Ein SSL-Zertifikat und die damit verschlüsselte HTTPS-Verbindung sind längst keine Kür mehr, sondern binden gleich drei Pflichten zusammen: eine rechtliche über Artikel 32 DSGVO, eine technische über die Warnung moderner Browser, und eine strategische über Google als Rankingsignal seit 2014. Fehlt das Zertifikat, verliert eine Website gleichzeitig an Rechtssicherheit, Vertrauen und Sichtbarkeit.
Die rechtliche Seite: Verschlüsselung als Pflicht nach DSGVO
Artikel 32 Absatz 1 Buchstabe a der DSGVO nennt die Verschlüsselung personenbezogener Daten ausdrücklich als Beispiel für eine angemessene technische Maßnahme, die Verantwortliche treffen müssen, um ein dem Risiko entsprechendes Schutzniveau zu gewährleisten. Jede Betriebs-Website, die ein Kontaktformular, ein Angebotsformular oder auch nur ein einfaches Newsletter-Anmeldefeld anbietet, verarbeitet damit personenbezogene Daten – Name, E-Mail-Adresse, oft auch Telefonnummer oder Anliegen im Klartext. Werden diese Daten über eine unverschlüsselte HTTP-Verbindung übertragen, sind sie auf dem Weg zum Server theoretisch von Dritten mitlesbar, was einem klaren Verstoß gegen die Pflicht zur angemessenen technischen Absicherung entspricht. Ein SSL-Zertifikat schließt genau diese Lücke, indem es die gesamte Verbindung zwischen Browser und Server verschlüsselt.
Die technische Seite: „Nicht sicher“ direkt in der Adressleiste
Seit Chrome-Version 68 im Juli 2018 markiert Google Chrome laut eigenem Blogbeitrag jede Website ohne HTTPS in der Adressleiste unübersehbar mit dem Hinweis „Nicht sicher“ – unabhängig davon, ob auf der Seite tatsächlich sensible Daten abgefragt werden oder nicht. Zum Zeitpunkt der Ankündigung liefen laut Chrome bereits über 68 Prozent des Chrome-Datenverkehrs auf Android und Windows sowie über 78 Prozent auf ChromeOS und Mac verschlüsselt, und 81 der 100 meistbesuchten Websites weltweit nutzten HTTPS standardmäßig. Ein Beispiel zur Einordnung: Ein potenzieller Kunde findet einen Handwerksbetrieb über eine Google-Suche und sieht direkt beim Öffnen der Website die Warnung „Nicht sicher“ neben der Adresse – ein Eindruck, der Vertrauen kostet, bevor überhaupt ein einziges Wort des eigentlichen Inhalts gelesen wurde.
Die strategische Seite: HTTPS als Rankingsignal seit 2014
Laut dem offiziellen Google-Blogbeitrag von August 2014 nutzt Google HTTPS seit diesem Zeitpunkt als Rankingsignal – anfangs ausdrücklich als „leichtes“ Signal mit geringerem Gewicht als etwa hochwertiger Inhalt, das zum Start weniger als 1 Prozent der weltweiten Suchanfragen betraf. Google kündigte in demselben Beitrag aber bereits an, das Signal im Zeitverlauf möglicherweise zu verstärken, um Website-Betreiber zum Umstieg zu bewegen. In der Praxis ist HTTPS heute weniger ein Hebel, um gezielt besser zu ranken, sondern eine Grundvoraussetzung, die alle direkten Wettbewerber ohnehin längst erfüllen – wer sie nicht erfüllt, fällt eher negativ auf, statt einen Vorteil zu verspielen.
SSL-Zertifikat einrichten: Was Betriebe konkret wissen müssen
Für die allermeisten Betriebs-Websites ist die Einrichtung heute unkompliziert und meist kostenlos: Praktisch jeder moderne Webhoster stellt automatisch ein Zertifikat aus und erneuert es auch automatisch, ohne dass jemand manuell eingreifen muss – typischerweise über den kostenlosen Zertifizierungsdienst Let’s Encrypt, der bereits im Dezember 2015 in die öffentliche Beta-Phase startete und seither kostenlose, automatisiert erneuerbare Zertifikate ausstellt. Noch in den Jahren davor kosteten einfache SSL-Zertifikate bei kommerziellen Anbietern regelmäßig einen zwei- bis dreistelligen Betrag pro Jahr – eine Hürde, die gerade für kleinere Betriebs-Websites inzwischen praktisch komplett entfallen ist. Wichtig ist dabei vor allem, dass das Zertifikat nach einem Hosterwechsel rechtzeitig neu ausgestellt wird, bevor die eigentliche Umstellung erfolgt – unser Ratgeber zum Website-Umzug ohne Ausfallzeit führt diesen Schritt explizit als eigenen Checklistenpunkt. Ein zweiter, oft übersehener Stolperstein: Selbst wenn die Hauptadresse auf HTTPS läuft, können einzelne eingebundene Bilder, Skripte oder Schriftarten weiterhin über HTTP nachgeladen werden – dieser sogenannte gemischte Inhalt lässt den Browser trotzdem eine Warnung anzeigen, weil die Verschlüsselung dadurch lückenhaft bleibt. Ein dritter Punkt betrifft die Umstellung selbst: Wird HTTPS nachträglich für eine bestehende Website eingerichtet, muss die alte HTTP-Adresse per dauerhafter 301-Weiterleitung auf die neue HTTPS-Adresse zeigen – fehlt diese Weiterleitung, existieren beide Versionen parallel, was für Suchmaschinen wie doppelter Inhalt wirkt und bestehende Rankings der HTTP-Version ins Leere laufen lässt, statt sie auf die neue Adresse zu übertragen. Ein Beispiel zur Einordnung: Ein Betrieb aktiviert HTTPS über seinen Hoster, richtet aber keine Weiterleitung ein – Besucher, die über einen alten, extern verlinkten HTTP-Link kommen, landen weiterhin auf der ungesicherten Version, während die eigentlich gewünschte HTTPS-Seite parallel und unverbunden danebensteht. Ähnlich verwirrende Signale entstehen, wenn gelöschte oder umgezogene Seiten falsch behandelt werden – wie sich echte 404-Fehler von störenden Soft-404-Fehlern unterscheiden, zeigt unser Ratgeber zu 404-Fehlern.
Interaktiv: Ihr HTTPS-Check
Prüfen Sie, ob Ihre Website die wichtigsten HTTPS-Grundlagen bereits erfüllt:
Fazit: Drei Pflichten, ein Zertifikat
HTTPS ist längst keine technische Feinheit mehr, sondern eine Schnittstelle aus rechtlicher Pflicht, sichtbarem Vertrauenssignal und stiller Grundvoraussetzung fürs Ranking. Da die Einrichtung heute bei praktisch jedem Hoster kostenlos und meist automatisch erfolgt, gibt es für eine Betriebs-Website keinen vertretbaren Grund mehr, weiterhin auf HTTP zu setzen.