SSL Zertifikat | In 5 Schritten zur sicheren Website

Websites ohne SSL Zertifikat

Die URL (Uniform Resource Locator = einheitlicher Quellen-Anzeiger) der meisten Websites begann bisher mit http://….

Andererseits heißt das nicht, dass diese Websites tatsächlich immer unsicher sind. In Anbetracht der weiterhin zunehmenden „Hacker“-Aktivitäten, ist das Risiko bei diesen Webseites einfach höher, dass Login-Daten etc. von Dritten abgegriffen werden können.

Risiko-Minimierung mit SSL Zertifikat

Um das Internet sicherer zu machen, wurde das sicherere Hypertext Übertragungsprotokoll (HTTPS) eingeführt. Dabei handelt es sich um eine Transportverschlüsselung (SSL / TLS), die eine „abhörsichere“ Übertragung von Daten ermöglicht. Du kennst SSL/TLS (Secure Socket Layer/Transport Layer Security) vielleicht schon von deinen E-Mail-Konten.

Vor allem Websites mit sensiblen Inhalten wie Online-Banking-Plattformen oder -Shops arbeiten schon lange mit einem SSL-Zertifikat. Dagegen waren die meisten Nachrichten-Portale oder Blogs unverschlüsselt. Denn die Verschlüsselung kann, abhängig vom Aussteller des SSL Zertifikats und Hosting-Anbieter, relativ teuer sein.

Bevorzugung von verschlüsselten Websites

Da Google weltweit die größte Suchmaschine ist, sollte deine Website möglichst auch für das Ranking bei Google optimiert sein. Neben einigen anderen Faktoren gehört auch ein SSL Zertifikat dazu. Wie Google bereits im September 2016 in seinem Blog bekannt gab, wird es › HTTP-Websites zukünftig zunehmend als not secure kennzeichnen.

Dementsprechend zeigen nicht nur der Chrome-, sondern auch andere Browser bei Websites ohne SSL Zertifikat einen (Warn-) Hinweis. Wie beispielsweise Mozilla mitteilt, wird Firefox in Zukunft eine nicht verschlüsselte Website gar nicht mehr anzeigen. Und es dürfte eine Frage der Zeit sein, wann andere Browser folgen werden.

SSL Zertifikat erwerben

Erste Anlaufstelle vor der Umstellung deiner Website ist dein Hosting-Anbieter. Zwar stellt dieser in der Regel selbst kein SSL Zertifikat aus. Aber Hosting-Anbieter arbeiten meistens mit bestimmten SSL Zertifikat-Ausstellern zusammen und akzeptieren nur diese.

Auf der Homepage deines Hosters erfährst du, welche Zertifikate er anbietet. Bei manchen bekommst du nur ein kostenpflichtiges SSL Zertifikat. Jedoch findest du auch immer häufiger die Option, den kostenlosen Service z. B. von Let’s Encrypt zu verwenden.

› Let’s Encrypt

Darüber hinaus spielt es eine Rolle, ob du nur ein SSL Zertifikat für eine Website benötigst oder ob du mehrere verschlüsseln möchten. Auf jeden Fall solltest du ein 2048-Bit-Schlüsselzertifikat verwenden.

Vorteile sind, dass das SSL-Zertifikat von Let’s Encrypt nichts kostet. Außerdem steht es dir innerhalb weniger Minuten zur Verfügung. In punkto Sicherheit gibt es keinen Unterschied zu einem kostenpflichtigen SSL Zertifikat. Deren Bereitstellung kann aber bis zu 24 Stunden dauern.

Jedoch ist Let’s Encrypt, wie die Zertifikate anderer Anbieter normalerweise auch, kein dauerhaftes Zertifikat. Je nach Hosting-Anbieter musst es alle 30 bis 90 Tage verlängert werden. Allerdings kannst du eine automatische Verlängerung einstellen.

Vorbereitung

Bevor du das SSL Zertifikat implementierst, überprüfst du am besten die Inhalte deiner Website. So kannst du beispielsweise nicht mehr genutzte Bilder oder Videos löschen. Denn diese wären ein unnötiger Ballast bei der Umstellung.

Anschließend solltest du ein Plug-in wie WP-Sweep oder WP-Optimize installieren. Es befreit deine Website von Überresten gelöschter Dateien und Codes. Darüber hinaus sind solche Plug-ins auch „im laufenden Betrieb“ deiner Website sehr nützlich.

Abschließend ist es von Vorteil, ein komplettes Backup deiner, nun etwas schlankeren Website zu erstellen und abzuspeichern. Denn bei allen größeren Umbauten besteht immer die Möglichkeit, dass Fehler auftreten, die schlimmstenfalls Inhalte deiner Website verschwinden lassen.

SSL Zertifikat – Installation

Zunächst loggst du dich bei deinem Hosting-Anbieter ein. Anschließend rufst du den Admin-Bereich für deinen Webspace auf. Danach geht es wie folgt weiter:

1. Paketverwaltung
2. SSL
3. SSL anlegen

Falls dein Hosting-Anbieter eine 1-Click-Installation anbietet:

1. Auf den entsprechenden Button klicken
2. zu verschlüsselnde Domain auswählen
3. Haken bei automatische Verlängerung setzen^[1].

^[1] Wenn du das SSL Zertifikat nicht einen Tag vor Ablauf verlängerst, erlischt es am darauf folgenden Tag ohne Vorwarnung. Deine Seite wäre wieder unverschlüsselt und u. U. nicht mehr aufrufbar (s. auch unter SSL Zertifikat erwerben).

Unterschiedliche URLs – Identischer Inhalt

Sobald du auf okay geklickt hast, wird dein SSL Zertifikat erstellt. Abschließend fehlt nur noch der Haken bei der automatischen Weiterleitung der alten Adresse auf die neue Website. Das vereinfacht das weitere Verfahren erheblich und hilft, doppelte Inhalte zu vermeiden.

Da es sich aus Sicht der Suchmaschinen bei bei http:// meine-seite .de und https:// meine-seite .de um zwei verschiedene Internetadressen handelt, führt das zu Problemen. Denn die Inhalte der alten und der neuen Website sind ja identisch. Der so entstandene doppelte Inhalt beeinflusst jedoch das Ranking der neuen Website negativ. Des weiteren vermeidest du mit der Weiterleitung auch 404 Fehlermeldungen durch tote Links auf anderen Webseiten.

Änderungen im WP-Backend

Obwohl deine Seite jetzt über ein gültiges SSL Zertifikat verfügt, erkennt das WordPress zunächst nicht. Deshalb loggst du dich in deinem WP-Backend ein und nimmst folgende Änderungen vor:

1. Einstellungen
2. WordPress-Adressen URL und Website-Adressen URL
3. bei beiden hinter http ein s einfügen = https://…
4. Änderung übernehmen

Außerdem musst du die URL auch in den Einstellungen der Plug-ins, die auf deine Website-URL direkt zugreifen, anpassen.

Website läuft … immer noch nicht

Um zu überprüfen, ob deine Website jetzt auch über die neue Adresse aufrufbar ist, gibst du die neue URL am besten in die Browser-Suchleiste eines anderen Geräts (andere IP-Adresse) oder im Privaten Modus deines Browsers ein.

Entweder erscheint neben deiner URL jetzt ein graues/grünes Schloss oder das Schloss zeigt einen Warnhinweis. Letzteres ist wahrscheinlicher. Zwar ist deine Website als solche jetzt verschlüsselt, aber es scheint immer noch Inhalte zu geben, die es nicht sind.

Wenn du Erfahrung mit den Entwickler-Werkzeugen deines Browsers hast, kannst du auch dort Hinweise auf unverschlüsselte Inhalte finden. Falls du jedoch über eher wenige technische Kenntnisse verfügst, bietet sich für die Suche die Verwendung eines Plugins an.

Korrektur unverschlüsselter Inhalte

Das bekannteste und wohl auch beste WP-Plug-in für diesen Zweck ist Better Search Replace. Zur Durchführung des Tests gehst du wie folgt vor:

1. Alte URL (http://…) eintragen
2. neue URL (https://…) eingeben
3. zu durchsuchende Dateien markieren
4. Haken bei Testlauf setzen
5. Starten

Das kann je nach Anzahl deiner Dateien einige Minuten dauern. Am Ende erhältst du eine Liste, in der alle Dateien markiert sind, die angepasst werden müssten.

Wenn du damit einverstanden bist, wiederholst du den Vorgang ohne den Haken bei Testlauf zu setzen. Danach sollten alle unverschlüsselten Dateien korrigiert sein. Anschließend kannst du das Plugin wieder deinstallieren.

› Better Search Replace

Defekte oder zerbrochene Links

Darüber hinaus hast du die Möglichkeit, deine Website mit dem Broken Link Checker auf veraltete Links zu durchsuchen. Auch dieses Plug-in kannst du hinterher wieder deinstallieren. Allerdings leistet es u. U. ebenfalls später noch gute Dienste.

Denn es passiert immer wieder, dass Beiträge, auf die du verlinkst, aus dem Netz verschwinden. Da du kaum regelmäßig manuell alle Links kontrollieren wirst, zeigt dir das Plugin zerbrochene Links direkt in deinem WP-Dashboard an.

Wenn du kein Extra-Plug-in installieren möchtest, gibt es die Möglichkeit deine Links auch über die kostenlose Website Free Broken Link Check zu testen. Vor allem bietet sich dieser Online-Check an, wenn deine Website zahlreiche Verlinkungen zu externen Webseiten enthält.

Warnhinweis trotz SSL Zertifikat

Nachdem du alle Umstellungsmaßnahmen erfolgreich beendet hast, können in der Folgezeit erneut Probleme auftreten. So könnte dein Schloss je nach Browser plötzlich wieder „ergrauen“, orange werden oder es erscheint ein oranges Warndreieck bzw. ein durchgestrichenes Schloss.

Zwar verfügt deine Website nach wie vor über ein gültiges SSL-Zertifikat, einige Teile werden aber unverschlüsselt übertragen. Meistens sind dies alte Bilder. Diese werden u. U. in manchen Browsern in Zukunft nicht mehr angezeigt.

Um dem kritischen Inhalt auf die Spur zu kommen, ist etwas Detektivarbeit nötig. Zum einen eignet sich zur Suche auch wieder der Broken Link Checker. Zum anderen kann es auch passieren, dass er keine Probleme anzeigt, der Browser aber schon.

Entweder du …

• überprüfst manuell z. B. alle Bilder und änderst deren URL, sofern du fündig wirst,
• hebst im Browser die Blockierung gemischter Inhalte auf, indem du auf das Schloss klickst und den Anweisungen folgst (was natürlich keine Wirkung bei Besuchern deiner Website zeigt)
• oder du lebst damit, dass vielleicht einzelne Beiträge nicht zu 100 % verschlüsselt sind.

Wobei die beiden letzten Optionen natürlich die Sicherheit verringern und keine echten Alternativen sind. Vor allem das Aufheben der Blockierung im Browser birgt das größte Risiko. Denn damit „öffnest“ du sozusagen die gesamte Website, selbst wenn nur wenige unsichere Teile vorhanden sind.

Bei dieser Gelegenheit solltest du auch Links, die auf externe Seiten verweisen, hinsichtlich deren Verschlüsselung überprüfen. Zwar ist es nicht verboten, auf unsichere Inhalte zu verweisen, aber du zeigst mehr Verantwortungsbewusstsein in punkto Sicherheit im Internet, wenn du nicht (mehr) auf solche Webseiten verlinkst.

Anmeldung bei Google

Etwas komplizierter gestaltet sich die Umstellung im › Webmaster-Tool, sofern du dieses verwendest.

1. Google Search Console im Browser aufrufen
2. mit einer Google-Mail-Adresse einloggen
3. die https-Property als neue Property hinzufügen
4. weiter zu „Sitemaps“
5. gewünschte Sitemap/s mit der neuen URL hinzufügen

Falls du › Google Analytics verwendest, müsstest du dich …

1. bei Google Analytics einloggen
2. Verwaltung
3. auf die alte Property klicken
4. neue Property mit neuer Tracking-ID für die neue URL erstellen
5. alte Property löschen

Kontrolliere bei dieser Gelegenheit auch, ob du Google Analytics datenschutzkonform (ist eigentlich nicht mehr möglich) einsetzt. Hast du zumindest

• einen Vertrag zur Auftragsdatenverarbeitung abgeschlossen
• die IP Anonymisierung aktiviert
• deine Datenschutzerklärung aktualisiert und einen
• Opt-out Button im Cookie-Hinweis mit einem Link zum Browser Plugin gesetzt?

Zurück im WP-Dashboard löschst du alle alten Angaben im Google Analytics-Plugin. Anschließend gibst du deinen neuen Tracking-Code ein und autorisiertest das Plugin erneut.

Sowohl beim Webmaster-Tool als auch bei Google Analytics kann die Umstellung einige Tage bis Wochen dauern, da Google alle Dateien neu crawlen muss.

Soziale Netzwerke etc.

Zuletzt darfst du nicht vergessen, auch alle Links, die z. B. in deinen Social Media Profilen auf die alte Website hinweisen, zu ändern. Denn je weniger Besucher nur über die Weiterleitung auf deine „neue Website“ kommen, desto besser. Schließlich sollen sie sich ja an die neue URL gewöhnen und deine Website direkt darüber besuchen.

SSL Zertifikat – Zusammenfassung

Bei mir hat die Umstellung auf eine Webseite mit SSL Zertifikat problemlos funktioniert. Darüber hinaus konnte ich auch keine Verschlechterung der Performance oder Traffic-Einbußen feststellen. Sogar Google hat es nach zwei Wochen geschafft, fast alle eingereichten Dateien und Bilder neu zu crawlen.

Voraussetzung ist natürlich, dass dein Hosting-Anbieter mitspielt. Da der Druck durch die Betreiber von Suchmaschinen und Browsern stetig wächst, dürfte sich wohl kein Hosting-Anbieter mehr dagegen sträuben. Wenn doch, solltest du den Anbieter wechseln.

Fazit

Auch wenn der oben beschriebene Weg langwierig und mühsam zu sein scheint, ist er doch der schnellste. Vor allem für Blogger, die sich nicht tiefergehend mit Programmierung und Coding auseinandersetzen wollen, bietet sich diese Methode an. Denn auf ein SSL Zertifikat zu verzichten ist definitiv keine echte Option.

© eb | › Externe Verlinkungen: Dieser Beitrag enthält keine Affiliate-/Partner-Links.