Bevor ein Browser verschlüsselt mit einer Website spricht, will er wissen, ob am anderen Ende wirklich der richtige Server sitzt. Diese Auskunft gibt das Zertifikat. Eine Zertifizierungsstelle, englisch Certificate Authority oder kurz CA, prüft, wer eine Domain kontrolliert, und stellt dann ein Zertifikat mit dem öffentlichen Schlüssel des Servers für diese Domain aus [1]. Browser vertrauen Zertifikaten anerkannter Stellen. Umgangssprachlich heißt es SSL-Zertifikat, obwohl die Verbindung heute über den Nachfolger TLS läuft. Den Unterschied erklärt der Eintrag SSL/TLS-Verschlüsselung.
Wie ein Zertifikat ausgestellt wird
Bei Let's Encrypt, einer kostenlosen Zertifizierungsstelle, läuft das automatisch. Ein Programm auf dem Webserver spricht über das Protokoll ACME mit der CA. Die CA stellt eine Aufgabe, mit der der Server zeigen muss, dass er die Domain kontrolliert: entweder einen bestimmten DNS-Eintrag anlegen oder eine Datei unter einer festgelegten Adresse bereitstellen [1]. Let's Encrypt prüft das von mehreren Stellen im Netz aus [1]. Erneuern heißt, den ganzen Vorgang zu wiederholen [1].
Für die Zertifikate selbst verlangt Let's Encrypt keine Gebühr. Hostinganbieter dürfen für ihren Aufwand trotzdem etwas berechnen [2]. Das Standardzertifikat gilt 90 Tage, eine längere Laufzeit gibt es dort nicht [2].
Welche Arten es gibt
Zertifikate unterscheiden sich darin, wie viele Namen sie abdecken. Google nannte 2014 in seinen Hinweisen zur Umstellung auf HTTPS drei Arten: für einen einzelnen Namen, für mehrere Domains und als Wildcard-Zertifikat für alle Subdomains einer Domain. Dazu riet Google zu Schlüsseln mit 2048 Bit [3]. Ein Wildcard-Zertifikat stellt Let's Encrypt nur aus, wenn die Prüfung über einen DNS-Eintrag läuft [2].
Daneben unterscheiden Anbieter, wie gründlich sie den Antragsteller prüfen. Zertifikate mit Prüfung der Organisation, kurz OV, und mit erweiterter Prüfung, kurz EV, bietet Let's Encrypt nicht an und plant das auch nicht [2]. In Googles Hinweisen von 2014 spielt die Prüfstufe keine Rolle, dort geht es nur um die Zahl der abgedeckten Namen und die Schlüssellänge [3].
Noch eine Frage offen?
In der gratis Sprechstunde beantworten wir Fragen zu SEO live, jeden ersten Samstag im Monat um 18 Uhr. Oder du rufst einfach an.
Kürzere Laufzeiten ab 2026
Das CA/Browser Forum, in dem Zertifizierungsstellen und Browserhersteller die Regeln für Zertifikate abstimmen, hat in einer Abstimmung bis zum 11.04.2025 einen Zeitplan zur schrittweisen Senkung der höchsten Laufzeit von TLS-Serverzertifikaten vorgelegt. Statt 398 Tagen sollen am Ende 47 Tage gelten. Die Stufen beginnen im März 2026 und enden im März 2029 [4]. Wer Zertifikate noch von Hand einspielt, muss das damit deutlich öfter tun. Eine automatische Erneuerung über ACME nimmt diese Arbeit ab.
Bezug zu SEO
Das Zertifikat ist die Voraussetzung für HTTPS. Den Wechsel von http auf https mit allen Weiterleitungen beschreibt der Eintrag HTTPS-Umstellung, die Ankündigung von HTTPS als Rankingsignal die News HTTPS als Rankingsignal. Läuft ein Zertifikat ab, zeigen Browser eine Warnung. Dann hilft der SSL-Notfall auf dem Notdienst.
Wenn du nicht weißt, ob dein Zertifikat sich von selbst erneuert oder jemand daran denken muss, sprechen wir in der gratis Sprechstunde darüber.
- Organisation How It Works. Let's Encrypt (ISRG). Stand 02.08.2025. abgerufen am 31.10.2026
- Organisation FAQ. Let's Encrypt (ISRG). Stand 28.04.2025. abgerufen am 31.10.2026
- Organisation HTTPS as a ranking signal. Google Search Central Blog. Stand 07.08.2014. abgerufen am 31.10.2026
- Organisation Ballot SC081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods. CA/Browser Forum. Stand 11.04.2025. abgerufen am 31.10.2026
Häufige Fragen
Ist ein kostenloses Zertifikat schlechter als ein gekauftes?
Googles Hinweise zu HTTPS von 2014 unterscheiden nur nach der Zahl der abgedeckten Namen und bevorzugen keine Prüfstufe. Gekaufte Zertifikate können zusätzlich die Organisation prüfen (OV oder EV), was Let's Encrypt nicht anbietet.
Wie lange gilt ein SSL-Zertifikat?
Bei Let's Encrypt 90 Tage. Für alle öffentlichen TLS-Serverzertifikate soll die Höchstdauer nach dem Zeitplan des CA/Browser Forum ab März 2026 schrittweise von 398 auf 47 Tage bis März 2029 sinken.
Brauche ich für Subdomains ein eigenes Zertifikat?
Nicht unbedingt. Ein Wildcard-Zertifikat deckt alle Subdomains einer Domain ab, ein Multi-Domain-Zertifikat mehrere einzelne Namen.
Was passiert, wenn das Zertifikat abläuft?
Browser warnen dann vor der Verbindung. Eine automatische Erneuerung verhindert das, solange sie läuft. Für den Ernstfall gibt es den SSL-Notfall auf notdienst.seo-manager.info.
Noch eine Frage offen?
In der gratis Sprechstunde beantworten wir Fragen zu SEO live, jeden ersten Samstag im Monat um 18 Uhr. Oder du rufst einfach an.
Zuletzt geprüft am 03.11.2026, nächste Prüfung spätestens im November 2027. Fehler entdeckt? Schreib uns.
