SSL (Secure Sockets Layer) und sein Nachfolger TLS (Transport Layer Security) sind kryptografische Protokolle, die die Datenübertragung zwischen einem Server und einem Client - zum Beispiel Ihrem Browser - verschlüsseln und authentifizieren. Erkennbar ist eine gesicherte Verbindung am HTTPS-Präfix in der URL und am Schloss-Symbol in der Adressleiste.
Was ist SSL?
SSL steht für Secure Sockets Layer und wurde in den 1990er-Jahren von Netscape entwickelt, um Online-Transaktionen abzusichern. Das Protokoll stellt eine verschlüsselte Verbindung zwischen einem Webserver und einem Client her, sodass vertrauliche Daten wie Passwörter, Kreditkartennummern oder persönliche Informationen nicht abgefangen werden können.
SSL arbeitet mit einem asymmetrischen Schlüsselpaar: Ein öffentlicher Schlüssel (Public Key) wird an den Client übermittelt, der damit Daten verschlüsselt. Der private Schlüssel (Private Key) verbleibt auf dem Server und entschlüsselt die eingehenden Daten. Heute gilt SSL als veraltet und wurde vollständig durch TLS abgelöst - der Begriff „SSL" wird aber im Alltag weiterhin für beide Protokolle verwendet.
Was ist TLS?
TLS steht für Transport Layer Security und ist die Weiterentwicklung von SSL. TLS ist sicherer und schneller als SSL und unterstützt moderne Verschlüsselungsalgorithmen. Heute sichert TLS nicht nur Webseiten über HTTPS, sondern auch E-Mail-Übertragungen, Instant Messaging und viele andere Netzwerkverbindungen.
Technisch setzt TLS auf der Transportschicht des Netzwerks auf und verschlüsselt den Datenstrom, bevor er über die IP-Adresse des Servers übertragen wird. Damit bleibt geschützt, was sonst im Klartext durch das Internet wandern würde.
Die Vorteile von TLS im Überblick:
- Vertraulichkeit: Übertragene Daten werden verschlüsselt und können von Dritten nicht gelesen werden.
- Integrität: Manipulationen an den Daten während der Übertragung werden erkannt.
- Authentifizierung: Der Server weist seine Identität über ein Zertifikat nach - Schutz vor gefälschten Webseiten.
- Schutz vor Man-in-the-Middle-Angriffen: Angreifer können sich nicht unbemerkt zwischen Browser und Server schalten.
Bedeutung für das Internet
Ohne SSL und TLS wäre sicheres Online-Banking, Shopping oder das Einloggen in Accounts nicht möglich. Suchmaschinen wie Google werten HTTPS als positives Ranking-Signal - eine Website ohne gültiges Zertifikat schadet damit nicht nur der Sicherheit, sondern auch der SERP-Sichtbarkeit. Die CTR leidet ebenfalls, wenn der Browser eine Sicherheitswarnung anzeigt.
Alle seriösen Anbieter - von ISPs bis zu Hosting-Diensten - stellen heute Zertifikate standardmäßig bereit. Plattformen wie Let's Encrypt machen kostenlose Zertifikate für jeden Domain-Inhaber zugänglich.
Funktionsweise: Der TLS-Handshake
Bevor Daten verschlüsselt fließen, führen Browser und Server einen sogenannten Handshake durch:
- Browser und Server einigen sich auf einen gemeinsamen Verschlüsselungsalgorithmus (Cipher Suite).
- Der Server präsentiert sein Zertifikat - ausgestellt von einer vertrauenswürdigen Zertifizierungsstelle (CA).
- Der Browser prüft das Zertifikat und erzeugt einen symmetrischen Sitzungsschlüssel.
- Alle weiteren Daten werden mit diesem Schlüssel symmetrisch verschlüsselt, was deutlich schneller geht als asymmetrische Verschlüsselung.
TLS 1.3 (aktuellste Version) hat den Handshake auf einen einzigen Roundtrip reduziert, was Verbindungen spürbar beschleunigt.
SSL- und TLS-Zertifikate
Ein Zertifikat ist die digitale Identitätsprüfung eines Servers. Es gibt drei Validierungsstufen:
Domain Validated (DV)
Einfachste und schnellste Variante. Die CA prüft nur, ob Sie die Domain kontrollieren. Das reicht für Blogs und kleinere Webseiten.
Organization Validated (OV)
Zusätzlich zur Domain wird die Existenz der Organisation geprüft. Geeignet für Unternehmenswebseiten ohne Online-Shop.
Extended Validation (EV)
Strengste Prüfung: Identität, Rechtsstatus und Betriebsadresse des Unternehmens werden verifiziert. Früher mit grüner Adressleiste gekennzeichnet; heute für Finanzinstitute und große E-Commerce-Seiten üblich.
Website technisch sauber aufstellen?
Wir sorgen für HTTPS, Core Web Vitals und alle technischen Grundlagen, die Google und Ihre Nutzer erwarten.
Implementierung und Konfiguration
Die Integration von TLS in einen Server umfasst mehrere Schritte:
- Zertifikat bei einer CA beantragen oder über Let's Encrypt automatisch ausstellen lassen.
- Webserver (Apache, Nginx o. Ä.) für HTTPS konfigurieren und HTTP-Zugriffe auf HTTPS umleiten.
- Veraltete Protokollversionen (SSL 3.0, TLS 1.0, TLS 1.1) deaktivieren.
- Starke Cipher Suites auswählen und schwache (RC4, 3DES) abschalten.
- Zertifikate rechtzeitig erneuern - abgelaufene Zertifikate lösen Browser-Warnungen aus.
Moderne Server-Software und PHP-Anwendungen nutzen TLS-Bibliotheken wie OpenSSL, die regelmäßige Updates erfordern, um bekannte Schwachstellen (z. B. Heartbleed, POODLE) zu schließen.
SSL/TLS und SEO
HTTPS ist seit 2014 offizieller Google-Rankingfaktor. Praktische Auswirkungen für Ihre Website:
- Kein Zertifikat → Browser zeigt „Nicht sicher" → höhere Bounce Rate
- Mixed Content (HTTP-Ressourcen auf HTTPS-Seite) → Browser blockiert Inhalte → schlechtere User Experience. Achten Sie darauf, dass eingebundene CSS- und Skript-Dateien ebenfalls über HTTPS geladen werden
- Falsch konfigurierte Weiterleitungen (HTTP→HTTPS) kosten PageRank - korrekt als 301 einrichten
- FTP-Zugänge auf SFTP oder FTPS umstellen, damit auch Dateiübertragungen sicher bleiben
Compliance: DSGVO, PCI-DSS und HIPAA
Wer personenbezogene Daten verarbeitet, muss die Übertragung nach DSGVO absichern - TLS ist dafür der technische Standard. Für Kreditkartenzahlungen schreibt PCI-DSS mindestens TLS 1.2 vor; TLS 1.3 wird empfohlen. Gesundheitsdienstleister im US-Markt benötigen HIPAA-konforme Verschlüsselung. Regelmäßige Audits und Zertifikatsprüfungen gehören zum Pflichtprogramm.
Zukunft von TLS
Je mehr Geräte im IoT-Ökosystem miteinander kommunizieren und je mehr Anwendungen mit Blockchains arbeiten, desto mehr Verbindungen müssen per TLS gesichert werden. Mit TLS 1.3 sind unsichere Algorithmen bereits aus dem Standard verschwunden. Als Nächstes steht Post-Quantum-Kryptografie an, damit auch Quantencomputer die Verschlüsselung nicht knacken können. Für JavaScript-lastige Anwendungen und APIs gilt schon heute: ohne TLS keine sichere Kommunikation.
Häufige Fragen zu SSL / TLS
Was ist der Unterschied zwischen SSL und TLS?
SSL (Secure Sockets Layer) ist der ältere Standard aus den 1990er-Jahren. TLS (Transport Layer Security) ist dessen Weiterentwicklung und heute der gültige Standard. Im Alltag werden beide Begriffe oft synonym verwendet, technisch korrekt ist jedoch immer TLS gemeint - SSL gilt als unsicher und veraltet.
Brauche ich ein SSL/TLS-Zertifikat für meine Website?
Ja - ohne Zertifikat zeigt der Browser eine Sicherheitswarnung, was Besucher sofort abschreckt und Ihre Bounce Rate in die Höhe treibt. Außerdem ist HTTPS ein Rankingfaktor bei Google. Kostenlose Zertifikate gibt es über Let's Encrypt; die meisten Webhoster richten das automatisch ein.
Was bedeutet HTTPS in der URL?
HTTPS steht für „HyperText Transfer Protocol Secure". Das „S" zeigt an, dass die Verbindung zwischen Browser und Server über TLS verschlüsselt ist. Alle Daten - inklusive Formulareingaben, Passwörter und Cookies - werden damit geschützt übertragen. Seiten ohne HTTPS verwenden das unsichere HTTP-Protokoll.
Verwandte Begriffe
Joshua hat STARK 2016 gegründet. Im Glossar erklärt das STARK-Team die wichtigsten Begriffe aus SEO, Webentwicklung und Online-Marketing verständlich.