SSL/TLS-Fehler – was bedeuten sie und wie kann man sie beheben?
SSL/TLS-Fehler gehören zu den häufigsten technischen Problemen, auf die Website-Betreiber und Server-Administratoren stoßen. Der Browser zeigt eine Sicherheitswarnung an, wenn das SSL-Zertifikat ungültig, abgelaufen oder falsch konfiguriert ist. Ein solcher Fehler schreckt Nutzer effektiv ab und kann das Ranking der Seite in den Suchergebnissen negativ beeinflussen.
Möchten Sie das SSL-Zertifikat Ihrer Seite prüfen?
SSL-Zertifikat prüfenWie funktioniert ein SSL/TLS-Zertifikat?
Ein SSL/TLS-Zertifikat ist ein digitales Dokument, das die Identität des Servers bestätigt und eine verschlüsselte Verbindung ermöglicht. Es wird von vertrauenswürdigen Zertifizierungsstellen (CA — Certificate Authority) ausgestellt. Der Browser überprüft das Zertifikat bei jeder HTTPS-Verbindung – er prüft, ob es gültig ist, ob es abgelaufen ist und ob es von einer vertrauenswürdigen CA stammt.
Die häufigsten SSL/TLS-Fehler
Ein SSL-Zertifikat hat ein Ablaufdatum. Nach dessen Ablauf zeigt der Browser einen Fehler an und blockiert den Zugriff auf die Seite. Let's Encrypt-Zertifikate sind 90 Tage gültig, kommerzielle meist 1 Jahr.
Erneuern Sie das SSL-Zertifikat. Richten Sie bei Let's Encrypt die automatische Erneuerung über certbot ein (certbot renew --dry-run). Richten Sie eine Überwachung des Ablaufdatums ein – unser SSL-Checker sendet Warnmeldungen.
Das Zertifikat wurde von einer CA ausgestellt, die der Browser nicht als vertrauenswürdig erkennt. Dies kann ein selbstsigniertes Zertifikat (self-signed) sein oder ein Zertifikat einer CA, die nicht im Speicher für vertrauenswürdige Zertifikate des Browsers vorhanden ist.
- Self-signed Zertifikat – genutzt in Entwicklungsumgebungen
- Fehlende Zwischenzertifikate (Intermediate Certificates)
- Zertifikat einer CA, die das Vertrauen verloren hat (z. B. Symantec im Jahr 2018).
Verwenden Sie in der Produktion ein Zertifikat einer vertrauenswürdigen CA (Let's Encrypt, DigiCert, Sectigo). Prüfen Sie, ob die Zertifikatskette vollständig ist – der Server sollte das Hauptzertifikat sowie alle Zwischenzertifikate (Intermediate) senden.
Das Zertifikat wurde für eine andere Domain ausgestellt als die, mit der Sie sich zu verbinden versuchen. Der Browser vergleicht die Domain im Zertifikat (Feld CN oder SAN) mit der Adresse in der Adressleiste.
- Zertifikat für example.com, aber Seite läuft unter www.example.com
- Fehlender Eintrag für die Subdomain im SAN-Feld (Subject Alternative Names).
- Auf dem Server ist ein Zertifikat für eine andere Domain installiert (Vhost-Konfigurationsfehler).
Achten Sie bei der Ausstellung eines Zertifikats darauf, dass es alle Domainvarianten abdeckt: example.com und www.example.com. Wildcard-Zertifikate (*.example.com) decken alle Subdomains einer Ebene ab.
Der Browser und der Server können sich nicht auf eine gemeinsame TLS-Version oder ein Cipher-Set einigen. Es kann auch bedeuten, dass der Server HTTP-Daten anstelle von HTTPS sendet.
- Der Server unterstützt nur veraltete TLS 1.0/1.1 Protokolle (eingestellt im Jahr 2020).
- Port 443 liefert HTTP- statt HTTPS-Verkehr
- nginx/Apache Fehlkonfiguration – fehlende ssl on Direktive
Konfigurieren Sie den Server so, dass er TLS 1.2 und TLS 1.3 unterstützt. Überprüfen Sie die Vhost-Konfiguration – stellen Sie sicher, dass Port 443 SSL aktiviert hat. Nutzen Sie das Tool SSL Labs für ein Konfigurations-Audit.
Die Seite ist über HTTPS erreichbar, lädt aber Ressourcen (Bilder, Skripte, Styles) über unverschlüsseltes HTTP. Der Browser blockiert aktive Ressourcen (JS, CSS) und zeigt eine Warnung für passive Ressourcen (Bilder) an.
Ersetzen Sie alle Verweise von http:// durch https:// oder nutzen Sie das relative Protokoll //. Verwenden Sie in WordPress das Plugin Really Simple SSL. Fügen Sie den Header Content-Security-Policy: upgrade-insecure-requests hinzu.
Der Server leitet endlos zwischen HTTP und HTTPS hin und her. Dies liegt oft an einer fehlerhaften Weiterleitungskonfiguration, wenn sich hinter dem Server ein Load Balancer oder ein CDN befindet, das SSL terminiert.
Überprüfen Sie die Weiterleitungskonfiguration in der .htaccess oder bei nginx. Wenn Sie Cloudflare nutzen, stellen Sie den SSL-Modus auf 'Full (strict)'. Überprüfen Sie in WordPress die URL-Optionen in den Einstellungen.
SSL-Zertifikatstypen
SSL-Zertifikate unterscheiden sich durch die Stufe der Identitätsprüfung des Inhabers und den Schutzumfang.
| Typ | Validierung | Ausstellungsdauer | Verwendung |
|---|---|---|---|
| DV | Domain-Validierung (DV) | Minuten — Stunden | Blogs, private Seiten, kleine Shops |
| OV | Organisations-Validierung (OV) | 1–3 Tage | Unternehmensseiten, B2B-Portale |
| EV | Extended Validation (EV) | 1–2 Wochen | Banken, Finanzinstitute |
| Wildcard | Subdomain-Validierung | Minuten — Stunden | Mehrere Subdomains einer Domain |
| Multi-SAN | Multiple Domains (SAN/UCC) | Minuten — Tage | Mehrere verschiedene Domains auf einem Zertifikat |
Für die meisten Webseiten ist ein DV-Zertifikat von Let's Encrypt ausreichend und völlig kostenlos. Let's Encrypt stellt Zertifikate automatisch aus und unterstützt die automatische Erneuerung alle 90 Tage.