SSL-Zertifikat läuft ab: Was zu tun ist, bevor Kunden eine Warnung sehen

Das Schloss neben Ihrer Webadresse bedeutet, dass Ihre Website ein SSL-Zertifikat hat. Es sorgt dafür, dass alles, was ein Kunde in Ihr Kontaktformular oder seinen Warenkorb eingibt, verschlüsselt zum Server gelangt. Die meisten Inhaber denken nie darüber nach, weil es jahrelang einfach da ist und funktioniert.

Bis zu dem Tag, an dem es nicht mehr funktioniert. Ein Zertifikat hat ein Ablaufdatum, ähnlich wie ein Reisepass. Ist dieses Datum vorbei, zeigen Browser Ihre Website nicht mehr an, sondern eine Warnung über die ganze Seite. Meist bemerkt das ein Kunde vor Ihnen.

Ihr Zertifikat zu prüfen dauert etwa zwei Minuten. Im Folgenden lesen Sie, wie das geht, was passiert, wenn ein Zertifikat abläuft, und was Sie Ihren Hoster fragen sollten, damit dieser Tag nie kommt.

So prüfen Sie das Zertifikat selbst

Öffnen Sie Ihre Website in Chrome und klicken Sie auf das Symbol links neben der Adresse. In neueren Versionen ist das kein Schloss mehr, sondern ein kleines Symbol mit zwei Schiebereglern. Wählen Sie Verbindung ist sicher und dann Zertifikat ist gültig.

Im Fenster, das sich öffnet, suchen Sie nach drei Angaben:

• für wen das Zertifikat ausgestellt wurde, das sollte Ihre Domain sein,
• wer es ausgestellt hat, zum Beispiel Let's Encrypt, Sectigo oder DigiCert,
• den Gültigkeitszeitraum mit dem Ablaufdatum.

Der kostenlose SSL certificate checker (auf Englisch) zeigt dasselbe und zusätzlich, ob die Zertifikatskette vollständig ist und ob http auf https umleitet.

Bleiben noch mehrere Wochen, gibt es noch keinen Grund zur Sorge. Zertifikate, die sich automatisch verlängern, werden meist etwa einen Monat vor Ablauf ersetzt. Bleiben nur noch wenige Tage und ist das Zertifikat immer noch das alte, ist bei der Verlängerung etwas schiefgegangen, und das muss sofort gemeldet werden.

Was passiert, wenn ein Zertifikat abläuft

Ihre Website verschwindet nicht aus dem Internet, aber fast niemand kommt mehr auf sie. Chrome zeigt eine Seite mit dem Text Dies ist keine sichere Verbindung und dem Code NET::ERR_CERT_DATE_INVALID. Firefox und Safari haben ihre eigenen Varianten derselben Warnung.

Technisch kann ein Besucher über die erweiterten Details weiterklicken. Wer nur einen Termin buchen oder Ihre Öffnungszeiten nachsehen wollte, tut das nicht. Er schließt den Tab und geht zurück zu den Suchergebnissen, wo Ihre Mitbewerber einen Klick entfernt sind.

Es gibt auch leisere Folgen. Dienste, die sich automatisch mit Ihrer Website verbinden, etwa ein Zahlungsanbieter, der bestätigt, dass eine Bestellung bezahlt wurde, können Fehler melden. Anzeigen bei Google oder Facebook verbrauchen weiter Ihr Budget, schicken die Leute jetzt aber direkt auf eine Warnseite.

Die Behebung selbst dauert meist nur Minuten. Ihr Hoster oder Entwickler stellt ein neues Zertifikat aus, und die Website läuft wieder normal. Das Problem ist, dass es erst jemand bemerken muss, und wenn das Zertifikat an einem Freitagabend abläuft, kann das Montagmorgen bedeuten.

Automatische Verlängerung und warum sie manchmal scheitert

Die meisten Hoster stellen heute kostenlose Zertifikate von Let's Encrypt oder einem ähnlichen Anbieter aus und verlängern sie automatisch. Ein Zertifikat von Let's Encrypt gilt 90 Tage, ohne Automatisierung käme also niemand hinterher. Auch kostenpflichtige Zertifikate werden kürzer. Seit März 2026 darf kein öffentlich vertrauenswürdiges Zertifikat länger als 200 Tage gültig sein, und diese Grenze soll bis 2029 auf 47 Tage sinken. Die manuelle Verlängerung einmal im Jahr läuft aus.

Die Automatisierung funktioniert gut, solange sich nichts ändert. Die häufigsten Gründe, warum sie aufhört zu funktionieren:

• die Domain wurde auf einen anderen Server umgezogen oder hinter einen Proxy-Dienst gelegt, und das alte Hosting versucht weiter, ein Zertifikat zu verlängern, das es nicht mehr validieren kann,
• jemand hat eine Weiterleitung oder eine Firewall-Regel eingerichtet, die auch die Adresse blockiert, über die Sie nachweisen, dass Ihnen die Domain gehört,
• das Zertifikat wurde einmal von Hand bei einer anderen Firma gekauft, und niemand hat sich eine Erinnerung eingetragen,
• eine kostenpflichtige Verlängerung ist gescheitert, weil die hinterlegte Karte abgelaufen war.

Noch eine Änderung, von der wenige gehört haben: 2025 hat Let's Encrypt aufgehört, E-Mails zum bevorstehenden Ablauf zu verschicken. Hat sich in Ihrem Unternehmen jemand auf „Ich bekomme eine E-Mail und kümmere mich dann darum“ verlassen, diese E-Mail kommt nicht mehr.

Vier Adressen für eine Website

In der Praxis hat Ihre Website vier Adressen:

• http://ihredomain.de
• http://www.ihredomain.de
• https://ihredomain.de
• https://www.ihredomain.de

Tippen Sie jede von Hand in die Adresszeile. Alle vier sollten bei ein und derselben https-Adresse landen. Bleibt eine davon auf einfachem http, senden die Formulare auf dieser Version der Website Daten unverschlüsselt.

Es kommt auch vor, dass die Version ohne www funktioniert, die mit www aber eine Warnung zeigt. Dann deckt das Zertifikat nur einen der beiden Namen ab. Chrome meldet in diesem Fall NET::ERR_CERT_COMMON_NAME_INVALID.

Das übersieht man leicht, weil Sie Ihre Adresse immer gleich eintippen. Eine alte Visitenkarte, eine E-Mail-Signatur oder ein Verzeichniseintrag kann die Leute aber genau auf die andere Version schicken.

Die Warnung vor gemischten Inhalten

Manchmal ist das Zertifikat einwandfrei gültig, und der Browser zeigt trotzdem kein sauberes Schloss. In Chrome sehen Sie dann den Hinweis, dass Ihre Verbindung zu dieser Website nicht vollständig sicher ist. Manchmal werden auch einfach ein paar Bilder nicht geladen.

Das nennt man gemischte Inhalte (Mixed Content). Die Seite wird über https geladen, aber einige Dateien darin werden noch über altes http angefordert. Meist ist das ein Überbleibsel aus der Umstellung auf ein Zertifikat vor Jahren: Bildadressen in alten Beiträgen, ein Besucherzähler-Skript, eine Schrift oder ein Partnerbanner zeigen noch auf http://. Browser blockieren diese Elemente oder versuchen sie auszutauschen, die Seite sieht also leicht kaputt aus, und Ihr Besucher sieht eine Meldung, die kein Vertrauen weckt.

Die Behebung ist Aufgabe Ihres Entwicklers. Er muss jeden Link finden, der mit http:// beginnt, und ihn auf https:// ändern, sowohl in den Inhalten als auch im Theme. Bei WordPress ist das meist ein einziger Vorgang in der Datenbank, am besten nach einer Sicherung.

Was Sie Ihren Hoster fragen

Eine E-Mail an Ihren Hoster oder an die Person, die die Website betreut, reicht:

1. Verlängert sich das Zertifikat unserer Domain automatisch, und wer stellt es aus?
2. Deckt es sowohl die Version mit www als auch die ohne www ab?
3. Leiten alle vier Versionen der Adresse auf eine einzige https-Adresse um?
4. Wer wird benachrichtigt, wenn eine Verlängerung scheitert, und wie schnell reagiert er?
5. Gibt es auf der Website gemischte Inhalte?

Eine Kleinigkeit können Sie selbst tun. Tragen Sie sich zwei Wochen vor dem Ablaufdatum, das Sie gerade abgelesen haben, eine Erinnerung in den Kalender ein. Zeigen die Zertifikatsdetails an diesem Tag bereits ein neues, späteres Datum, funktioniert die Automatisierung. Wenn nicht, haben Sie zwei Wochen, um es zu klären, statt eines Ausfalls an einem Freitagabend.