SSL-Zertifikat abgelaufen oder fehlerhaft? Ursachen, kürzere Laufzeiten und Lösung

Warnt der Browser vor Ihrer Website, ist das Zertifikat meist abgelaufen, gilt nicht für die aufgerufene Adresse, oder die Seite lädt Inhalte unverschlüsselt nach. Welche Ursache zutrifft, sehen Sie in einer Minute: Klicken Sie im Browser auf das Symbol links neben der Adresse und lassen Sie sich das Zertifikat anzeigen. Dort stehen die Domains, für die es gilt, das Ablaufdatum und der Aussteller. Das Symbol in der Adresszeile allein verrät allerdings nur die halbe Wahrheit – ob http:// sauber weiterleitet, ob die Seite unsichere Inhalte nachlädt und ob Ihr Zertifikat die immer kürzeren Laufzeiten übersteht, sehen Sie dort nicht. Chrome zeigt dort seit Version 117 auch kein Schloss mehr, sondern ein neutrales Symbol für die Website-Einstellungen (Chromium Blog: An Update on the Lock Icon). Dieser Artikel zeigt, worauf es ankommt.

Was ein SSL-Zertifikat eigentlich tut

Das Zertifikat erfüllt zwei Aufgaben. Es verschlüsselt die Verbindung zwischen Browser und Server, sodass niemand unterwegs mitlesen kann, was Besucher in Ihr Kontaktformular tippen. Und es bestätigt, dass der Server wirklich zu Ihrer Domain gehört. Technisch heißt das Verfahren heute TLS, der Name SSL hat sich trotzdem gehalten – gemeint ist dasselbe.

Fehlt das Zertifikat, markieren Chrome, Safari und Firefox die Website als „Nicht sicher“. Ist es ungültig, erscheint statt Ihrer Startseite eine ganzseitige Warnung. Kaum ein Besucher klickt sich da durch.

So prüfen Sie Ihr Zertifikat in einer Minute

1. Website im Browser öffnen und auf das Symbol links neben der Adresse klicken.
2. „Verbindung ist sicher“ bzw. „Zertifikat anzeigen“ wählen. Steht dort eine Warnung, ist das Problem bereits gefunden.
3. Alternative Namen (SAN) prüfen: In den Details des Zertifikats listet das Feld „Subject Alternative Name“ (kurz SAN) alle Domains, für die es gilt. Nur diese Liste zählt für den Browser. Ihre Domain muss genau darin stehen – mit und ohne „www“, sofern Ihre Website unter beiden Varianten erreichbar ist.
4. „Gültig bis“ notieren: Liegt das Datum weniger als zwei Wochen entfernt und verlängert sich das Zertifikat nicht automatisch, besteht Handlungsbedarf.
5. Weiterleitung prüfen: Ob die Adresse mit „http://“ in einem Schritt auf die https-Fassung führt, zeigt unser Weiterleitungs-Check mit jeder Station der Kette. Der Browser selbst hilft hier nicht weiter: Er merkt sich frühere Weiterleitungen und springt oft direkt zur https-Fassung.

Schneller geht es mit unserem Website-Check: Er liest das Zertifikat aus, prüft Ablaufdatum, Protokoll und Weiterleitung und meldet zusätzlich, ob die Seite Inhalte unverschlüsselt nachlädt.

Die vier häufigsten Zertifikatsfehler

Abgelaufen

Der Klassiker: Das Zertifikat wurde vor einem Jahr von Hand eingerichtet, und niemand hat an die Verlängerung gedacht. Seit die Laufzeiten sinken, wird dieser Fehler häufiger. Abhilfe schafft nur die automatische Verlängerung beim Hoster.

Gilt nicht für die aufgerufene Domain

Das Zertifikat gilt für „ihre-firma.de“, die Website ist aber auch unter „www.ihre-firma.de“ erreichbar – oder umgekehrt. Wer die nicht abgedeckte Variante aufruft, sieht eine Warnung. Ein Zertifikat sollte beide Namen in seiner SAN-Liste enthalten, und eine Variante sollte dauerhaft auf die andere weiterleiten.

Keine Weiterleitung von http:// auf https://

Das Zertifikat ist in Ordnung, aber die Website antwortet zusätzlich unverschlüsselt. Alte Links und Lesezeichen führen dann auf die unsichere Fassung, und Google sieht zwei Websites mit identischem Inhalt. Die Lösung ist eine dauerhafte Weiterleitung (Status 301), bei vielen Hostern ein Schalter namens „HTTPS erzwingen“.

Unsichere Inhalte auf der sicheren Seite

Die Seite selbst kommt über HTTPS, bindet aber Bilder, Skripte oder Stylesheets über http:// ein. Browser blockieren diese Teile oder warnen in der Adresszeile – die Seite wirkt kaputt. Das passiert typischerweise nach einer Umstellung auf HTTPS, wenn in Datenbank oder Theme noch alte Adressen stehen.

200, 100, 47 Tage: Warum Zertifikate immer kürzer gelten

Browser-Hersteller und Zertifizierungsstellen haben im CA/Browser Forum (Beschluss SC-081) festgelegt, dass öffentliche Zertifikate schrittweise kürzer gelten:

• seit dem 15. März 2026 höchstens 200 Tage,
• ab dem 15. März 2027 höchstens 100 Tage,
• ab dem 15. März 2029 höchstens 47 Tage.

Der Gedanke dahinter: Ein kompromittiertes oder falsch ausgestelltes Zertifikat soll schneller aus dem Verkehr verschwinden. Für Website-Betreiber heißt das vor allem eines: Wer Zertifikate noch von Hand erneuert, muss das künftig fast jeden Monat tun. Prüfen Sie deshalb jetzt, ob Ihr Hoster Zertifikate automatisch verlängert – die meisten tun das mit Let’s Encrypt längst.

Kostenlos oder kostenpflichtig: Welches Zertifikat brauchen Sie?

Zertifikate unterscheiden sich nicht in der Stärke der Verschlüsselung, sondern darin, was die Zertifizierungsstelle vor der Ausstellung prüft:

• Domainvalidiert (DV): Geprüft wird nur, dass Sie die Domain kontrollieren. Let’s Encrypt stellt solche Zertifikate kostenlos und automatisch aus. Für die allermeisten Firmenwebsites ist das die richtige Wahl.
• Organisationsvalidiert (OV) und Extended Validation (EV): Zusätzlich wird das Unternehmen geprüft. Browser zeigen das heute kaum noch sichtbar an; der Nutzen beschränkt sich auf Sonderfälle mit entsprechenden Vorgaben.

HTTPS allein reicht nicht: HSTS und Sicherheits-Header

Ist die Verschlüsselung eingerichtet, lohnen sich zwei Ergänzungen. Mit HSTS merkt sich der Browser, dass Ihre Website nur verschlüsselt aufgerufen werden darf, und überspringt künftig die unverschlüsselte Anfrage. Sicherheits-Header wie Content-Security-Policy, X-Content-Type-Options oder Referrer-Policy schützen Besucher vor eingeschleusten Skripten und unnötiger Datenweitergabe. Beides sind Zeilen in der Server-Konfiguration – sie kosten nichts und bremsen nichts. Der Website-Check zeigt, welche davon bei Ihnen fehlen. Jeden Header einzeln, mit Beispielen zum Einstellen, prüft unser kostenloser Security-Header-Check.

Wie das bei Cortexion gelöst ist

Bei Websites, die mit Cortexion entstehen, sind SSL und HTTPS inklusive, gehostet wird zu 100 % in Deutschland. Die SSL-Prüfung läuft jede Nacht automatisch mit, zusammen mit Sicherheitsupdates und einem verschlüsselten Backup – um Laufzeiten müssen Sie sich nicht kümmern. Wer seine bestehende Website ohnehin erneuern möchte, findet den Ablauf auf der Seite zum Website-Relaunch mit KI.