ON. WebMeter

SSL-Zertifikat und HTTPS prüfen

Das Schloss in der Adressleiste ist erst der Anfang. Sehen Sie, was bei Zertifikat und HTTPS alles stimmen muss und was WebMeter davon für Sie prüft.

Aktualisiert

Was ein SSL-Zertifikat und HTTPS sind

Ein Zertifikat (genau genommen heute TLS, der Name SSL hat sich gehalten) bestätigt, dass der Browser mit dem echten Server Ihrer Domain spricht, und ermöglicht eine verschlüsselte HTTPS-Verbindung. Dafür muss das Zertifikat gültig und auf den richtigen Namen ausgestellt sein, der Server muss die vollständige Zertifikatskette bis zu einer vertrauenswürdigen Stelle senden und aktuelle Versionen des TLS-Protokolls verwenden.

Warum das für kleine Unternehmen wichtig ist

Läuft ein Zertifikat ab, zeigt der Browser statt der Website eine ganzseitige Warnung, und die meisten Besucher gehen. Formulare und Logins ohne HTTPS senden Daten im Klartext. Zudem werden Zertifikate immer kürzer gültig: Ab dem 15. März 2026 ausgestellte gelten höchstens 200 Tage, ab 2027 werden es 100 und ab 2029 nur noch 47 Tage sein. Eine manuelle Erneuerung einmal im Jahr reicht damit nicht mehr.

Häufige Fehler beim SSL-Zertifikat

  • Das Zwischenzertifikat fehlt. Der Computer öffnet die Website, aber manche Smartphones, Zahlungsdienste oder andere Programme lehnen die Verbindung ab.
  • Nicht alle Varianten führen auf HTTPS. Die Adresse mit oder ohne www, oder mit http://, bleibt unverschlüsselt oder endet mit einem Fehler.
  • Der Server unterstützt noch TLS 1.0 und 1.1, die seit 2021 veraltet sind (RFC 8996). TLS 1.2 und 1.3 genügen.
  • HSTS fehlt. Der Header Strict-Transport-Security weist den Browser an, die Website nur über HTTPS zu öffnen. Ohne ihn kann ein Angreifer im Netz jeden Besuch abfangen, der über eine Adresse ohne https beginnt, und ihn unverschlüsselt halten. Selbst den allerersten Besuch schützt erst ein Eintrag in der HSTS-Preload-Liste.
  • Gemischte Inhalte: Eine Seite unter HTTPS lädt Bilder oder Skripte über http://.

Was WebMeter prüft und was nicht

WebMeter baut dieselbe Verbindung auf wie ein Browser und prüft Gültigkeit und bevorstehenden Ablauf des Zertifikats, Namensübereinstimmung, Kette und Vertrauen, Schlüsselstärke, Widerruf über OCSP (sofern das Zertifikat es angibt), unterstützte TLS-Versionen, schwache Verschlüsselungsverfahren und die Weiterleitung der erreichbaren Varianten mit und ohne www auf HTTPS. Es weist auf gemischte Inhalte, fehlendes HSTS und eine vermutlich manuelle Erneuerung des Zertifikats hin.

Die Prüfung ist passiv: Sie testet keine Schwachstellen und nicht alle Verschlüsselungsverfahren, prüft eine IP-Adresse des Servers und nur die eingegebene Domain, nicht den Mailserver oder andere Subdomains. Zertifikate von Let's Encrypt enthalten seit 2025 keine OCSP-Adresse mehr, und Sperrlisten (CRL) liest WebMeter nicht. Die geschätzte Note nach der Methodik von SSL Labs ist ein Richtwert.

Prüfen Sie Ihre Website kostenlos

Geben Sie Ihre Domain ein und sehen Sie in etwa einer Minute den Stand von Zertifikat und HTTPS, zusammen mit den übrigen Bereichen Ihrer Website.

Website prüfen

Sie wissen mit dem Ergebnis nichts anzufangen? Wir bieten eine unverbindliche Beratung an, schreiben Sie einfach an kontakt@webmeter.eu.

FAQ zum SSL-Zertifikat

Wie oft muss ein SSL-Zertifikat erneuert werden?

Das hängt vom Ausstellungsdatum ab. Zertifikate, die ab dem 15. März 2026 ausgestellt werden, gelten höchstens 200 Tage, ab März 2027 sind es 100 Tage und ab März 2029 nur noch 47 Tage. Deshalb lohnt sich die automatische Erneuerung über das ACME-Protokoll, die die meisten Hoster heute kostenlos anbieten.

Reicht das Schloss im Browser nicht aus?

Das Schloss zeigt nur, dass die Verbindung verschlüsselt ist und der Browser das Zertifikat akzeptiert hat. Es verrät nicht, ob der Server noch veraltete TLS-Versionen unterstützt, ob alle Varianten der Adresse auf HTTPS führen und wann das Zertifikat abläuft.

Ist ein kostenpflichtiges Zertifikat besser als ein kostenloses von Let's Encrypt?

Für die Verschlüsselung nicht: Browser vertrauen beiden gleich und verschlüsseln gleich. Kostenpflichtige OV- und EV-Zertifikate prüfen zusätzlich das Unternehmen, Browser heben das in der Adressleiste aber nicht mehr hervor.

Prüft WebMeter auch das Zertifikat des Mailservers?

Nein. Geprüft werden das Zertifikat und die HTTPS-Einstellungen der eingegebenen Domain sowie, ob ihre erreichbaren Varianten mit und ohne www und mit http:// auf HTTPS führen. Mailserver, weitere Subdomains und interne Systeme prüft WebMeter nicht.