Sichere Sockelschicht (SSL)

Secure Sockets Layer (SSL) ist ein Sicherheitsprotokoll, das die Verbindung zwischen einem Webbrowser und einem Webserver verschlüsselt. Es stellt sicher, dass sensible Daten wie Passwörter, Zahlungsdetails und persönliche Daten während der Übertragung nicht von Dritten abgefangen oder gelesen werden können. Für KMU-Unternehmer ist SSL von entscheidender Bedeutung, denn es schafft Vertrauen bei den Besuchern und ist für moderne Websites, Webshops und Systeme erforderlich, die datenschutzsensible Informationen verarbeiten.

Wie funktioniert die SSL-Verschlüsselung in der Praxis?

SSL funktioniert über einen Prozess, der Handshake genannt wird. Wenn ein Besucher Ihre Website besucht, prüft der Browser, ob ein gültiges SSL-Zertifikat vorhanden ist. Dieses Zertifikat enthält einen öffentlichen Schlüssel, den der Browser verwendet, um eine sichere Verbindung herzustellen. Dann werden alle Daten, die zwischen Browser und Server hin- und hergehen, mit einem eindeutigen Sitzungsschlüssel verschlüsselt. Dies geschieht automatisch und ist für den Besucher nur an dem Schloss in der Adressleiste und dem HTTPS-Präfix in der URL erkennbar. Die Verschlüsselung macht es böswilligen Parteien praktisch unmöglich, mitzulesen, selbst wenn sie Zugang zu dem Netz haben, über das die Daten gesendet werden.

Von SSL zu TLS: Was Sie über den Nachfolger wissen müssen

Obwohl der Begriff SSL immer noch weit verbreitet ist, ist das Protokoll selbst seit Jahren durch Transport Layer Security(TLS) ersetzt worden. Die SSL-Version 3.0 wurde 2015 von Sicherheitsorganisationen offiziell als unsicher eingestuft. TLS ist der moderne Nachfolger und bietet eine stärkere Verschlüsselung und einen besseren Schutz vor Angriffen. Dennoch bleibt der Begriff SSL in Gebrauch, weil er wiedererkennbar ist und weil Zertifikate oft noch als SSL-Zertifikate bezeichnet werden. In der Praxis läuft jede moderne Website mit einem gültigen Zertifikat auf TLS 1.2 oder 1.3. Für Sie als Unternehmer macht das kaum einen Unterschied: Solange Ihr Hosting oder WordPress-Hosting ein aktuelles Zertifikat anbietet, sind Sie gut geschützt.

Was SSL für Ihre Website und Ihren Webshop bringt

Ein SSL-Zertifikat ist nicht länger ein Nice-to-have, sondern eine Grundvoraussetzung. Seit 2018 kennzeichnet Google in Chrome Webseiten ohne HTTPS als unsicher, was Besucher sofort abschreckt. Zudem nutzt Google HTTPS als Rankingfaktor innerhalb der Suchmaschinenoptimierung (SEO). Für Online-Shops ist SSL nach der Datenschutzgrundverordnung (DSGVO) verpflichtend und wird von Zahlungsanbietern wie Mollie und Stripe gefordert. Ohne ein gültiges Zertifikat können Sie keine Zahlungen abwickeln. Darüber hinaus erhöht das Vorhängeschloss in der Adressleiste das Vertrauen der Besucher, was sich direkt auf Ihre Konversionsrate auswirkt. In unseren Projekten stellen wir fest, dass Webshops ohne HTTPS im Durchschnitt 20 bis 30 Prozent niedrigere Konversionsraten haben, einfach weil die Besucher an der Kasse zögern.

SSL-Zertifikate kommen überall dort zum Einsatz, wo Daten zwischen Besucher und Server ausgetauscht werden. Die Anwendung variiert je nach Art der Website und der Sensibilität der zu verarbeitenden Daten. Nachfolgend sind die wichtigsten Szenarien aufgeführt, in denen ein SSL-Zertifikat für KMU einen Unterschied macht.

Absicherung von Webshops und Zahlungsprozessen

Ein SSL-Zertifikat ist für jeden Webshop gesetzlich vorgeschrieben, sobald Sie personenbezogene Daten oder Zahlungsinformationen verarbeiten. Zahlungsanbieter wie Mollie, Stripe und Adyen verlangen eine sichere Verbindung, bevor sie Transaktionen zulassen. Ohne HTTPS können Sie einfach keine Zahlungen empfangen. Außerdem verlangt die DSGVO, dass Sie personenbezogene Daten wie Name, Adresse und E-Mail-Adresse beim Transport schützen. Ein Webshop ohne SSL wird von den Browsern als unsicher eingestuft, was sofort zu abgebrochenen Warenkörben führt. In der Praxis zeigt sich, dass Webshops mit einem gültigen Zertifikat eine bis zu 35% höhere Konversion erzielen als vergleichbare Shops ohne HTTPS. Ein professioneller Webshop beginnt daher immer mit einem aktuellen SSL-Zertifikat als Grundlage.

Schutz der Kontaktformulare und Lead-Generierung

Auch Websites ohne Webshop profitieren von SSL, sobald sie ein Kontaktformular, ein Anmeldeformular oder eine Download-Seite anbieten. Jedes Formular, in das Besucher ihren Namen, ihre E-Mail-Adresse, ihre Telefonnummer oder Unternehmensdaten eingeben, fällt unter die DSGVO. Ohne Verschlüsselung können diese Daten abgefangen werden, was Sie als Unternehmer haftbar macht. Browser wie Chrome und Firefox zeigen eine Warnung an, sobald ein Besucher beginnt, ein Formular auf einer ungesicherten Seite einzugeben. Das schreckt ab und schadet Ihrer Glaubwürdigkeit. Für B2B-Dienstleister, die auf Leads über die Website angewiesen sind, ist SSL daher genauso wichtig wie für Online-Shops. Es kostet wenig, verhindert aber Vertrauensschäden und rechtliche Risiken.

Abschirmung von Login-Portalen und Kundenumgebungen

Websites mit einer Login-Umgebung, einem Kundenportal oder einer Mitgliederseite benötigen immer ein SSL-Zertifikat. Sobald sich Benutzer mit einem Passwort anmelden, werden sensible Daten gesendet. Ohne Verschlüsselung kann ein Angreifer im selben Netzwerk diese Anmeldedaten abfangen und missbrauchen. Dies gilt auch für WordPress-Websites, bei denen Sie sich selbst in /wp-admin anmelden. Ohne HTTPS werden Ihr Benutzername und Ihr Passwort im Klartext gesendet. Hoster, die beispielsweise WordPress-Hosting anbieten, stellen heutzutage standardmäßig ein SSL-Zertifikat über Let's Encrypt zur Verfügung. Dieses Zertifikat wird automatisch erneuert und kostet Sie nichts extra. Dennoch sehen wir regelmäßig alte Websites oder selbst erstellte Portale, die noch ohne HTTPS laufen, was ein unnötiges Sicherheitsrisiko darstellt.

Wann SSL die richtige Wahl ist und wann nicht

SSL ist obligatorisch, sobald Sie personenbezogene Daten verarbeiten, einen Webshop betreiben oder eine Login-Umgebung anbieten. Es ist auch notwendig, wenn Sie bei Google gut ranken wollen, da HTTPS ein offizieller Ranking-Faktor ist. Fast jeder moderne Hoster bietet ein kostenloses Let's Encrypt-Zertifikat an, es gibt also kaum einen Grund, es nicht zu verwenden. Dennoch gibt es Situationen, in denen SSL weniger dringlich ist: eine völlig statische Website ohne Formulare, ohne Login und ohne Tracking braucht technisch gesehen kein HTTPS. Aber selbst dann empfehlen wir es, denn Browser wie Chrome markieren jede HTTP-Seite als unsicher. Die einzige Ausnahme sind interne Testumgebungen oder lokale Entwicklungsserver, die nicht öffentlich zugänglich sind. Für alle anderen Szenarien ist SSL der Standard.