SSL-Check: SSL-Zertifikat einer Website prüfen

Der SSL-Check von ssl.de holt das SSL-Zertifikat Ihrer Website vom Server und prüft es so, wie ein Browser es beim Aufruf der Seite prüft. Vier Punkte entscheiden über „gültig“ oder „ungültig“:

• Gültigkeitszeitraum: Ist das Zertifikat heute gültig, also weder abgelaufen noch erst ab einem späteren Datum gültig?
• Domainname: Steht der geprüfte Name als gültige Domain im Zertifikat?
• Vertrauen: Stammt das Zertifikat von einer Stelle, der Browser vertrauen, und liefert Ihr Server alles mit, was ein Browser braucht, um das zu erkennen?
• Verschlüsselung: Sind Schlüssel und Signatur nach heutigem Stand sicher? Veraltete Verfahren lehnen Browser ab.

Läuft das Zertifikat in den nächsten 30 Tagen ab, weist ein Hinweis darauf hin, der Status bleibt „gültig“. Dazu zeigt der SSL-Check, auf wen das Zertifikat ausgestellt ist, wer es ausgestellt hat und mit welcher Verschlüsselung Ihr Server die Verbindung aufbaut. Konnte er das Vertrauen aus technischen Gründen nicht prüfen, steht „Prüfung unvollständig“.

Nicht geprüft werden Sperrlisten, Transparenz-Logs und die Einstellungen des Servers, etwa die erlaubten Protokolle.

Geben Sie im SSL-Check von ssl.de den Domainnamen ein, zum Beispiel www.example.de, und klicken Sie auf „Domain prüfen“. Sie können die Adresse auch samt https:// und Pfad aus der Adresszeile des Browsers kopieren. Das Ergebnis steht meist nach wenigen Sekunden da.

Es hat drei Teile: den Status (gültig, ungültig oder Prüfung unvollständig), die Hinweise mit dem nächsten Schritt zu jedem Problem und die Einzelheiten zu Domain, Inhaber, Zertifizierungsstelle, Technik und Verbindung. Findet der SSL-Check unter dem eingegebenen Namen keinen Server, prüft er den Namen mit www. davor und sagt das im Ergebnis. Den Domainnamen speichern wir nicht, das Ergebnis bleibt 30 Minuten in Ihrer Sitzung, damit Sie die Seite neu laden können.

Meist prüft der Browser einen anderen Namen oder erreicht einen anderen Server als der SSL-Check, oder die Uhr des Computers geht falsch.

• Anderer Name: Das Zertifikat gilt für example.de, die Seite läuft unter www.example.de (oder umgekehrt). Beide Namen gehören ins Zertifikat. Prüfen Sie genau den Namen aus der Adresszeile.
• Anderer Server: Der SSL-Check prüft einen Server der Domain. Hat die Domain mehrere Server, kann Ihr Browser bei einem anderen landen, auf dem ein anderes Zertifikat liegt.
• Falsche Uhrzeit: Geht die Uhr des Computers falsch, hält der Browser ein gültiges Zertifikat für abgelaufen oder noch nicht gültig.
• Gemischte Inhalte: Die Seite bindet Bilder oder Skripte per HTTP ein. Das Zertifikat ist in Ordnung, die Seite nicht.
• Älteres Gerät: Ältere Betriebssysteme und Browser kennen manche neueren Zertifizierungsstellen nicht und warnen, obwohl das Zertifikat in Ordnung ist.

Ein Browser vertraut nicht dem Zertifikat selbst, sondern der Stelle, die es ausgestellt hat: der Zertifizierungsstelle, zum Beispiel Sectigo, DigiCert oder Let’s Encrypt. Zwischen Ihrem Zertifikat und der Zertifizierungsstelle liegt meist ein weiteres Zertifikat, das Zwischenzertifikat. Diese Kette heißt Vertrauenskette.

Die drei Glieder:

1. Ihr Zertifikat: auf Ihre Domain ausgestellt, liegt auf Ihrem Server.
2. Zwischenzertifikat: gehört der Zertifizierungsstelle, Ihr Server muss es mit ausliefern.
3. Wurzelzertifikat: der Ausgangspunkt der Zertifizierungsstelle, den Browser und Betriebssysteme bereits kennen.

Der SSL-Check von ssl.de prüft diese Kette so wie ein Browser und nennt bei einem Fehler den Grund, etwa „Zwischenzertifikat fehlt“ oder „Zwischenzertifikat abgelaufen“.

Das Zwischenzertifikat ist ein zusätzliches Zertifikat der Zertifizierungsstelle, das Ihr Server zusammen mit Ihrem Zertifikat ausliefern muss. Meist fehlt es, weil bei der Installation nur das eigene Zertifikat eingespielt wurde. Auf dem eigenen Rechner fällt das oft nicht auf, weil der Browser das fehlende Zertifikat aus dem Cache kennt oder selbst nachlädt. Manche Browser und Geräte zeigen dagegen eine Warnung, viele Apps und Mail-Programme brechen die Verbindung ab.

So beheben Sie es:

1. Laden Sie das Zwischenzertifikat bei Ihrer Zertifizierungsstelle herunter, meist als Datei „Intermediate“, „CA-Bundle“ oder „Chain“.
2. Installieren Sie es zusammen mit Ihrem Zertifikat: bei Apache und nginx in derselben Datei hinter Ihrem Zertifikat, in Plesk und ähnlichen Oberflächen im Feld für das CA-Zertifikat.
3. Starten Sie den Webserver neu und prüfen Sie die Domain mit dem SSL-Check von ssl.de noch einmal.

Ein neues Zertifikat brauchen Sie dafür nicht.

Ein SSL-Zertifikat gilt nur für die Domainnamen, die darin eingetragen sind. example.de und www.example.de sind zwei verschiedene Namen. Erreichen Besucher die Website unter beiden, müssen beide im Zertifikat stehen.

Ein Wildcard-Zertifikat für *.example.de deckt alle Subdomains einer Ebene ab, etwa www.example.de und shop.example.de. Es gilt nicht für example.de selbst, wenn dieser Name nicht zusätzlich enthalten ist, und nicht für tiefere Ebenen wie test.shop.example.de. Der SSL-Check prüft genau den eingegebenen Namen nach diesen Regeln und zeigt alle eingetragenen Namen an.

Lassen Sie ein neues Zertifikat ausstellen und installieren Sie es auf dem Server. Ein abgelaufenes Zertifikat lässt sich nicht verlängern.

1. Erzeugen Sie einen CSR (die Bestelldatei für ein Zertifikat), mit dem vorhandenen oder einem neuen privaten Schlüssel.
2. Bestellen Sie das Zertifikat und reichen Sie den CSR ein. Passende Zertifikate mit Domain-, Organisations- und erweiterter Validierung finden Sie in der Übersicht der SSL-Zertifikate.
3. Installieren Sie das neue Zertifikat zusammen mit dem aktuellen Zwischenzertifikat und prüfen Sie die Domain mit dem SSL-Check von ssl.de noch einmal.

Planen Sie die Erneuerung spätestens 30 Tage vor dem Ablauf, ab dann weist der SSL-Check darauf hin. Ist das Zertifikat abgelaufen, zeigen alle Browser statt der Website eine Sicherheitswarnung.

Der SSL-Check von ssl.de braucht einen Server, der unter dem Domainnamen im Internet erreichbar ist und HTTPS mit einer aktuellen Verschlüsselungsversion anbietet. Fehlt eines davon, steht „Prüfung nicht möglich“ mit dem Grund:

• Keine Adresse: Unter dem Namen, auch mit www. davor, ist kein Server eingetragen, oder die Nameserver antworten nicht. Prüfen Sie die Schreibweise.
• Nur IPv6: Der Server ist nur über eine Adresse der neuen Art (IPv6) erreichbar, der SSL-Check prüft derzeit nur IPv4-Adressen.
• Private Adresse: Interne Adressen, etwa aus einem Firmennetz, prüft der SSL-Check nicht.
• Keine Verbindung: Der HTTPS-Zugang des Servers (Port 443) antwortet nicht, oder eine Firewall blockiert ihn.
• Veraltete Verschlüsselung: Der Server bietet nur Versionen älter als TLS 1.2 an, die auch aktuelle Browser ablehnen.

Andere Dienste, etwa Mailserver, prüft der SSL-Check nicht. Die Zertifikatsdatei können Sie in allen Fällen mit SSL-Zertifikat auslesen prüfen.