikat ist der Berechtigungsnachweis, der dem Browser genug Vertrauen in Ihre Website gibt, um diese Verbindung überhaupt erst zu öffnen. Falls das nach einer spitzfindigen Unterscheidung klingt: Genau deshalb sollten Sie nichts davon selbst verwalten. Der Mechanismus ist subtil, und bei subtilen Mechanismen neigt eine Einrichtung in Eigenregie dazu, unbemerkt schiefzugehen.

Beeinflusst HTTPS Ihre SEO?

Dass Ihre Website über HTTPS ausgeliefert wird, gilt weithin als eine der grundlegenden Anforderungen, auf die eine Suchmaschine achtet, und eine Website ohne HTTPS kann gegenüber einer mit HTTPS im Nachteil sein. Das ist gut zu wissen. Aber es ist nur der kleinere Teil der Geschichte.

Der größere Teil ist der Besucher. Browser können Besucher vor Websites warnen, die kein gültiges Zertifikat vorweisen, auch wenn von Fall zu Fall unterschiedlich ist, wie deutlich sie das tun. Stellen Sie sich einen Kunden vor, der Sie gefunden, sich durchgetippt und dann statt Ihrer Seite eine Sicherheitswarnung vorgefunden hat. Viele Menschen gehen in diesem Moment einfach wieder, und manche kommen nie zurück, um es erneut zu versuchen. Das kann eine verlorene Anfrage sein, eine, die Sie vielleicht nirgends verzeichnet sehen. Ehrlich gesagt lässt es sich so formulieren: HTTPS kann beeinflussen, wie eine Suchmaschine Sie behandelt, aber es schützt unmittelbarer, ob ein echter Mensch, der Sie bereits gefunden hat, auch tatsächlich bei Ihnen ankommt.

„Aber meine Website nimmt keine Zahlungen an, warum also der Aufwand?“

Das ist der stärkste Einwand, und er verdient eine faire Antwort statt einer Abfuhr. Wenn Sie eine reine Broschüren-Website ohne Shop und ohne Logins betreiben, ist es berechtigt zu fragen, was es da überhaupt zu schützen gibt.

Die Antwort lautet: Jede Website hat eine Verbindung, und eine Verbindung kann manipuliert werden, nicht nur abgehört. Angenommen, Sie führen einen Installationsbetrieb mit nichts als Ihren Leistungen und einem Kontaktformular. Dieses Formular trägt trotzdem einen Namen, eine Telefonnummer und eine Adresse, die jemand im Vertrauen auf Sie eingegeben hat. Und eine Seite, die über eine ungeschützte Verbindung ausgeliefert wird, kann im Prinzip auf dem Weg verändert werden, bevor sie den Leser erreicht, ein Risiko, das nichts damit zu tun hat, ob Sie etwas verkaufen. Nimmt man das Problem der Browser-Warnung hinzu, zerfällt das Argument „Ich habe nichts zu schützen“ selbst bei der einfachsten Website.

Der nicht offensichtliche Kompromiss, den niemand erwähnt

Hier kommt der Teil, den Ihnen niemand verrät, der Ihnen SSL als Upgrade verkaufen will. Moderne Zertifikate sind bewusst kurzlebig. Sie werden für einen begrenzten Zeitraum ausgestellt und laufen dann absichtlich ab, denn ein Berechtigungsnachweis, der ewig gilt, ist ein Berechtigungsnachweis, der unbemerkt gestohlen und für immer missbraucht werden kann. Kürzere Laufzeiten sind das sicherere Konzept.

Aber diese Sicherheit hängt an einer Sache: dass das Zertifikat erneuert wird, bevor es abläuft. Auch eine Erneuerung von Hand hält es gültig, solange sie tatsächlich rechtzeitig geschieht. Das eigentliche Risiko ist, dass eine manuelle Erneuerung leichter vergessen wird, und wenn ein Zertifikat abläuft, gehen der Schutz und das Vertrauen mit ihm verloren. Der Kompromiss lässt sich also klar benennen: Der sicherere moderne Ansatz ist zugleich derjenige, der eine verpasste Erinnerung am härtesten bestraft. Er belohnt eine Einrichtung, bei der sich niemand etwas merken muss, und er geht für den gutmeinenden Inhaber schief, der sich eine Erinnerung in den Kalender geschrieben hat und dann einen arbeitsreichen Monat hatte.

Der SSL-Check, den Sie heute selbst auf Ihrer Website durchführen können

Sie müssen kein Technikexperte sein, um Ihre eigene Website grob zu überprüfen. Hier ist ein Fünf-Punkte-Check, den Sie selbst durchführen können.

Rufen Sie Ihre Adresse auf die unsichere Weise auf. Tippen Sie Ihre Webadresse beginnend mit http:// ein und drücken Sie die Eingabetaste. Eine gut konfigurierte Website neigt dazu, Sie von selbst auf die sichere Version umzuleiten.
Klicken Sie sich durch Ihre eigenen Seiten. Gehen Sie Ihre wichtigsten Seiten so durch, wie es ein Kunde tun würde. Achten Sie darauf, ob die Verbindung überall sicher bleibt oder ob eine ältere Seite oder ein eingebundenes Bild sie unbemerkt unterbricht.
Prüfen Sie die Seite, auf der Ihr Formular liegt. Öffnen Sie Ihr Kontakt- oder Buchungsformular und vergewissern Sie sich, dass die Verbindung auf dieser Seite noch sicher ist, denn genau dort gibt jemand im Vertrauen auf Sie einen Namen, eine Telefonnummer und eine Adresse ein.
Fragen Sie, wann das Zertifikat erneuert wird und ob die Erneuerung automatisch erfolgt. Wenn die ehrliche Antwort lautet „Jemand erneuert es von Hand“, behandeln Sie das als Risiko und nicht als Beruhigung.
Benennen Sie, wer verantwortlich ist. Die Erneuerung, die Weiterleitung auf die sichere Version und die zugrunde liegende Einrichtung können bei unterschiedlichen Personen oder Diensten liegen. Für jeden Punkt sollte eindeutig jemand zuständig sein. Wenn Sie nicht benennen können, wer das ist, dann ist genau diese Lücke der Befund.

Wenn Sie diese fünf Punkte durchgehen und alles standhält, gut. Wenn einer davon Sie stutzig macht, haben Sie etwas Nützlicheres gelernt als jede Beruhigung, die Ihnen eine Verkaufsseite geben könnte.

Warum das für Sie unsichtbar sein sollte

Der Maßstab für eine gut geführte Website ist nicht, dass ihre Sicherheit beeindruckend ist. Er ist, dass Sie nie darüber nachdenken. Sie sollten sich keinen Erneuerungstermin in den Kalender eintragen, keine Warnung entschlüsseln und sich nicht fragen müssen, ob eine ältere Seite unbemerkt aufgehört hat, über eine sichere Verbindung zu laden. Das ist Wartungsarbeit, und sie kann mehrere zusammenwirkende Bestandteile umfassen, die einen Menschen brauchen, der ein Auge darauf hat, damit in einem ruhigen Monat nichts abläuft.

Ihre Aufgabe ist es, Ihr Unternehmen zu führen. Wenn Sie Ihre eigene Website auf einer eigenen Domain haben, sicher gehalten von jemandem, dessen tatsächliche Aufgabe das ist, wird das Zertifikat zu dem, was es immer hätte sein sollen: etwas, wovon Sie ständig profitieren und woran Sie nie denken. Die beste Version dieses Themas ist für einen Inhaber eines kleinen Unternehmens die, bei der Sie nach dieser Lektüre wieder an die Arbeit gehen und es vollständig vergessen, weil jemand anderes dafür sorgt, dass Sie das können.