So funktioniert’s
- 1Gib eine Domain wie
example.comein oder füge eine vollständige URL ein – Hostname und Port werden daraus übernommen. - 2Lass den Port für HTTPS (443) leer oder gib einen anderen ein, um einen Mailserver oder einen anderen TLS-Dienst zu prüfen, etwa 465 oder 993.
- 3Klicke auf „Zertifikat prüfen“. Das Ergebnis oben zeigt dir, ob Browser der Verbindung vertrauen und wann das Zertifikat abläuft.
- 4Scrolle nach unten zu den Zertifikatsdetails, den abgedeckten Domainnamen, der vollständigen Kette und der TLS-Version, die der Server ausgehandelt hat.
Wie SSL/TLS-Zertifikate und Zertifikatsketten funktionieren
Ein Zertifikat verknüpft einen Domainnamen mit einem öffentlichen Schlüssel. Wenn dein Browser https://example.com öffnet, sendet der Server sein Zertifikat, und der Browser prüft drei Dinge: dass eine Zertifizierungsstelle (CA), der er vertraut, es ausgestellt hat, dass es genau den Namen in der Adressleiste abdeckt und dass es nicht abgelaufen ist. SSL ist der alte Name des Protokolls – heutige Verbindungen nutzen TLS, aber der Begriff „SSL-Zertifikat“ ist geblieben.
Zertifizierungsstellen signieren Serverzertifikate nicht direkt mit ihren Stammschlüsseln. Das Stammzertifikat signiert ein Zwischenzertifikat, und dieses signiert deines. Der Server muss sein eigenes Zertifikat zusammen mit den Zwischenzertifikaten senden – der Kette –, damit der Browser es mit einem Stammzertifikat in seinem Zertifikatsspeicher verknüpfen kann. Ein fehlendes Zwischenzertifikat ist einer der häufigsten Installationsfehler: Manche Browser besorgen sich das fehlende Stück selbst, aber viele Apps, APIs und ältere Geräte scheitern einfach.
Warum Zertifikate ablaufen und wie die automatische Verlängerung funktioniert
Kurze Laufzeiten begrenzen den Schaden, wenn ein privater Schlüssel in falsche Hände gerät, und sorgen dafür, dass veraltete Zertifikate schnell verschwinden. Seit März 2026 sind öffentliche Zertifikate höchstens 200 Tage gültig; im März 2027 sinkt die Grenze auf 100 Tage und im März 2029 auf 47 Tage. Zertifikate von Let’s Encrypt gelten 90 Tage oder kürzer.
Bei so kurzen Laufzeiten ist eine manuelle Verlängerung nicht praktikabel. Automatisiere sie mit dem ACME-Protokoll – certbot, acme.sh, Caddy, Traefik oder dein Hosting-Panel erledigen das für dich – und überprüfe dann das Ergebnis. Verlängerungen scheitern oft unbemerkt, wenn sich das DNS ändert, eine Firewall die Validierungsanfrage blockiert oder der Webserver nach dem Speichern des neuen Zertifikats nicht neu geladen wird. Dieser Check sieht das Zertifikat, das der Server tatsächlich ausliefert – und erkennt so eine Verlängerung, die zwar auf der Festplatte stattgefunden hat, aber nie live gegangen ist.
Häufige Zertifikatsfehler und wie du sie behebst
Abgelaufenes Zertifikat (CERT_HAS_EXPIRED): Verlängere es und lade den Webserver neu. Name passt nicht (ERR_TLS_CERT_ALTNAME_INVALID): Das Zertifikat führt den Hostnamen nicht auf – nimm beim Beantragen jeden Namen auf, den du verwendest, etwa example.com und www.example.com. Ein Wildcard-Zertifikat wie *.example.com deckt eine Ebene von Subdomains ab, aber nicht example.com selbst.
Unvollständige Kette (UNABLE_TO_VERIFY_LEAF_SIGNATURE): Verweise den Server auf die Full-Chain-Datei statt nur auf das Zertifikat. Selbstsigniertes Zertifikat (DEPTH_ZERO_SELF_SIGNED_CERT): Ersetze es durch eines von einer öffentlichen Zertifizierungsstelle – Let’s Encrypt ist kostenlos. Nicht vertrauenswürdiges Stammzertifikat (SELF_SIGNED_CERT_IN_CHAIN): Das Zertifikat stammt von einer privaten Zertifizierungsstelle, der nur Geräte vertrauen, die deine Organisation eingerichtet hat.
Häufige Fragen
Wie prüfe ich, wann ein SSL-Zertifikat abläuft?
Gib die Domain ein – das Ergebnis zeigt das Ablaufdatum und die verbleibenden Tage. Im Terminal kannst du openssl s_client -connect example.com:443 -servername example.com </dev/null | openssl x509 -noout -enddate ausführen.
Warum zeigt meine Website „Nicht sicher“ an, obwohl sie ein Zertifikat hat?
Entweder hat das Zertifikat ein Problem – es ist abgelaufen, wurde für einen anderen Namen ausgestellt oder wird ohne sein Zwischenzertifikat ausgeliefert –, oder die Seite lädt Bilder, Skripte oder Formulare über unverschlüsseltes HTTP (Mixed Content). Prüfe hier zuerst das Zertifikat und such dann in der Seite nach http://-Links zu Ressourcen.
Bedeutet ein gültiges Zertifikat, dass eine Website sicher ist?
Nein. Es bedeutet, dass die Verbindung verschlüsselt ist und das Zertifikat zur Domain passt – niemand dazwischen kann den Datenverkehr mitlesen oder verändern. Auch Phishing-Websites bekommen kostenlose Zertifikate, daher sagt ein gültiges Zertifikat nichts darüber aus, wer eine Website betreibt oder ob die Betreiber ehrlich sind.
Kann ich einen Mailserver oder einen anderen Port prüfen?
Ja. Gib den Port ein, zum Beispiel 465 für SMTP über TLS, 993 für IMAP oder 995 für POP3. Dienste, die unverschlüsselt starten und per STARTTLS auf TLS umschalten – etwa SMTP auf Port 25 oder 587 –, lassen sich so nicht prüfen, weil ihre ersten Bytes kein TLS sind.
Was ist der Unterschied zwischen SSL und TLS?
TLS ist der Nachfolger von SSL. Alle SSL-Versionen und auch TLS 1.0 und 1.1 sind veraltet und in aktuellen Browsern abgeschaltet; sichere Server nutzen TLS 1.2 oder TLS 1.3. Die Zertifikate sind in beiden Fällen dieselben – „SSL-Zertifikat“ ist einfach der Name, der geblieben ist.