Was ist der Unterschied zwischen einem SSL-Zertifikat und einer SSL-Verschlüsselung?

Ein SSL-Zertifikat ist eine digitale Datei, die die Identität einer Domain bestätigt. Die SSL-Verschlüsselung ist der eigentliche Vorgang, bei dem Daten zwischen Browser und Server verschlüsselt übertragen werden. Beide gehören zusammen — das Zertifikat ist die Voraussetzung, die Verschlüsselung das Ergebnis.

Anders formuliert: Das Zertifikat ist der Ausweis, die Verschlüsselung der gesicherte Transport. Ohne Zertifikat keine vertrauenswürdige Verschlüsselung, denn der Browser kann ohne Zertifikatsprüfung nicht erkennen, mit wem er gerade einen verschlüsselten Kanal aufbaut.

Die Unterschiede im Detail:

TLS-Handshake im Überblick

1. Browser kontaktiert den Server auf Port 443 und kündigt unterstützte TLS-Versionen und Cipher Suites an.
2. Server schickt sein Zertifikat zurück. Der Browser prüft: Ist es von einer vertrauenswürdigen CA signiert? Passt der Domainname? Ist es noch gültig?
3. Schlüsselaustausch: Browser und Server vereinbaren über das Zertifikat einen gemeinsamen Sitzungsschlüssel — meist per ECDHE (Elliptic Curve Diffie-Hellman Ephemeral).
4. Verschlüsselte Sitzung beginnt: Ab jetzt werden alle Daten mit symmetrischen Verfahren wie AES-256 verschlüsselt — das ist die eigentliche SSL-Verschlüsselung.

Begriffliche Klarstellungen, die in der Praxis oft verwirren:

• „SSL kaufen": Gemeint ist immer das Zertifikat, nicht die Verschlüsselung. Die Verschlüsselungstechnik selbst ist quelloffen und in jedem Webserver enthalten.
• „SSL aktivieren": Heißt: Zertifikat installieren und den Webserver für TLS auf Port 443 konfigurieren. Die Verschlüsselung ist die Folge davon.
• „SSL-Verschlüsselung mit 256 Bit": Bezieht sich auf den symmetrischen Schlüssel der Sitzung (z.B. AES-256), nicht auf das Zertifikat. Ein RSA-2048- oder ECC-256-Zertifikat liefert die Vereinbarung dieses Sitzungsschlüssels.
• „SSL" oder „TLS": Technisch korrekt heißt das Verschlüsselungsprotokoll seit 1999 TLS. SSL als Versionsbezeichnung ist seit 2015 abgekündigt — der Begriff hat sich umgangssprachlich aber gehalten und meint heute fast immer TLS.

Eine knappe Faustregel: Sie kaufen ein SSL-Zertifikat, damit Ihr Webserver eine vertrauenswürdige verschlüsselte Verbindung aufbauen kann. Das eine ist das Werkzeug, das andere die Wirkung.