Kostenlose SSL-Zertifikate: Anbieter, Vor- und Nachteile

Domain-Name der Webseite, für die das Zertifikat erstellt wurde, und wer sich hinter dem Namen verbirgt.

Namen und digitale Signatur der Organisation, die das Zertifikat erstellt hat.

Ausstellungs- und Verfalldatum des Zertifikats. Seit September 2020 beträgt die maximale Gültigkeitsdauer 13 Monate.

Public Key, der zur Webseite gehört, damit eine asymmetrisch verschlüsselte Verbindung (Public-Private-Key Verschlüsselung) aufgebaut werden kann.

Je nach Art des SSL-Zertifikats auch mit der Hauptdomain verknüpfte Subdomains und Informationen über das Unternehmen, dem die Webseite gehört.

Der Server zeigt dem Client (Ihrem Rechner) sein Zertifikat. Ist der Herausgeber in der Liste der vertrauenswürdigen Herausgeber enthalten, ist die Integrität der Webseite bewiesen.

Der Client erhält den öffentlichen Schlüssel des Servers. Der private Schlüssel bleibt dagegen beim Server.

Mit dem öffentlichen und dem privaten Schlüssel berechnen Client und Server einen gemeinsamen, dritten kryptografischen Schlüssel (symmetrische Verschlüsselung), der anderen nicht zur Verfügung steht. Damit tauschen sie untereinander Daten sicher aus.

Wer von seinem Hosting-Anbieter einen sogenannten Shell-Account bekommt, der einen Remote-Zugang via Unix-Shell ermöglicht, erhält das Zertifikat zum Beispiel mit Certbot. Das ist eine Anwendung, die das sichere ACME-Protokoll benutzt und Domains automatisch prüft. Dafür erhält Certbot eine Anfrage (Challenge) von Let’s Encrypt. Beispielsweise muss er einen DNS-Eintrag verändern oder einfügen, um die Domain-Inhaberschaft nachzuweisen. Alternativ lassen sich auch andere Clients verwenden, solange sie das ACME-Protokoll unterstützen.

Ist kein Shell-Account verfügbar, wendet sich der Webseitenbetreiber am besten an seinen Hoster, der das SSL-Zertifikat bei Let’s Encrypt anfordert. Viele Hoster haben Let’s Encrypt implementiert.

Gibt es weder einen Shell-Account noch Let’s Encrypt-Support beim Hoster, lässt sich Certbot auch in manuellem Modus verwenden. Indem ein Nutzer eine bestimmte Datei auf dem Hosting-Server hochlädt, beweist er, dass er die Domain besitzt. Das SSL-Zertifikat lädt er dann ebenfalls manuell auf dem Server hoch.

Erstellen Sie ein kostenloses Cloudflare-Konto. Dafür steht der Tarif „Free“ zur Verfügung.

Fügen Sie dem Konto die gewünschte Website (Domain) hinzu.

Wählen Sie die gewünschte Option. Mit „Flexible“ erhalten Nutzer ein SSL-Zertifikat, das den Datenverkehr von den Webseitenbesuchern zum Cloudflare-Server verschlüsselt, aber nicht vom Cloudflare-Server zum Hoster-Server. „Full“ und „Full Strict“ garantieren dagegen eine Ende-zu-Ende-Verschlüsselung. Bei „Full Strict“ muss das Zertifikat zusätzlich aus einer geprüften Zertifizierungsstelle stammen, während „Full“ auch von Cloudflare herausgegebene (Origin CA) oder selbst signierte Zertifikate erlaubt.

Entscheidet man sich beispielsweise für ein Origin CA Zertifikat von Cloudflare, erstellt die Software eine sogenannte Zertifikatsignierungsanforderung (Certificate Signing Request, Endung .crt) und einen Privatschlüssel (Private Key, Endung .key). Beide Dateien werden lokal gespeichert.

Wählen Sie die Domain, für die das Zertifikat erstellt werden soll.

Erstellen Sie das SSL-Zertifikat.

Laden Sie das Zertifikat auf dem Hosting-Server hoch.

Bei Domain-validierten SSL Zertifikaten prüft der Herausgeber nur, ob der Antragsteller die Domain besitzt. Beispielsweise sendet er eine Test-Mail, um zu schauen, ob die E-Mail-Adresse des Antragstellers mit der in der Whois-Datenbank eingetragenen E-Mail-Adresse übereinstimmt. Die Whois-Liste ist eine Datenbank, die einem Telefonbuch ähnelt. Sie enthält Informationen zu den existierenden Domains und ihren Inhabern. Hat die Webseite ein Domain-validiertes SSL-Zertifikat erhalten, erscheint in der Browserleiste ein Schloss.

Bei Organisation-validierten SSL Zertifikaten überprüft die ausstellende Organisation auch das Unternehmen, das die Domain besitzt. Dafür benötigt sie in der Regel Dokumente wie den Handelsregisterauszug oder die Gewerbeanmeldung. Gewisse Informationen über das Unternehmen (Adresse und Sitz) erhält der Endnutzer, wenn er auf das Schlosssymbol links von der URL klickt.

Die Extended-Validation Zertifizierung ist die aufwändigste SSL-Zertifizierung und bestimmten Zertifizierungsstellen vorbehalten. Hier verifiziert der Herausgeber nicht nur das Unternehmen, sondern auch die Identität der Geschäftsführer. Auch prüft er, ob der Antragsteller befugt ist, das SSL-Zertifikat im Namen des Unternehmens zu beantragen. Frühere Browserversionen stellten ein Extended-Validation Zertifikat mit einer grünen Adressleiste dar. Neuere verzichten auf diese Darstellung, jedoch sind relevante Informationen mit einem Klick auf das Schlosssymbol einsehbar.

Single – hier prüft der Herausgeber eine einzige Domain, beispielsweise sport.de.

Wildcard – diese Art von SSL-Zertifikat bescheinigt die Integrität von einer Domain und der dazugehörigen Subdomains, beispielsweise sport.de, fussball.sport.de und wetten.sport.de.

Multidomain – dieses Zertifikat gilt für mehrere Domains, zum Beispiel sport.de und fitness.de.

Keine Kosten – wer ein Business startet, muss viele Ausgaben ohne entsprechenden Umsatz bewältigen. Gratis SSL-Zertifikate entlasten das Budget. Auch für Blogger sind sie eine gute Alternative zu bezahlten Paketen.

Sicherheit – kostenlose SSL-Zertifikate nutzen die gleichen Verschlüsselungsalgorithmen wie kostenpflichtige Zertifikate, um die verschlüsselten Daten zu übertragen. Die digitale Signatur besteht meist aus einer ebenfalls sicheren 4096-Bit-RSA-Schlüssel.

Schnell – da das Verfahren automatisiert ist, wird das SSL-Zertifikat in der Regel sofort ausgestellt. Kostenpflichtige Anbieter prüfen dagegen oft Einträge manuell, was länger dauert.

Transparent – das Prüfverfahren ist bei Anbietern wie Let’s Encrypt und Cloudflare verständlich dargestellt. Auch nicht technisch versierte Webseitenbesitzer können alle Schritte nachvollziehen.

Unabhängig – Initiativen wie Let’s Encrypt sind gemeinnützig. Zwar stecken dahinter große Unternehmen wie Linux, Mozilla und Google, dennoch ist das Projekt im Gegensatz zu kostenpflichtigen SSL-Zertifikaten nicht profitorientiert, was seine Glaubwürdigkeit erhöht.

Art des Zertifikats – meist sind nur Domain-validierte SSL-Zertifikate kostenlos. Eine Überprüfung des Unternehmens ist somit nicht möglich.

Automatische Überprüfung – bei bezahlten SSL-Zertifikaten prüft der Herausgeber die Antragsteller detaillierter. Beispielsweise rufen Mitarbeitende das Unternehmen an oder schauen sich die Einträge im Handelsregister an. Das hilft, Betrüger zu erkennen. Kostenlose SSL-Zertifikate haben dagegen gelegentlich auch Hacker erhalten. Darunter kann die Glaubwürdigkeit leiden, obwohl die meisten Websites ehrlich sind.

Fehlender Kundenservice – gibt es technische Probleme, hilft bei kostenlosen Anbietern keine Hotline, sondern meist gibt es nur Community-Foren. Das ist insbesondere für nicht technisch versierte Webseiteninhaber problematisch.

Keine Garantie – ist das Zertifikat fehlerhaft und entsteht ein finanzieller Schaden, steht Webseiteninhabern bei kostenlosen SSL-Zertifikaten keine Entschädigung zu. Das passiert zwar selten, ist aber möglich.