Kostenlose SSL/TLS-Zertifikate: Anbieter, Vor- und Nachteile
Ein fehlendes „s“ hinter dem „http“ kann potenzielle Besucher sofort abschrecken. Wer heute eine Website betreibt, kommt deshalb an SSL/TLS-Zertifikaten nicht vorbei. Sie sichern die Verbindung, schützen Daten vor neugierigen Blicken und sind längst ein Standard für Vertrauen im Netz. Das Beste: Es geht auch kostenlos.
Bei Anbietern wie Let’s Encrypt und Cloudflare erhalten Sie Gratis-SSL/TLS-Zertifikate, die alle Sicherheitsanforderungen erfüllen. Welche Vor- und Nachteile sie aufweisen und wie Sie eins bekommen, erfahren Sie in unserem Artikel.
Was ist ein SSL/TLS-Zertifikat?
Ein SSL/TLS-Zertifikat ist ein digitaler Nachweis, der eine Website als vertrauenswürdig ausweist und gleichzeitig eine verschlüsselte Verbindung ermöglicht. Die Begriffe „SSL“ und „TLS“ beziehen sich auf die zugrunde liegende Verschlüsselungstechnologie. Beide verfolgen dasselbe Ziel: Daten vor dem Zugriff Dritter zu schützen.
SSL („Secure Sockets Layer“) ist ein Protokoll, das das Internetprotokoll TCP/IP um eine zusätzliche Sicherheitsschicht erweitert. Es verschlüsselt die Datenübertragung zwischen Client (z. B. dem Browser eines Website-Besuchers) und Server, sodass keine Dritten mitlesen oder Daten abfangen können.
TLS („Transport Layer Security“) ist der offizielle Nachfolger von SSL. TLS ist technisch ausgereifter und sicherer und wird seit 1999 als Standard eingesetzt. Wenn heute von „SSL-Zertifikaten“ die Rede ist, ist in der Praxis also meist TLS gemeint.
Man kann sich ein Zertifikat wie einen digitalen Ausweis für Websites vorstellen: Erst wenn der Browser diesen Ausweis erfolgreich geprüft hat, wird die verschlüsselte Verbindung aufgebaut. Für Online-Shops und andere Anwendungen, die sensible Daten austauschen, ist das unverzichtbar. Seit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) am 25. Mai 2018 müssen personenbezogene Daten in der EU ohnehin verschlüsselt übertragen werden.
Hauptzweck eines SSL/TLS-Zertifikats ist die Authentifizierung der Webseite. Dafür enthält es folgende Daten:
Domain-Name der Webseite, für die das Zertifikat erstellt wurde, und wer sich hinter dem Namen verbirgt.
Mit der Hauptdomain verknüpfte Subdomains und – je nach Zertifikatstyp – auch Informationen über das Unternehmen, dem die Website gehört.
Name und digitale Signatur der Organisation, die das Zertifikat erstellt hat.
Ausstellungs- und Verfalldatum des Zertifikats. Seit September 2020 beträgt die maximale Gültigkeitsdauer 13 Monate, doch in den kommenden Jahren wird sie stufenweise verkürzt: ab 2026 auf sechs Monate, ab 2027 auf drei Monate und ab 2029 auf 1,5 Monate (47 Tage).
Public Key, der zur Webseite gehört, damit eine asymmetrisch verschlüsselte Verbindung (Public-Private-Key Verschlüsselung) aufgebaut werden kann.
Daran erkennen Sie SSL/TLS-Zertifikate
Ob eine Website ein gültiges SSL/TLS-Zertifikat besitzt, können Sie blitzschnell im Browser überprüfen.
Die meisten modernen Browser zeigen bei gesicherten Verbindungen ein Symbol – in der Regel ein Schloss – links neben der URL an. Bei Chrome klicken Sie beispielsweise auf das Regler-Symbol neben der Adressleiste, um ein Pop-up-Fenster mit Verbindungsinformationen zu öffnen. Wenn die Verbindung sicher ist, sehen Sie ein Schloss und den Hinweis „Verbindung ist sicher“.
Im Browser können Sie sofort erkennen, ob eine Website ein SSL/TLS-Zertifikat hat.
Wenn Sie auf die Schaltfläche klicken, können Sie auch Details zum Zertifikat einsehen – etwa zum Gültigkeitszeitraum, der ausstellenden Zertifizierungsstelle oder dem Domainnamen.
Sie können Informationen zum Zertifikat und der Website einsehen.
Noch einfacher lässt sich erkennen, wenn eine Website kein SSL/TLS-Zertifikat hat. Dann sehen Sie im Browser-Fenster eine unmissverständliche Warnung, dass die Verbindung nicht sicher ist – wie etwa hier bei Chrome:
Bei Websites ohne SSL/TLS-Zertifikat spricht der Browser eine Warnung aus.
Ein weiterer Hinweis auf eine gesicherte Verbindung ist das Kürzel „https://“ am Anfang der URL. Das zusätzliche „s“ steht für „secure“ und zeigt an, dass die Verbindung per SSL/TLS verschlüsselt wird.
Was passiert, wenn man eine Seite mit SSL/TLS-Zertifikaten besucht?
Tippen Sie eine HTTPS-Adresse in die Browserleiste ein, geschieht Folgendes:
- 1.
Der Server zeigt dem Client (Ihrem Rechner) sein Zertifikat. Ist der Herausgeber in der Liste der vertrauenswürdigen Herausgeber enthalten, ist die Integrität der Webseite bewiesen.
- 2.
Der Client erhält den öffentlichen Schlüssel des Servers. Der private Schlüssel bleibt dagegen beim Server.
- 3.
Mit dem öffentlichen und dem privaten Schlüssel berechnen Client und Server einen gemeinsamen, dritten kryptografischen Schlüssel (symmetrische Verschlüsselung), der anderen nicht zur Verfügung steht. Damit tauschen sie untereinander Daten sicher aus.
Nachdem die Verschlüsselung zwischen Client und Server zustande kommt, können Dritte die Nachrichten nicht mehr sehen.
Wie bekomme ich ein kostenloses SSL/TLS-Zertifikat?
Es gibt mehrere Möglichkeiten, um kostenlos ein gültiges SSL/TLS-Zertifikat zu erhalten. Die bekanntesten Anbieter sind Let’s Encrypt und Cloudflare.
Let’s Encrypt
Let’s Encrypt ist ein Projekt der Internet Security Research Group (ISRG), das unter anderem von der Linux Foundation unterstützt wird. Es stellt seit 2016 kostenlose, öffentlich anerkannte SSL/TLS-Zertifikate bereit. Nach eigenen Angaben wurden bereits Zertifikate an über 600 Millionen Websites ausgestellt.
Zertifikate von Let’s Encrypt sind standardmäßig 90 Tage gültig, können aber automatisiert verlängert werden. Es gibt drei gängige Wege, ein solches Zertifikat zu erhalten:
- 1.
Dabei fordert Let’s Encrypt eine sogenannte Challenge an – z. B. über einen DNS-Eintrag oder eine Datei, die auf dem Server abgelegt wird. Nach erfolgreicher Verifizierung wird das Zertifikat automatisch installiert und kann regelmäßig erneuert werden.
- 2.
Über den Hosting-Anbieter
Viele Hosting-Anbieter haben Let’s Encrypt direkt integriert. Wer keinen Shell-Zugang hat, kann das Zertifikat in der Regel mit wenigen Klicks über das Kundenmenü aktivieren. - 3.
Manuell mit Certbot (ohne Shell-Zugang)
Falls der Hoster Let’s Encrypt nicht unterstützt, lässt sich Certbot auch im manuellen Modus verwenden. Indem Sie eine bestimmte Datei auf dem Hosting-Server hochladen, beweisen Sie, dass Sie die Domain besitzen. Das SSL/TLS-Zertifikat laden Sie dann ebenfalls manuell auf dem Server hoch.
Cloudflare
Auch der Anbieter von Cybersecurity-Lösungen und Cloud-Services Cloudflare stellt seit 2014 kostenlose SSL/TLS-Zertifikate bereit. Dafür sind folgende Schritte notwendig:
Schritt 1: Erstellen Sie ein kostenloses Cloudflare-Konto. Dafür steht der Tarif „Free“ zur Verfügung.
Schritt 2: Fügen Sie dem Konto die gewünschte Website (Domain) hinzu.
Schritt 3: Wählen Sie die gewünschte Option:
Mit „Flexible“ erhalten Nutzer ein SSL/TLS-Zertifikat, das den Datenverkehr von den Webseitenbesuchern zum Cloudflare-Server verschlüsselt, aber nicht vom Cloudflare-Server zum Hoster-Server.
„Full“ und „Full Strict“ garantieren dagegen eine Ende-zu-Ende-Verschlüsselung. Bei „Full Strict“ muss das Zertifikat zusätzlich aus einer geprüften Zertifizierungsstelle stammen, während „Full“ auch von Cloudflare herausgegebene (Origin CA) oder selbst signierte Zertifikate erlaubt.
Schritt 4: Entscheidet man sich beispielsweise für ein Origin CA Zertifikat von Cloudflare, erstellt die Software eine sogenannte Zertifikatsignierungsanforderung (Certificate Signing Request, Endung .crt) und einen Privatschlüssel (Private Key, Endung .key). Beide Dateien werden lokal gespeichert.
Schritt 5: Wählen Sie die Domain, für die das Zertifikat erstellt werden soll.
Schritt 6: Erstellen Sie das SSL/TLS-Zertifikat.
Schritt 7: Laden Sie das Zertifikat auf dem Hosting-Server hoch.
Welche Art von SSL/TLS-Zertifikat brauche ich?
SSL/TLS-Zertifikate lassen sich nach zwei Kriterien unterscheiden:
- 1.
Wie streng die Identität des Antragstellers geprüft wird
- 2.
Für wie viele (Sub-)Domains das Zertifikat gilt
Sehen wir uns beide Kategorien genauer an:
Zertifikatstypen nach Validierungsniveau
Je nachdem, welche Einträge überprüft werden, unterteilt man SSL/TLS-Zertifikate in folgende Kategorien:
- 1.
Bei Domain-validierten SSL/TLS-Zertifikaten prüft der Herausgeber nur, ob der Antragsteller die Domain besitzt. Beispielsweise sendet er eine Test-Mail, um zu schauen, ob die E-Mail-Adresse des Antragstellers mit der in der Whois-Datenbank eingetragenen E-Mail-Adresse übereinstimmt.
Die Whois-Liste ist eine Datenbank, die einem Telefonbuch ähnelt. Sie enthält Informationen zu den existierenden Domains und ihren Inhabern. Hat die Webseite ein Domain-validiertes SSL/TLS-Zertifikat erhalten, erscheint in der Browserleiste ein Schloss. - 2.
Bei Organisation-validierten SSL/TLS-Zertifikaten überprüft die ausstellende Organisation auch das Unternehmen, das die Domain besitzt. Dafür benötigt sie in der Regel Dokumente wie den Handelsregisterauszug oder die Gewerbeanmeldung.
Gewisse Informationen über das Unternehmen (Adresse und Sitz) erhalten Endnutzer, wenn sie auf das Schlosssymbol links von der URL klicken. - 3.
Die Extended-Validation-Zertifizierung ist die aufwändigste SSL/TLS-Zertifizierung und bestimmten Zertifizierungsstellen vorbehalten. Hier verifiziert der Herausgeber nicht nur das Unternehmen, sondern auch die Identität der Geschäftsführer. Zudem prüft er, ob der Antragsteller befugt ist, das SSL/TLS-Zertifikat im Namen des Unternehmens zu beantragen.
Frühere Browserversionen stellten ein Extended-Validation Zertifikat mit einer grünen Adressleiste dar. Neuere verzichten auf diese Darstellung, jedoch sind relevante Informationen mit einem Klick auf das Schlosssymbol einsehbar.
Zertifikatstypen nach Domainabdeckung
Unabhängig vom Validierungsniveau kann sich ein SSL/TLS-Zertifikat auf eine oder mehrere Domains bzw. Subdomains beziehen. Man unterscheidet hier drei Varianten:
- 1.
Single – hier prüft der Herausgeber eine einzige Domain, beispielsweise sport.de.
- 2.
Wildcard – diese Art von SSL/TLS-Zertifikat bescheinigt die Integrität von einer Domain und der dazugehörigen Subdomains, beispielsweise sport.de, fussball.sport.de und wetten.sport.de.
- 3.
Multidomain – dieses Zertifikat gilt für mehrere Domains, zum Beispiel sport.de und fitness.de.
Viele bekannte Webhosting-Anbieter wie IONOS, STRATO oder dogado stellen ihren Kunden entweder bei bestimmten oder bei allen Tarifen ein oder mehrere kostenlose SSL/TLS-Zertifikate zur Verfügung. Es lohnt sich also, vor dem Vertragsabschluss auf die Bedingungen zu schauen. Einen umfassenden Vergleich finden Sie in unserer Liste der Webhosting-Anbieter.
Welche Vor- und Nachteile bietet ein kostenloses SSL/TLS-Zertifikat?
Kostenlose SSL/TLS-Zertifikate sind gerade bei kleineren Websites die Norm, weil sie viele Vorteile bieten.
Keine Kosten
Wer ein Business startet, muss viele Ausgaben ohne entsprechenden Umsatz bewältigen. Gratis SSL/TLS-Zertifikate entlasten das Budget. Auch für Blogger sind sie eine gute Alternative zu bezahlten Paketen.Hohe Sicherheit
Kostenlose SSL/TLS-Zertifikate nutzen die gleichen Verschlüsselungsalgorithmen wie kostenpflichtige Zertifikate, um die verschlüsselten Daten zu übertragen. Die digitale Signatur besteht meist aus einem ebenfalls sicheren 4096-Bit-RSA-Schlüssel.Schnelle Ausstellung
Da das Verfahren automatisiert ist, wird das SSL/TLS-Zertifikat in der Regel sofort ausgestellt. Kostenpflichtige Anbieter prüfen dagegen oft Einträge manuell, was länger dauert.Hohe Transparenz
Das Prüfverfahren ist bei Anbietern wie Let’s Encrypt und Cloudflare verständlich dargestellt. Auch technisch weniger versierte Webseitenbesitzer können alle Schritte nachvollziehen.Unabhängigkeit
Initiativen wie Let’s Encrypt sind gemeinnützig. Zwar stecken dahinter große Unternehmen wie Linux, Mozilla und Google, dennoch ist das Projekt im Gegensatz zu kostenpflichtigen SSL/TLS-Zertifikaten nicht profitorientiert, was seine Glaubwürdigkeit erhöht.
Gleichzeitig haben Nutzer von kostenlosen SSL/TLS-Zertifikaten auch Nachteile:
Begrenzte Zertifikatstypen
Meist sind nur Domain-validierte SSL/TLS-Zertifikate kostenlos. Eine Überprüfung des Unternehmens ist somit nicht möglich.Automatische Überprüfung
Bei bezahlten SSL/TLS-Zertifikaten prüft der Herausgeber die Antragsteller detaillierter. Beispielsweise rufen Mitarbeitende das Unternehmen an oder schauen sich die Einträge im Handelsregister an. Das hilft, Betrüger zu erkennen.Kostenlose SSL/TLS-Zertifikate haben dagegen gelegentlich auch Hacker erhalten. Darunter kann die Glaubwürdigkeit leiden, obwohl die meisten Websites ehrlich sind.
Fehlender Kundenservice
Gibt es technische Probleme, hilft bei kostenlosen Anbietern keine Hotline, sondern meist gibt es nur Community-Foren. Das ist insbesondere für technisch weniger versierte Webseiteninhaber problematisch.Keine Garantie
Ist das Zertifikat fehlerhaft und entsteht ein finanzieller Schaden, steht Webseiteninhabern bei kostenlosen SSL/TLS-Zertifikaten keine Entschädigung zu. Das passiert zwar selten, ist aber möglich.
Fazit
Kostenlose SSL/TLS-Zertifikate sind vor allem für Inhaber von kleinen Unternehmen und Anfänger eine vorteilhafte Lösung, um die Sicherheit ihrer Besucher zu garantieren, ohne dass sie allzu viel Zeit investieren müssen. Große Unternehmen sollten hingegen auf ein Organisation-validiertes SSL/TLS-Zertifikat setzen, um ihre Integrität zu beweisen. Oft lohnt es sich, Pakete zu nutzen, bei denen das SSL/TLS-Zertifikat bereits im Webhosting-Tarif enthalten ist.
