Stellen Sie sich vor, ein potenzieller Kunde ruft Ihre Website auf und liest oben in der Adresszeile als Erstes: „Nicht sicher“. Genau das wird in wenigen Wochen für alle Websites passieren, die noch ohne Verschlüsselung laufen. Google hat angekündigt, dass sein Browser Chrome ab Version 68, die für Juli geplant ist, jede HTTP-Seite entsprechend kennzeichnet. Wer noch kein SSL-Zertifikat für die Website hat, sollte jetzt handeln.
Was sich in Chrome ändert
Bisher zeigt Chrome bei unverschlüsselten Seiten ein unauffälliges Info-Symbol. Schon seit dem vergangenen Jahr erscheint der Hinweis „Nicht sicher“, wenn Besucher auf einer HTTP-Seite etwas in ein Formularfeld eingeben. Mit Chrome 68 wird der Hinweis nun auf allen HTTP-Seiten dauerhaft angezeigt, unabhängig davon, ob dort Formulare sind. Weil Chrome der meistgenutzte Browser ist, sieht ein großer Teil Ihrer Besucher diese Warnung. Andere Browserhersteller gehen in eine ähnliche Richtung.
Was ein SSL-Zertifikat eigentlich macht
Ein SSL-Zertifikat, genauer gesagt ein TLS-Zertifikat, sorgt dafür, dass die Verbindung zwischen Browser und Webserver verschlüsselt wird. Sie erkennen das am „https://“ in der Adresse und am Schloss-Symbol. Die Verschlüsselung schützt die übertragenen Daten vor dem Mitlesen und Verändern, etwa im offenen WLAN eines Cafés. Außerdem bestätigt das Zertifikat, dass die Seite tatsächlich zur angegebenen Domain gehört.
Drei gute Gründe für HTTPS
- Vertrauen: Eine Warnung in der Adresszeile kostet Anfragen, gerade bei Kunden, die Sie noch nicht kennen.
- Datenschutz: Seit dem 25. Mai gilt die DSGVO. Wer Kontaktformulare unverschlüsselt überträgt, wird den Anforderungen an die Sicherheit der Verarbeitung kaum gerecht.
- Suchmaschinen: Google hat schon vor einigen Jahren erklärt, HTTPS als Signal für das Ranking zu berücksichtigen. Das ist kein Allheilmittel, aber ein Pluspunkt.
Welches SSL-Zertifikat für die Website?
Zertifikate unterscheiden sich vor allem darin, wie gründlich der Aussteller prüft, wer hinter der Website steht. Die Verschlüsselung selbst ist bei allen gleich stark.
| Typ | Was geprüft wird | Geeignet für |
|---|---|---|
| Domain-validiert (DV) | Nur, dass Sie die Domain kontrollieren | Die meisten Unternehmenswebsites, Blogs, Vereine |
| Organisation-validiert (OV) | Zusätzlich das Unternehmen | Firmen, die die Identität im Zertifikat zeigen wollen |
| Extended Validation (EV) | Ausführliche Prüfung des Unternehmens | Banken, große Shops, besonders sensible Anwendungen |
Für eine typische Mittelstands-Website reicht ein domain-validiertes Zertifikat völlig aus. Solche Zertifikate gibt es über die Initiative Let’s Encrypt kostenlos, und viele Hoster binden sie inzwischen mit wenigen Klicks im Kundenmenü ein. Fragen Sie zuerst bei Ihrem Hoster nach, bevor Sie Geld ausgeben.
So stellen Sie Ihre Website um
- Zertifikat einrichten: beim Hoster aktivieren oder installieren lassen. Achten Sie darauf, dass sowohl die Adresse mit als auch ohne „www“ abgedeckt ist.
- Weiterleitungen setzen: Alle Aufrufe über HTTP sollten dauerhaft (Statuscode 301) auf die HTTPS-Adresse umgeleitet werden. So bleiben alte Links und Suchmaschineneinträge gültig.
- Gemischte Inhalte beseitigen: Wenn eine HTTPS-Seite Bilder, Skripte oder Schriften über HTTP nachlädt, zeigt der Browser trotzdem eine Warnung. Interne Links und eingebundene Dateien auf HTTPS umstellen; bei Content-Management-Systemen hilft oft ein Suchen-und-Ersetzen in der Datenbank.
- Interne Einstellungen anpassen: Im Content-Management-System die Website-Adresse auf HTTPS ändern, ebenso in Formularen und Newsletter-Vorlagen.
- Google informieren: In der Google Search Console die HTTPS-Version als eigene Property anlegen und die Sitemap neu einreichen.
- Testen: Mehrere Seiten in verschiedenen Browsern aufrufen, Formulare ausprobieren, Schloss-Symbol prüfen.
- Verlängerung im Blick behalten: Zertifikate laufen ab. Let’s-Encrypt-Zertifikate gelten nur 90 Tage und werden meist automatisch erneuert. Prüfen Sie, ob das bei Ihnen wirklich passiert.
Häufige Fragen
Wird meine Website durch HTTPS langsamer?
Bei heutiger Hardware ist der zusätzliche Aufwand für die Verschlüsselung kaum messbar. Im Gegenteil: Moderne Browser unterstützen das schnellere Protokoll HTTP/2 nur über verschlüsselte Verbindungen. Mit einem gut eingerichteten Server kann Ihre Seite nach der Umstellung sogar schneller laden.
Verliere ich meine Google-Platzierungen?
Bei einer sauberen Umstellung mit dauerhaften Weiterleitungen sind kurzfristige Schwankungen möglich, mittelfristig sollten die Platzierungen aber erhalten bleiben. Wichtig ist, dass jede alte Adresse auf die passende neue Adresse zeigt und nicht pauschal auf die Startseite.
Und meine E-Mails?
Das Website-Zertifikat schützt nur die Website. Ob Ihre E-Mails verschlüsselt zum Server übertragen werden, hängt von den Einstellungen Ihres Mailprogramms und Ihres Anbieters ab. Bei der Gelegenheit lohnt sich ein Blick darauf.
Typische Stolperfallen
Aus unseren Umstellungen kennen wir einige Klassiker. Da ist das alte Kontaktformular-Plugin, das seine Daten hartnäckig an eine HTTP-Adresse schickt. Oder das Logo, das im Theme fest mit HTTP verlinkt ist. Oder der eingebundene Kartendienst, dessen Code seit Jahren nicht mehr angefasst wurde. Und gelegentlich die Weiterleitungsschleife, wenn Hoster und Content-Management-System gleichzeitig umleiten wollen. Nichts davon ist dramatisch, aber planen Sie für eine größere Website lieber ein paar Stunden ein und machen Sie vorher ein Backup.
Fortgeschrittene können zusätzlich HSTS aktivieren. Damit teilt der Server dem Browser mit, die Seite künftig nur noch verschlüsselt aufzurufen. Das erhöht die Sicherheit, sollte aber erst eingeschaltet werden, wenn die Umstellung vollständig funktioniert, denn ein Zurück ist dann nur mit Verzögerung möglich.
Wir helfen Ihnen gerne
Sie möchten nicht selbst an Server und Datenbank? Das Web-Team der Mittelstandsoptimierer stellt Ihre Website auf HTTPS um, beseitigt gemischte Inhalte und prüft, dass Suchmaschinen und Formulare danach einwandfrei funktionieren. Rufen Sie uns an: 06131 144928-0.
Herzliche Grüße aus Mainz
