So bekommst du ein kostenloses SSL-Zertifikat

Was ein SSL-Zertifikat macht

Genau genommen nutzen heutige Verbindungen TLS, den Nachfolger von SSL, aber alle sagen weiterhin „SSL-Zertifikat“. Ein Zertifikat erfüllt zwei Aufgaben:

• Verschlüsselung: Passwörter, Formulare und Zahlungen werden verschlüsselt übertragen, sodass niemand im Netzwerk sie lesen oder verändern kann.
• Identität: Eine Zertifizierungsstelle (CA) hat geprüft, dass derjenige, der das Zertifikat beantragt hat, die Domain kontrolliert.

Kostenlose Zertifikate sind domainvalidiert (DV): Die CA prüft nur, dass du die Domain kontrollierst. Die Verschlüsselung ist genauso stark wie bei einem kostenpflichtigen Zertifikat. Kostenpflichtige OV- und EV-Zertifikate prüfen zusätzlich die Organisation hinter der Website, was manche Unternehmen wollen, aber Browser zeigen bei allen dasselbe Schloss.

Die kostenlosen Optionen im Vergleich

Alle verschlüsseln gleich gut. Der Unterschied liegt darin, wie sie ausgestellt und verlängert werden, und das wird jedes Jahr wichtiger.

Warum die automatische Verlängerung zählt

Zertifikate werden in der ganzen Branche immer kurzlebiger. Nach den Regeln des CA/Browser Forum darf ein öffentliches Zertifikat seit März 2026 höchstens 200 Tage gültig sein, ab März 2027 höchstens 100 Tage und ab März 2029 höchstens 47 Tage.

Zertifikate von Let's Encrypt gelten heute 90 Tage. Die Standardzertifikate wechseln im Februar 2027 auf 64 Tage und im Februar 2028 auf 45 Tage. Außerdem verschickt Let's Encrypt seit 2025 keine Erinnerungsmails vor dem Ablauf mehr, es warnt dich also niemand, bevor ein Zertifikat ausläuft.

Die praktische Lehre: Verlängere Zertifikate nie von Hand. Nutze etwas, das sie selbstständig erneuert, etwa AutoSSL in cPanel oder Certbot auf einem VPS, und prüfe ab und zu, ob es funktioniert.

Auf Shared Hosting: AutoSSL in cPanel

Bei Hosting mit cPanel gibt es meist nichts zu tun. AutoSSL beantragt für jede Domain im Account, die auf den Server zeigt, ein Let's-Encrypt-Zertifikat, installiert es und verlängert es vor dem Ablauf.

1. Richte deine Domain auf das Hosting aus: Trag die Nameserver oder den A-Record ein, die du von deinem Hoster bekommen hast, und warte, bis sich das DNS aktualisiert.
2. Öffne in cPanel Security → SSL/TLS Status. Für jede Domain siehst du, ob sie abgedeckt ist, bald abläuft oder ein AutoSSL-Problem hat.
3. Ist eine Domain noch nicht abgedeckt, klick auf Run AutoSSL. Das klappt erst, wenn die Domain auf den Server zeigt.
4. Öffne deine Website mit https:// und prüfe das Schloss. Bei WordPress stellst du auch die Website-Adresse auf https:// um.

Beim HytHost Webhosting ist AutoSSL mit Let's Encrypt in jedem Tarif aktiv und deckt jede Domain und Subdomain ab, die du hinzufügst, sobald sie auf den Server zeigt. Was cPanel sonst noch kann, erklärt was ist cPanel.

Auf einem VPS: Certbot mit nginx

Auf deinem eigenen Server holt Certbot von der EFF Let's-Encrypt-Zertifikate und verlängert sie. Der offizielle Weg unter Ubuntu nutzt das Snap-Paket:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Stell sicher, dass der A-Record deiner Domain auf den VPS zeigt, dass nginx einen server_name dafür hat und dass die Ports 80 und 443 in der Firewall offen sind. Dann führe aus:

sudo certbot --nginx -d example.com -d www.example.com

Certbot weist nach, dass du die Domain kontrollierst, trägt das Zertifikat in deine nginx-Konfiguration ein und kann HTTP auf HTTPS umleiten. Außerdem installiert es einen Timer, der Zertifikate automatisch verlängert. Teste die Verlängerung einmal:

sudo certbot renew --dry-run

Hinter Cloudflare

Läuft deine Domain mit aktivierter orangefarbener Wolke über Cloudflare, verbinden sich Besucher mit Cloudflare, das ihnen sein kostenloses Universal-SSL-Zertifikat zeigt. Das deckt nur die halbe Strecke ab: Cloudflare verbindet sich weiterhin mit deinem Server.

• Stell den SSL/TLS-Modus auf Full (strict). Dann verlangt Cloudflare ein gültiges Zertifikat auf deinem Server, und der ganze Weg ist verschlüsselt und geprüft.
• Gib deinem Server ein Zertifikat: Let's Encrypt über AutoSSL oder Certbot funktioniert, ebenso ein kostenloses Cloudflare-Origin-CA-Zertifikat. Einem Origin-CA-Zertifikat vertraut nur Cloudflare, Besucher sehen also Fehler, falls du den Proxy jemals abschaltest.
• Vermeide den Modus Flexible. Er lässt die Verbindung zu deinem Server unverschlüsselt und verursacht oft Weiterleitungsschleifen.

Häufige SSL-Probleme und Lösungen

• Das Zertifikat wird nicht ausgestellt: Die Domain zeigt noch nicht auf den Server, oder das DNS hat die alte Adresse noch im Cache. Prüfe den A-Record und warte ab.
• Ein CAA-Record blockiert es: Wenn dein DNS CAA-Records hat, müssen sie die verwendete CA erlauben, zum Beispiel 0 issue "letsencrypt.org".
• Die Validierung schlägt auf einem VPS fehl: Let's Encrypt prüft standardmäßig über Port 80, also lass Port 80 offen, auch wenn die Website auf HTTPS umleitet.
• „Nicht sicher“ trotz Zertifikat: Die Seite lädt Bilder oder Skripte über http:// (gemischte Inhalte). Ändere diese Links auf https://.
• Ein Wildcard-Zertifikat: *.example.com erfordert eine DNS-Validierung und funktioniert daher nur mit einem DNS-Plugin oder Anbieter, der den Prüf-Record anlegen kann.
• Das Zertifikat ist abgelaufen: Die automatische Verlängerung funktioniert nicht mehr. Prüfe die Seite SSL/TLS Status in cPanel oder führe auf dem VPS certbot renew --dry-run aus und lies die Fehlermeldung.