Kostenloses vs. kostenpflichtiges SSL-Zertifikat: Brauchen Sie wirklich ein teures?

Sie haben das Schloss-Symbol in der Browserleiste gesehen und sich gefragt: Bedeutet das, dass meine Website „sicher" ist? Und wenn ja, warum bietet mir jemand ständig ein kostenpflichtiges SSL-Zertifikat an, wenn mein Hosting mir bereits ein kostenloses gibt? Das ist eine natürliche Verwirrung, denn viele Anbieter setzen genau darauf.

Die Wahrheit ist einfacher als sie scheint. Ein kostenloses Zertifikat von Let's Encrypt verschlüsselt den Datenverkehr zwischen Besucher und Ihrer Website genauso gut wie ein kostenpflichtiges. Der Unterschied liegt nicht darin, „wie sicher" es ist, sondern woanders, was ich Ihnen weiter unten ausführlich erkläre. Für die meisten lokalen Unternehmen — einen Salon, eine Praxis, einen kleinen Laden — reicht das kostenlose völlig aus. Schauen wir uns genau an, warum, damit Sie nicht für etwas bezahlen, das Ihnen keinen zusätzlichen Nutzen bringt.

Was ein SSL-Zertifikat tatsächlich macht (und was NICHT)

Ein SSL/TLS-Zertifikat macht zwei Dinge. Erstens: Es verschlüsselt die Daten, die zwischen dem Browser des Besuchers und Ihrem Server fließen, damit niemand auf dem Weg mitlesen kann. Zweitens: Es bestätigt, dass die Domain wirklich Ihnen gehört, nicht einem Betrüger.

Das ist alles. Ein Zertifikat macht Ihre Website NICHT schwerer zu hacken, repariert keine schwachen Passwörter, schützt nicht vor einem verwundbaren Plugin und bringt keine Kunden. Das Schloss-Symbol bedeutet „die Verbindung ist verschlüsselt", nicht „dieses Unternehmen ist vertrauenswürdig". Das ist eine wichtige Unterscheidung, denn genau darauf setzt derjenige, der Ihnen ein teures Zertifikat verkauft: auf das Gefühl, für Sicherheit zu zahlen, während Sie tatsächlich für etwas anderes zahlen.

Let's Encrypt: kostenlos, automatisch und genauso sicher

Let's Encrypt ist eine gemeinnützige Zertifizierungsstelle, die kostenlose Zertifikate ausstellt, die von absolut allen modernen Browsern anerkannt werden. Die Verschlüsselung ist dieselbe — der Industriestandard — egal ob das Zertifikat kostenlos ist oder Geld kostet.

Was sich unterscheidet, ist die Arbeitsweise:

• Let's-Encrypt-Zertifikate gelten 90 Tage und erneuern sich automatisch selbst. Sie müssen nichts tun.
• Es sind Zertifikate vom Typ DV (Domain Validation): Sie bestätigen nur, dass Sie die Domain besitzen.
• Praktisch jedes seriöse moderne Hosting bietet sie von Anfang an integriert an.

Ihr Besucher sieht genau dasselbe Schloss-Symbol wie bei einer Website mit einem Zertifikat für hunderte Euro. Es gibt keinen sichtbaren Hinweis, dass es „kostenlos" ist. Aus Sicht der Verbindungssicherheit verlieren Sie nichts.

Was zahlen Sie dann tatsächlich bei einem teuren SSL?

Wenn Sie ein kostenpflichtiges Zertifikat kaufen, kaufen Sie keine bessere Verschlüsselung. Sie kaufen, je nach Produkt:

• Erweiterte Validierung (OV/EV): Der Anbieter prüft, dass Ihr Unternehmen rechtlich existiert, nicht nur, dass Sie die Domain besitzen. Nützlich für Banken oder große Konzerne, die einen zusätzlichen Identitätsnachweis wollen.
• „Garantie" (Warranty): Eine versicherte Summe für den sehr seltenen Fall, dass ein Zertifikat falsch ausgestellt wird. Bei einer gewöhnlichen Website kommt das praktisch nie zum Tragen.
• Dedizierten Support und Wildcard- oder Multi-Domain-Zertifikate, nützlich, wenn Sie viele Subdomains verwalten.

Ein wichtiges Detail: Die grüne Leiste mit dem Firmennamen, mit der EV-Zertifikate früher beworben wurden, wird von modernen Browsern nicht mehr angezeigt. Dieses sichtbare „Vertrauenszeichen", für das früher ernsthaftes Geld gezahlt wurde, gibt es heute schlicht nicht mehr.

Wann sich ein kostenpflichtiges Zertifikat wirklich lohnt

Um fair zu sein: Es gibt reale Situationen, in denen ein kostenpflichtiges Zertifikat Sinn ergibt.

• Sie sind ein Finanzinstitut, ein großes Unternehmen oder haben eine gesetzliche/Compliance-Anforderung, die eine Organisationsvalidierung (OV/EV) vorschreibt.
• Sie haben Dutzende Subdomains und wollen ein einziges Wildcard-Zertifikat, das bequemer zu verwalten ist.
• Sie arbeiten mit einem Partner oder einer Plattform zusammen, die Ihnen ausdrücklich einen bestimmten Zertifikatstyp vorschreibt.

Beachten Sie, was NICHT auf dieser Liste steht: eine Präsentationswebsite, ein Salon, eine Zahnarztpraxis, ein kleiner Laden, der über Stripe, PayPal oder einen externen Zahlungsdienstleister kassiert. In all diesen Fällen laufen die Kartendaten nicht einmal über Ihre Website — sie werden vom Zahlungsdienstleister mit dessen eigenem Zertifikat verwaltet. Sie brauchen nichts Teureres als das kostenlose.

Wie es bei Ihnen konkret aussieht — und wie wir arbeiten

Wenn Sie ein lokales Unternehmen haben und Ihnen jemand ein kostenpflichtiges SSL „zur Sicherheit" verkaufen will, können Sie ruhig ablehnen. Für Ihre Website deckt ein kostenloses Let's-Encrypt-Zertifikat, das sich selbst erneuert, alles ab, was Sie brauchen: Verschlüsselung nach Industriestandard und das grüne Schloss-Symbol für Besucher.

Bei MPO Web Studio kommt jede Website, die wir bauen, mit kostenlosem SSL, aktiviert und automatisch erneuert, im Preis inbegriffen. Wir verkaufen Ihnen keine unnötigen „Sicherheitspakete" und fügen keine versteckten Kosten für etwas hinzu, das ohnehin kostenlos ist. Wir arbeiten remote, im ganzen Land, mit transparenten Preisen, und wir können Ihnen kostenlos eine Demo Ihrer Website erstellen, bevor Sie etwas bezahlen.

Wenn Sie prüfen möchten, ob Ihre aktuelle Website richtig konfiguriert ist, schreiben Sie uns auf WhatsApp — wir schauen es uns an und sagen Ihnen ehrlich, ob es etwas zu reparieren gibt.