SSL-Zertifikat einrichten: Laufzeit & Erneuerung 2026

Ein SSL-Zertifikat (korrekt: TLS-Zertifikat) sorgt dafür, dass Deine Website per HTTPS verschlüsselt ausgeliefert wird, und für neu ausgestellte Zertifikate gilt seit dem 15. März 2026 eine maximale Laufzeit von 200 Tagen. Das heißt für Dich: Das Zertifikat muss öfter erneuert werden, und wer das von Hand macht, riskiert eine Browser-Warnung mitten im Tagesgeschäft.

In diesem Artikel erklären wir aus Agentursicht, was ein Zertifikat leistet, welche Varianten es gibt, wie die Einrichtung abläuft und wie Du Ablauf-Pannen verhinderst. Stand ist Oktober 2026.

Was ein SSL-Zertifikat auf Deiner Website tut

Das Zertifikat erfüllt zwei Aufgaben. Es verschlüsselt die Verbindung zwischen Browser und Server, sodass Formulardaten, Logins und Bestellungen nicht im Klartext übertragen werden. Und es bestätigt, dass der Server wirklich zu Deiner Domain gehört.

Fehlt es oder ist es abgelaufen, zeigen Browser eine ganzseitige Warnung. Die meisten Besucher springen dann ab, und Kontaktformulare oder Shop-Checkouts sind faktisch unbrauchbar. Für Seiten mit Kontaktformular gehört HTTPS außerdem zu den technischen Grundlagen eines datenschutzkonformen Auftritts (mehr dazu in unserer DSGVO-Checkliste für Websites).

Welche Zertifikatstypen es gibt

Typ	Geprüft wird	Typischer Einsatz
DV (Domain Validation)	Nur die Kontrolle über die Domain	Die meisten Firmenwebsites, Blogs, Shops
OV (Organization Validation)	Domain und Existenz der Organisation	Wenn Firmendaten im Zertifikat stehen sollen
EV (Extended Validation)	Ausführliche Firmenprüfung	Selten nötig, Browser heben sie kaum noch hervor

Für eine normale Unternehmenswebsite reicht ein DV-Zertifikat in aller Regel aus. Die Verschlüsselung ist bei allen Typen dieselbe; der Unterschied liegt in der Prüfung, die vorher stattfindet. Kostenlose Zertifikate (zum Beispiel über Let’s Encrypt) und kostenpflichtige DV-Zertifikate verschlüsseln gleich stark. Bezahlen kannst Du für Support, Versicherungssummen oder Verwaltungskomfort.

Was sich bei der Laufzeit ändert

Das CA/Browser-Forum hat beschlossen, die maximale Laufzeit öffentlicher Zertifikate stufenweise zu senken. Nach den Angaben von Zertifizierungsstellen wie Sectigo gilt:

Ab	Maximale Laufzeit
bis 14.03.2026	rund 398 Tage
15.03.2026	200 Tage
März 2027	100 Tage
März 2029	47 Tage

Bereits ausgestellte Zertifikate laufen bis zu ihrem Ablaufdatum weiter. Die Grenze betrifft neu ausgestellte und erneuerte Zertifikate, und zwar bei kostenlosen wie bei kostenpflichtigen Anbietern. Prüfe die Zwischenstufen bei Deinem Anbieter, bevor Du Dich auf ein Datum verlässt.

Praktische Folge: Wer sein Zertifikat einmal im Jahr manuell erneuert hat, muss künftig zwei- bis achtmal im Jahr ran. Das ist von Hand nicht sinnvoll durchzuhalten.

So läuft die Einrichtung ab

Domain und Zugriff klären: Du brauchst Zugriff auf DNS-Einstellungen oder den Webspace, damit die Zertifizierungsstelle Deine Domain-Kontrolle prüfen kann.
Zertifikat beantragen oder aktivieren: Bei vielen Hostern ist das ein Klick im Kundenbereich; sonst wird eine Zertifikatsanfrage (CSR) erzeugt.
Installieren: Zertifikat und Zwischenzertifikate auf dem Server hinterlegen.
Alles auf HTTPS umleiten: Eine saubere 301-Weiterleitung von http:// auf https://, einheitlich mit oder ohne www.
Mixed Content beseitigen: Bilder, Skripte oder Schriften, die noch per http:// eingebunden sind, lösen sonst Warnungen aus.
Testen: Startseite, Unterseiten, Formulare und Checkout im Browser prüfen, außerdem die Weiterleitungen.

Wer seine Website bei einem Anbieter in Deutschland hostet, bekommt das oft schon automatisch mitgeliefert (siehe Hosting in Deutschland und DSGVO).

Automatische Erneuerung statt Kalendereintrag

Bei kürzeren Laufzeiten ist Automatisierung der entscheidende Hebel. Das gängige Verfahren heißt ACME: Server und Zertifizierungsstelle erneuern das Zertifikat selbstständig. Viele Hoster bieten das als Standard an. Achte auf diese Punkte:

Läuft die Erneuerung wirklich automatisch? Frag Deinen Hoster konkret, statt es anzunehmen.
Wer wird informiert, wenn sie scheitert? Eine Benachrichtigung an eine gelesene Adresse ist wichtig.
Was passiert bei Domain- oder DNS-Umzügen? Ein Wechsel kann die automatische Prüfung brechen.
Gibt es Sonderfälle? Subdomains, Mail-Server und Drittsysteme haben oft eigene Zertifikate.

Ein einfaches Monitoring, das Ablaufdaten überwacht, ist Teil einer guten Website-Wartung. Bei WordPress-Seiten hängt das häufig mit dem Gesamtpaket aus Updates und Backups zusammen (dazu: WordPress-Wartungsvertrag).

Warum HTTPS auch für Sichtbarkeit und Vertrauen zählt

HTTPS ist seit Jahren ein Standard, den Browser und Suchmaschinen voraussetzen. Ein Ranking-Wunder ist es nicht: Google hat es als leichtes Signal beschrieben, und eine saubere Umstellung allein bringt keine Platzierung. Entscheidend ist der Umkehrschluss. Eine Seite mit Warnhinweis verliert Vertrauen und Besucher, bevor sie überhaupt Deine Inhalte sieht. Gerade bei Anfragen über das Kontaktformular oder bei Käufen im Shop wirkt ein sauberes Schloss-Symbol unscheinbar, ein Fehler dagegen sofort geschäftsschädigend.

Selbst einrichten oder einrichten lassen?

Bei vielen Hostern ist die Aktivierung eines DV-Zertifikats ein Klick im Kundenbereich. Dann brauchst Du keine Agentur, sondern nur eine kurze Kontrolle, ob alles sauber umgeleitet wird. Sinnvoll ist Hilfe vor allem in diesen Fällen:

Mehrere Domains und Subdomains (Hauptseite, Shop, Landingpages, Mailserver), bei denen leicht eine Variante vergessen wird.
Umzug zu einem neuen Hoster oder einem neuen System, bei dem Zertifikat, DNS und Weiterleitungen zusammenspielen müssen.
Online-Shops, bei denen ein Ausfall des Checkouts direkt Umsatz kostet.
Eigene Server (VPS), auf denen Du die automatische Erneuerung selbst einrichten und überwachen musst.

Die Kosten hängen stark vom Umfang ab: Ein Zertifikat selbst kann kostenlos sein, der Aufwand liegt in Einrichtung, Test und Überwachung. Ein Pauschalpreis lässt sich seriös nur nach einem Blick auf Deine Konstellation nennen.

Kurzer Selbsttest für Deine Website

Diese fünf Punkte kannst Du in wenigen Minuten prüfen:

Öffne Deine Seite mit http:// am Anfang. Wirst Du automatisch auf https:// umgeleitet?
Klick im Browser auf das Schloss-Symbol und schau Dir das Ablaufdatum des Zertifikats an.
Teste sowohl die Variante mit als auch ohne www.
Rufe Unterseiten, Bilder und das Kontaktformular auf: Erscheint irgendwo eine Warnung?
Frag Deinen Hoster oder Deine Betreuung, wer das Zertifikat erneuert und wie Du bei einem Fehler benachrichtigt wirst.

Kannst Du Punkt 5 nicht beantworten, ist das die wichtigste Lücke, die Du schließen solltest. Das Thema ist keine Rechtsberatung, aber auch technisch eine Frage der Zuständigkeit: Wenn niemand dafür verantwortlich ist, fällt es erst auf, wenn Besucher die Warnung sehen.

Typische Fehler

Zertifikat läuft ab, niemand merkt es: Klassiker bei Seiten ohne Zuständigkeit.
Weiterleitungsschleifen nach dem Umstellen auf HTTPS, oft durch doppelte Regeln im CMS und auf dem Server.
Falsche Domain-Variante: Das Zertifikat deckt example.de, aber nicht www.example.de ab.
Mixed Content durch alte Einbindungen.
Zertifikat nur für die Hauptdomain, obwohl Shop oder Portal auf einer Subdomain laufen.

Häufige Fragen

Brauche ich als kleines Unternehmen wirklich ein SSL-Zertifikat?

Ja. Ohne HTTPS markieren Browser die Seite als „nicht sicher“, und Formulare übertragen Daten unverschlüsselt. Für jede Website mit Kontaktformular oder Login ist HTTPS heute Standard.

Reicht ein kostenloses Zertifikat?

Für die meisten Firmenwebsites ja. Die Verschlüsselung ist gleich stark; kostenpflichtige Varianten bieten vor allem Zusatzleistungen. Wichtiger als der Preis ist, dass die Erneuerung zuverlässig automatisch läuft.

Was passiert, wenn mein Zertifikat abläuft?

Besucher sehen eine Sicherheitswarnung und können die Seite oft nur über mehrere Klicks öffnen. Formulare, Shops und Schnittstellen können ausfallen, bis ein neues Zertifikat installiert ist.

Muss ich wegen der 200 Tage selbst etwas tun?

Wenn Dein Hoster die Erneuerung automatisiert, in der Regel nicht. Frag nach, ob das bei Dir so eingerichtet ist. Nur wer manuell erneuert, muss seinen Ablauf anpassen.

Fazit

HTTPS ist Pflichtprogramm, und mit kürzeren Laufzeiten wird sauber automatisierte Erneuerung wichtiger. Wenn Du Dir nicht sicher bist, wie Dein Zertifikat aktuell eingerichtet ist, oder Deine Website technisch prüfen und betreuen lassen willst, melde Dich für ein unverbindliches Erstgespräch. Alternativ findest Du Details zu unserem Angebot unter Website erstellen.