Ein SSL-Zertifikat ist nicht durch ein einzelnes Gesetz vorgeschrieben, in der Praxis aber faktisch Pflicht — sobald eine Website personenbezogene Daten verarbeitet, ein Kontaktformular einbindet, Logins anbietet oder Zahlungen entgegennimmt. Rechtlich ergibt sich diese Pflicht aus Art. 32 DSGVO in Verbindung mit § 19 TDDDG (vormals § 13 Abs. 7 TMG).
Art. 32 DSGVO verlangt Verschlüsselung „nach dem Stand der Technik" bei der Übertragung personenbezogener Daten. Schon der Aufruf einer Website überträgt mit der IP-Adresse ein personenbezogenes Datum — TLS-Verschlüsselung ist damit der heute übliche Mindeststandard.
Wo eine Pflicht oder ein faktischer Zwang zur TLS-Verschlüsselung besteht:
| Bereich | Grundlage | Praxis |
|---|---|---|
| Personenbezogene Daten | Art. 32 DSGVO, § 19 TDDDG | Verschlüsselung nach Stand der Technik — TLS gilt als Mindestanforderung |
| Kontaktformulare, Newsletter, Logins | Art. 32 DSGVO | Datenschutzbehörden mahnen unverschlüsselte Formulare regelmäßig ab |
| Onlineshops und Zahlungsabwicklung | PCI DSS | TLS 1.2 oder höher mit starken Cipher Suites verbindlich |
| Banken, Versicherungen, Finanzdienstleister | BAIT, MaRisk, DORA | TLS Pflicht, oft kombiniert mit zusätzlichen Anforderungen an Schlüssellängen und Zertifikatsverwaltung |
| Behörden und öffentliche Stellen | BSI TR-03116 | verbindliche Vorgaben zu TLS-Versionen und Cipher Suites |
| Gesundheitsdaten, Telematikinfrastruktur | § 75b SGB V, gematik-Vorgaben | TLS verpflichtend, oft mit zusätzlichen Anforderungen an Client-Zertifikate |
Zur Pflicht kommen die technischen Realitäten, die kaum eine Website ignorieren kann:
Secure — bei modernen Tracking- und Session-Mechanismen nicht mehr wegzudenken — funktionieren ausschließlich über HTTPS.Welche Konsequenzen drohen, wenn Sie ohne Zertifikat betreiben:
Eine reine Visitenkartenseite ohne Formulare, Logins oder Tracking-Skripte wäre rechtlich noch der Grenzfall. Praktisch trifft das aber auf kaum eine Website zu — sobald ein Kontaktformular, ein Newsletter, ein Analytics-Skript oder eine Schriftart von einem CDN eingebunden wird, fließen personenbezogene Daten, und TLS ist Pflicht.
Kurz zusammengefasst: Es gibt keine direkte gesetzliche Vorschrift „jede Website muss SSL haben", wohl aber ein dichtes Netz aus DSGVO, branchenspezifischen Vorgaben und technischen Anforderungen, das ohne TLS-Zertifikat in der Praxis nicht erfüllbar ist.