SSL-Zertifikat installieren: 4 Methoden Schritt für Schritt

So installieren Sie ein SSL-Zertifikat auf einem Website-Baukasten, bei cPanel, Nginx oder Apache oder mit Let's Encrypt und Certbot, plus die Prüfungen, die zeigen, dass alles funktioniert.

Häufige Fragen

Wie lange dauert es, ein SSL-Zertifikat zu installieren?

Bei einem gehosteten Website-Baukasten oder einem Hoster mit automatischem SSL wird das Zertifikat in der Regel ohne Ihr Zutun ausgestellt, sobald Ihre Domain auf das richtige Ziel zeigt. Eine manuelle Installation auf dem eigenen Server dauert so lange, wie Sie brauchen, um einen Schlüssel zu erzeugen, das Zertifikat ausstellen zu lassen, die Konfiguration anzupassen und den Server neu zu laden. Die Ausstellungsdauer hängt von der Zertifizierungsstelle und der Validierungsmethode ab, daher gibt es keine Zahl, die für jeden Anbieter gilt.

Ist ein Let's-Encrypt-Zertifikat wirklich kostenlos, und wie lange gilt es?

Ja, Let's Encrypt stellt Zertifikate kostenlos aus. Laut FAQ sind Standardzertifikate 90 Tage gültig, ohne Möglichkeit, das anzupassen, und es wird empfohlen, 90-Tage-Zertifikate alle 60 Tage zu erneuern. Let's Encrypt hat außerdem angekündigt, dass das Standardprofil am 10. Februar 2027 auf 64-Tage-Zertifikate und am 16. Februar 2028 auf 45-Tage-Zertifikate umgestellt wird. Ein weiterer Grund, die Erneuerung zu automatisieren, statt sie von Hand zu erledigen (Stand: November 2026).

Warum zeigt mein Browser nach der Installation weiterhin „Nicht sicher“ an?

Die häufigsten Ursachen sind eine unvollständige Zertifikatskette (das Zwischenzertifikat fehlt), ein Zertifikat, das für einen anderen Namen ausgestellt wurde als den, den Sie aufrufen, etwa für die Domain ohne www statt mit www, oder Mixed Content: Die Seite läuft über HTTPS, lädt aber weiterhin Bilder oder Skripte über http://. Prüfen Sie die Kette mit openssl s_client und suchen Sie im Quelltext Ihrer Seite nach http://-URLs.

Was ist der Unterschied zwischen der Zertifikatsdatei und dem privaten Schlüssel?

Das Zertifikat ist öffentlich: Ihr Server sendet es an jeden Besucher. Der private Schlüssel bleibt auf Ihrem Server und beweist, dass das Zertifikat Ihnen gehört. Laut Nginx-Dokumentation sollte der Schlüssel in einer Datei mit eingeschränktem Zugriff liegen, muss aber vom Master-Prozess von nginx lesbar sein. Wenn Sie den Schlüssel verlieren, lässt er sich nicht wiederherstellen, und Sie müssen ein neues Zertifikat beantragen.

Muss ich ein SSL-Zertifikat installieren, wenn ich einen Website-Baukasten nutze?

In der Regel nicht. Gehostete Baukästen richten HTTPS für verbundene Domains normalerweise automatisch ein und erneuern es auch automatisch. Sie müssen aber weiterhin die DNS-Einträge Ihrer Domain auf den Baukasten ausrichten und prüfen, dass das Schloss-Symbol nach der Verbindung sowohl bei der Hauptdomain als auch bei der www-Variante erscheint.

Kurzantwort: Wie Sie ein SSL-Zertifikat installieren, hängt davon ab, wo Ihre Website liegt. Bei einem gehosteten Website-Baukasten läuft es automatisch, Sie verbinden nur Ihre Domain. Bei cPanel-Hosting übernimmt meist AutoSSL die Arbeit, oder Sie fügen Zertifikat und Schlüssel in den SSL/TLS-Tools ein. Auf einem eigenen Nginx- oder Apache-Server ist Let's Encrypt mit Certbot der schnellste Weg: Es holt das Zertifikat, passt Ihre Konfiguration an und richtet die Erneuerung ein. Prüfen Sie nach jeder Installation das Schloss-Symbol, die Weiterleitung von http auf https und die Erneuerung.

Welche Installationsmethode passt zu Ihnen?

Wo Ihre Website läuft	Was Sie tun	Aufwand	Erneuerung
Gehosteter Website-Baukasten	Domain verbinden; HTTPS wird für Sie eingerichtet	Am geringsten	Übernimmt die Plattform
Shared Hosting mit cPanel	AutoSSL nutzen oder ein gekauftes Zertifikat unter SSL/TLS installieren	Gering bis mittel	AutoSSL erneuert; ein gekauftes Zertifikat erneuern Sie selbst
Eigener VPS mit Nginx oder Apache	Certbot ausführen oder Zertifikatsdateien von Hand installieren	Mittel	Certbot richtet einen automatischen Erneuerungsjob ein
Bezahltes Zertifikat eines Anbieters	CSR erzeugen, einreichen, die erhaltenen Dateien installieren	Am höchsten	Sie erneuern manuell vor Ablauf

Wenn Sie nicht sicher sind, welches Zertifikat Sie brauchen (domainvalidiert, organisationsvalidiert, Wildcard), lesen Sie zuerst SSL-Zertifikatstypen. Wenn Sie kostenlos und kostenpflichtig vergleichen, zeigt SSL-Zertifikat Kosten die Optionen. Die Grundlagen finden Sie unter Was ist ein SSL-Zertifikat?.

Bevor Sie anfangen: die Checkliste

Gehen Sie diese Punkte durch, bevor Sie einen Server anfassen. Die meisten gescheiterten Installationen lassen sich auf einen davon zurückführen.

[ ] Der A/AAAA-Eintrag (oder CNAME) Ihrer Domain zeigt auf den Server oder die Plattform, auf der Sie installieren.
[ ] Ihre Website ist über einfaches http:// auf Port 80 erreichbar, falls Sie Certbots Webroot-, Nginx- oder Apache-Plugin nutzen wollen.
[ ] Port 443 ist in Ihrer Firewall und in der Sicherheitsgruppe Ihres Hosting-Anbieters geöffnet.
[ ] Sie wissen, welche Namen das Zertifikat abdecken muss: example.com und www.example.com.
[ ] Falls Ihre Domain CAA-Einträge hat, erlaubt einer davon die Zertifizierungsstelle, die Sie verwenden.
[ ] Sie haben eine Sicherung Ihrer aktuellen Serverkonfiguration.

Methode 1: Gehosteter Website-Baukasten (automatisch)

Bei einem gehosteten Baukasten erzeugen Sie keine Schlüssel und bearbeiten keine Serverdateien. Der allgemeine Ablauf:

Fügen Sie Ihre eigene Domain in den Domain-Einstellungen des Baukastens hinzu.
Legen Sie bei Ihrem Registrar die DNS-Einträge an, die der Baukasten vorgibt.
Warten Sie, bis sich das DNS verbreitet hat, und rufen Sie die Website dann mit https:// sowohl unter der Hauptdomain als auch unter www auf.
Erscheint das Schloss-Symbol nicht, prüfen Sie die DNS-Einträge erneut. Zertifikate können erst ausgestellt werden, wenn die Domain auf die Plattform zeigt.

Das ist der gesamte Vorgang. Falls Sie sich noch für eine Plattform entscheiden: Mit dem kostenlosen Tarif von We.Inc können Sie bis zu drei Websites aus fertigen Vorlagen veröffentlichen; der KI-Builder, der aus einem Prompt eine Website entwirft, startet im Starter-Tarif für $20 im Monat. Hier können Sie sich registrieren.

Methode 2: cPanel-Hosting

cPanel bietet zwei Wege. Prüfen Sie zuerst den ersten, bevor Sie den zweiten gehen.

Zuerst AutoSSL prüfen

Öffnen Sie cPanel > Security > SSL/TLS Status (Sicherheit > SSL/TLS-Status). Laut cPanel-Dokumentation können Sie hier die Zertifikate Ihrer Domains ansehen, aktualisieren oder erneuern und ungesicherte oder bald ablaufende Domains erkennen. Zeigt Ihre Domain kein gültiges Zertifikat, starten Sie AutoSSL auf demselben Bildschirm, sofern Ihr Hoster es aktiviert hat. Ob diese Funktion verfügbar ist, bestimmt Ihr Hosting-Anbieter (die Einstellung liegt im Feature Manager von WHM). Wenn Sie sie nicht sehen, fragen Sie Ihren Hoster.

Ein gekauftes Zertifikat manuell installieren

Gehen Sie zu cPanel > Security > SSL/TLS. Erzeugen Sie unter „Private Keys“ einen Schlüssel (oder laden Sie einen vorhandenen hoch). cPanel weist darauf hin, dass ein verlorener privater Schlüssel nicht wiederhergestellt werden kann. Bewahren Sie daher eine Kopie an einem sicheren Ort auf.
Erzeugen Sie eine Zertifikatsanforderung (Certificate Signing Request, CSR) für Ihre Domain und reichen Sie sie beim Zertifikatsanbieter ein.
Schließen Sie die Domainvalidierung des Anbieters ab und laden Sie das Zertifikat sowie das CA-Bundle herunter.
Kehren Sie in den SSL/TLS-Bereich zurück, öffnen Sie die Maske zum Installieren und Verwalten von SSL für Ihre Website und fügen Sie Zertifikat, passenden privaten Schlüssel und CA-Bundle ein.
Speichern Sie und testen Sie die Website über https://.

Laut cPanel-Dokumentation legen CAA-Einträge in Ihrer Zonendatei fest, welche Zertifizierungsstellen für Ihre Domain Zertifikate ausstellen dürfen. Schlägt die Ausstellung fehl, prüfen Sie im Zone Editor unter cPanel > Domains > Zone Editor auf einen widersprüchlichen CAA-Eintrag.

Die Bezeichnungen der Oberfläche können sich zwischen cPanel-Versionen ändern. Orientieren Sie sich daher an den Beschriftungen auf dem Bildschirm, falls Ihr Layout leicht abweicht.

Methode 3: Let's Encrypt mit Certbot (Nginx oder Apache)

Das ist der Standardweg für einen VPS oder dedizierten Server, den Sie selbst verwalten. Die folgenden Schritte entsprechen der Certbot-Anleitung für Nginx unter Linux mit snap (Stand: November 2026). Auf der Certbot-Website finden Sie passende Anleitungen für Apache und andere Systeme, wählen Sie dort Ihre eigene Kombination.

Stellen Sie sicher, dass Ihre Website bereits unter http://yourdomain.com antwortet. Certbots Nginx- und Apache-Modus setzen eine bestehende HTTP-Website voraus, die über Port 80 erreichbar ist.
Wenn Sie ein älteres Certbot aus der Paketverwaltung Ihres Betriebssystems installiert haben, entfernen Sie es zuerst (zum Beispiel mit apt, dnf oder yum).
Installieren Sie Certbot:

``bash sudo snap install --classic certbot sudo ln -s /snap/bin/certbot /usr/local/bin/certbot ``

Holen Sie ein Zertifikat und lassen Sie Certbot Ihre Nginx-Konfiguration automatisch anpassen:

``bash sudo certbot --nginx ``

Wenn Sie nur das Zertifikat holen und die Konfiguration selbst bearbeiten möchten, nutzen Sie stattdessen sudo certbot certonly --nginx. Für Apache lautet der entsprechende Parameter --apache.

Testen Sie die automatische Erneuerung:

``bash sudo certbot renew --dry-run ``

Certbots Pakete bringen einen Cronjob oder systemd-Timer mit, der Zertifikate vor Ablauf erneuert. Mit systemctl list-timers sehen Sie, ob der Timer aktiv ist. Ist Port 80 gesperrt oder möchten Sie ein Wildcard-Zertifikat, verwenden Sie stattdessen die DNS-Validierung.

Methode 4: Zertifikatsdateien von Hand in Nginx installieren

Nutzen Sie diesen Weg, wenn Ihnen ein Anbieter eine Zertifikatsdatei und ein CA-Bundle geliefert hat. Die Nginx-Dokumentation beschreibt die nötigen Bausteine: den Parameter ssl am lauschenden Socket sowie die Pfade zu Zertifikat und Schlüssel.

``nginx server { listen 443 ssl; server_name www.example.com; ssl_certificate www.example.com.chained.crt; ssl_certificate_key www.example.com.key; } ``

Zwei Details verursachen die meisten Fehler bei manuellen Installationen:

Reihenfolge der Kette. Wenn der Anbieter ein Bundle liefert, fügen Sie die Dateien so zusammen, dass Ihr Serverzertifikat zuerst steht: cat www.example.com.crt bundle.crt > www.example.com.chained.crt. Die Nginx-Dokumentation warnt, dass eine vertauschte Reihenfolge dazu führt, dass nginx mit dem Fehler „key values mismatch“ nicht startet.
Rechte am Schlüssel. Die Datei mit dem privaten Schlüssel sollte eingeschränkten Zugriff haben, muss aber vom Master-Prozess von nginx lesbar bleiben.

Standardmäßig verwendet nginx TLSv1.2 und TLSv1.3, sodass Sie Protokolle in der Regel nicht ausdrücklich festlegen müssen. Testen Sie die Konfiguration mit sudo nginx -t und laden Sie nginx anschließend neu.

Bei Apache gelten dieselben drei Zutaten: das SSL-Modul aktivieren, den SSL-VirtualHost auf Zertifikat, Schlüssel und Kettendateien verweisen lassen, dann die Konfiguration testen und neu laden. Die Direktiven heißen anders als bei Nginx, folgen Sie daher der Apache-Dokumentation Ihrer Distribution.

Die Installation überprüfen

Belassen Sie es nicht bei „die Seite lädt“. Prüfen Sie jeden Punkt:

Schloss-Symbol bei beiden Namen. Rufen Sie https://example.com und https://www.example.com auf.
Weiterleitung. Öffnen Sie http://example.com und prüfen Sie, dass Sie bei https:// landen.
Kette. Führen Sie openssl s_client -connect example.com:443 aus, den Befehl, den die Nginx-Dokumentation empfiehlt, um zu bestätigen, dass der Server die vollständige Kette sendet.
Mixed Content. Öffnen Sie auf einigen Seiten die Entwicklerkonsole Ihres Browsers und suchen Sie nach blockierten http://-Anfragen. Stellen Sie diese URLs auf https:// um.
Ablauf und Erneuerung. Notieren Sie das Ablaufdatum und prüfen Sie, dass die Erneuerung automatisch läuft, oder tragen Sie das Datum in Ihren Kalender ein.

Schnelle Fehlersuche

Der Browser warnt vor einem nicht vertrauenswürdigen Aussteller: Das Zwischenzertifikat fehlt. Erstellen Sie die verkettete Datei wie oben gezeigt neu.
Nginx startet nach der Änderung nicht: Prüfen Sie die Reihenfolge von Zertifikat und Schlüssel und ob der Schlüssel zum Zertifikat passt.
Certbot kann nicht validieren: Prüfen Sie, ob das DNS auf diesen Server zeigt und Port 80 offen ist, oder wechseln Sie zur DNS-Validierung.
Das Zertifikat deckt den falschen Namen ab: Stellen Sie es neu aus, mit Hauptdomain und www.

Wenn Sie eine Website für einen lokalen Dienstleister aufbauen und gut ranken möchten, ist HTTPS nur die Grundlage. Wie Solaranlagen-Installateure und Dachrinnen-Installateure ihre Websites für die nächsten Schritte aufbauen, zeigen die verlinkten Beispiele.

Kostenlos starten · Keine Kreditkarte nötig

Umair Ali Sadaqat

Gründer von We.Inc

Umair ist der Gründer von We.Inc. Er schreibt über die Erstellung von Websites mit KI, Agenturen und den Geschäftsbetrieb eines Webstudios.

Bereit, etwas Großartiges zu bauen?

Schließe dich 15,000+ Unternehmen an, die mit We.Inc starten, wachsen und automatisieren, alles auf einer Plattform.