SSL-Zertifikat prüfen: HTTPS, Gültigkeit und häufige Fehler

Warum HTTPS unverzichtbar ist

Ein SSL-Zertifikat (genauer: ein TLS-Zertifikat) erfüllt zwei Funktionen gleichzeitig. Erstens verschlüsselt es die Verbindung zwischen Browser und Server, sodass Daten auf dem Übertragungsweg nicht mitgelesen oder manipuliert werden können. Zweitens bestätigt es die Identität der Website: Der Browser kann sicher sein, dass er wirklich mit example.com kommuniziert und nicht mit einer gefälschten Seite.

Seit Google 2018 Chrome dazu gebracht hat, alle HTTP-Seiten als “Nicht sicher” zu kennzeichnen, ist HTTPS praktisch zur Pflicht geworden. Ohne gültiges Zertifikat sehen Besucher eine große Warnseite und brechen ihren Besuch in der Regel ab.

Wie SSL und TLS funktionieren

Beim Aufbau einer HTTPS-Verbindung findet zunächst ein TLS-Handshake statt:

Schritt 1: Client Hello Der Browser sendet eine Liste der unterstützten TLS-Versionen und Verschlüsselungsalgorithmen (Cipher Suites) an den Server.

Schritt 2: Server Hello und Zertifikatsübermittlung Der Server wählt die passende TLS-Version und Cipher Suite aus und sendet sein SSL-Zertifikat.

Schritt 3: Zertifikatsprüfung Der Browser prüft das Zertifikat: Ist es von einer vertrauenswürdigen Zertifizierungsstelle (CA) ausgestellt? Ist es noch gültig? Stimmt der Domain-Name überein? Ist die Zertifikatskette vollständig?

Schritt 4: Schlüsselaustausch und verschlüsselte Kommunikation Nach erfolgreicher Prüfung wird ein gemeinsamer Sitzungsschlüssel ausgehandelt. Ab diesem Punkt läuft die gesamte Kommunikation verschlüsselt.

Zertifikatstypen im Überblick

DV (Domain Validation): Der günstigste und einfachste Typ. Die CA prüft nur, ob der Antragsteller die Kontrolle über die Domain hat. Let’s Encrypt stellt ausschließlich DV-Zertifikate aus. Kein Firmenname im Zertifikat.

OV (Organization Validation): Die CA überprüft zusätzlich die Existenz und Identität der Organisation. Im Zertifikat ist der Firmenname hinterlegt. Empfehlenswert für Unternehmenswebsites.

EV (Extended Validation): Strengste Prüfung mit vollständiger Identitätsprüfung der Organisation. Wird von Banken und großen E-Commerce-Plattformen eingesetzt.

Wildcard-Zertifikat: Deckt eine Domain und alle ihre Subdomains ab (*.example.com gilt für www.example.com, shop.example.com etc.).

Multi-Domain-Zertifikat (SAN): Ein Zertifikat für mehrere verschiedene Domains.

Häufige Zertifikatsfehler und ihre Ursachen

Abgelaufenes Zertifikat

Das ist der häufigste Fehler. Browser zeigen eine deutliche Warnseite mit dem Hinweis, dass das Zertifikat abgelaufen ist. Besucher können die Seite in der Regel trotzdem aufrufen (auf eigenes Risiko), tun es aber meist nicht.

Let’s-Encrypt-Zertifikate sollten automatisch über certbot oder acme.sh erneuert werden. Wenn die Automatisierung ausfällt, läuft das Zertifikat nach 90 Tagen ab.

Manuelle Prüfung auf der Kommandozeile:

echo | openssl s_client -connect example.com:443 2>/dev/null | openssl x509 -noout -dates

Falsche Domain im Zertifikat

Das Zertifikat gilt für example.com, aber der Browser ruft www.example.com auf (oder umgekehrt). Browser zeigen eine Warnung über den Namen-Mismatch. Die Lösung ist ein Wildcard-Zertifikat oder ein Multi-Domain-Zertifikat, das beide Varianten abdeckt.

Unvollständige Zertifikatskette

Ein SSL-Zertifikat wird von einer CA ausgestellt, die selbst von einer übergeordneten CA zertifiziert ist. Diese Kette endet bei einem Root-Zertifikat, dem alle Browser vertrauen. Wenn ein Server die Zwischenzertifikate (Intermediate Certificates) nicht mitsendet, kann der Browser die Kette nicht aufbauen und zeigt eine Warnung.

Prüfen mit:

openssl s_client -connect example.com:443 -showcerts

Unsichere Protokollversionen oder Cipher Suites

TLS 1.0 und TLS 1.1 gelten als unsicher. Moderne Browser akzeptieren nur noch TLS 1.2 und TLS 1.3. Auch schwache Verschlüsselungsalgorithmen (wie RC4 oder 3DES) führen zu Warnungen. Der Mozilla SSL Configuration Generator hilft, eine sichere Nginx- oder Apache-Konfiguration zu erstellen.

Zertifikatserneuerung automatisieren

Mit certbot (Let’s Encrypt) auf einem Linux-Server:

# Certbot installieren (Debian/Ubuntu)
apt install certbot python3-certbot-nginx

# Zertifikat ausstellen und Nginx konfigurieren
certbot --nginx -d example.com -d www.example.com

# Automatische Erneuerung einrichten
certbot renew --dry-run

Der Befehl certbot renew prüft alle installierten Zertifikate und erneuert diejenigen, die in weniger als 30 Tagen ablaufen. Ein Cron-Job oder systemd-Timer sorgt dafür, dass diese Prüfung regelmäßig läuft.

SSL-Status von außen prüfen

Das Tool auf dieser Seite zeigt, ob eine Website über HTTPS erreichbar ist und einen gültigen HTTP-200-Status zurückgibt. Für eine detaillierte Zertifikatsanalyse (Gültigkeitsdatum, Ausstellende CA, Cipher Suite) gibt es spezialisierte Online-Dienste.

Gerade bei vielen verwalteten Domains lohnt es sich, ein aktives Monitoring einzurichten, das rechtzeitig vor dem Ablauf von Zertifikaten warnt. Eine abgelaufene Website kostet Vertrauen, das schwer zurückzugewinnen ist.

Zusammenfassung

Ein gültiges SSL-Zertifikat ist heute die Mindestanforderung für jede öffentliche Website. Let’s Encrypt hat kostenlose Zertifikate für alle zugänglich gemacht. Die wichtigsten Punkte: automatische Erneuerung einrichten, Zertifikatskette vollständig ausliefern, TLS 1.2 und 1.3 aktiv halten und ältere Protokolle deaktivieren. Regelmäßige Prüfungen von außen helfen, Probleme zu erkennen, bevor Besucher davon betroffen sind.