SSL-Zertifikat einrichten: Let's Encrypt Schritt für Schritt

Ein SSL-Zertifikat von Let’s Encrypt ist kostenlos und in wenigen Minuten eingerichtet. Bei fast allen Webhosting-Tarifen genügt ein Klick im Kundenmenü, auf einem eigenen Server übernimmt ein Programm wie Certbot Ausstellung und Erneuerung. Wichtig sind drei Dinge: Die Domain muss vorher auf den richtigen Server zeigen, alle Aufrufe müssen anschließend auf HTTPS umgeleitet werden, und die automatische Erneuerung muss zuverlässig laufen. Weitere Schutzmaßnahmen für Ihre Website finden Sie im Bereich Hosting-Sicherheit.

Was Let’s Encrypt ist

Let’s Encrypt ist eine gemeinnützige Zertifizierungsstelle, die seit 2015 kostenlose Zertifikate ausstellt. Die Ausstellung läuft vollautomatisch über das ACME-Protokoll: Ein Programm auf Ihrem Server oder bei Ihrem Hoster weist nach, dass Sie die Domain kontrollieren, und erhält daraufhin das Zertifikat. Es handelt sich um domainvalidierte Zertifikate (DV). Sie bestätigen, dass die Verbindung verschlüsselt ist und zum richtigen Server führt, nicht aber, welche Organisation dahintersteht.

Die Zertifikate haben eine bewusst kurze Laufzeit von wenigen Wochen bis Monaten. Branchenweit ist zudem eine schrittweise Verkürzung der maximalen Laufzeit öffentlicher Zertifikate beschlossen. Manuelle Erneuerung ist deshalb keine Option, die Erneuerung muss automatisch laufen.

Voraussetzungen

Bevor Sie ein Zertifikat anfordern, prüfen Sie:

• Der A-Record (und falls vorhanden der AAAA-Record) der Domain zeigt auf den Server, auf dem das Zertifikat ausgestellt wird.
• Auch www ist korrekt eingetragen, entweder als eigener A-Record oder als CNAME.
• Port 80 ist von außen erreichbar, falls die Prüfung per HTTP läuft.
• Ein vorhandener CAA-Eintrag erlaubt Let’s Encrypt als Zertifizierungsstelle.
• Die DNS-Änderungen sind bereits wirksam, also nicht mehr durch eine lange TTL verzögert.

Was A-, AAAA-, CNAME- und CAA-Einträge genau tun, erklärt der Ratgeber zu den DNS-Einträgen. Wie Domain und Server grundsätzlich zusammenfinden, beschreibt der Bereich Domain und Webhosting.

Weg 1: Zertifikat im Hosting-Kundenmenü aktivieren

Bei Shared Hosting und Managed-Tarifen ist Let’s Encrypt fast immer integriert. Der Ablauf ist bei den meisten Anbietern ähnlich:

1. Melden Sie sich im Kundenmenü oder Control Panel an, etwa Plesk, cPanel oder einer eigenen Oberfläche des Anbieters.
2. Öffnen Sie die Verwaltung der Domain oder den Bereich SSL/TLS.
3. Wählen Sie das kostenlose Zertifikat beziehungsweise Let’s Encrypt.
4. Markieren Sie die Domain und www, bei Bedarf weitere Subdomains.
5. Starten Sie die Ausstellung. Nach kurzer Zeit erscheint das Zertifikat als aktiv.
6. Aktivieren Sie, falls angeboten, die Option zur dauerhaften Umleitung auf HTTPS.

Die Erneuerung übernimmt der Hoster. Sie sollten trotzdem gelegentlich das Ablaufdatum prüfen, besonders nach einem Domain- oder Serverumzug.

Weg 2: Certbot auf dem eigenen Server

Auf einem VPS oder Root-Server richten Sie das Zertifikat selbst ein. Certbot ist der verbreitetste ACME-Client und für die gängigen Linux-Distributionen verfügbar. Daneben gibt es Alternativen wie acme.sh oder Webserver, die Zertifikate selbst verwalten.

Schritt 1: Certbot installieren

Installieren Sie Certbot über die Paketverwaltung Ihrer Distribution oder den vom Projekt empfohlenen Weg. Für Nginx und Apache gibt es Plugins, die die Webserver-Konfiguration automatisch anpassen.

Schritt 2: Zertifikat anfordern

Für Nginx lautet der Befehl typischerweise:

sudo certbot --nginx -d ihre-domain.de -d www.ihre-domain.de

Für Apache ersetzen Sie --nginx durch --apache. Certbot fragt nach einer E-Mail-Adresse und den Nutzungsbedingungen, führt die Prüfung durch, legt das Zertifikat ab und trägt es in die Webserver-Konfiguration ein. Auf Wunsch richtet es auch die Umleitung von HTTP auf HTTPS ein.

Wer die Webserver-Konfiguration lieber selbst pflegt, nutzt certonly mit dem Webroot-Verfahren und bindet die Zertifikatsdateien anschließend manuell ein.

Schritt 3: Erneuerung testen

Die Paketinstallation richtet in der Regel einen Timer oder Cronjob ein, der Zertifikate rechtzeitig vor Ablauf erneuert. Testen Sie den Ablauf mit:

sudo certbot renew --dry-run

Läuft dieser Test ohne Fehler durch, wird die echte Erneuerung ebenfalls funktionieren. Wiederholen Sie ihn nach Änderungen an Firewall, Webserver oder DNS.

Die drei Prüfverfahren

Verfahren	So funktioniert es	Geeignet für
HTTP-01	Eine Datei wird unter einer festen Adresse auf Port 80 abgelegt und abgerufen	Standardfall, einzelne Domains und Subdomains
DNS-01	Ein TXT-Eintrag unter _acme-challenge wird in der Zone gesetzt	Wildcard-Zertifikate, Server ohne offenen Port 80
TLS-ALPN-01	Die Prüfung läuft über eine spezielle TLS-Verbindung auf Port 443	Spezialfälle, wird von wenigen Clients genutzt

Für Wildcard-Zertifikate wie *.ihre-domain.de ist die DNS-Prüfung Pflicht. Damit sie automatisch läuft, braucht Ihr DNS-Anbieter eine Programmierschnittstelle, die der ACME-Client ansprechen kann.

Nach der Einrichtung: HTTPS erzwingen

Ein installiertes Zertifikat allein reicht nicht. Die Website muss auch ausschließlich über HTTPS ausgeliefert werden:

1. 301-Weiterleitung: Leiten Sie alle Aufrufe über http:// dauerhaft auf https:// um, ebenso die Variante mit oder ohne www auf Ihre bevorzugte Adresse.
2. Interne Adressen anpassen: In Ihrem CMS muss die Website-Adresse mit https:// hinterlegt sein. Bei WordPress sind das die Einstellungen für WordPress- und Website-Adresse.
3. Gemischte Inhalte beheben: Bilder, Skripte oder Schriften, die noch über http:// eingebunden sind, lösen Warnungen aus oder werden blockiert. Die Entwicklerwerkzeuge des Browsers zeigen solche Elemente in der Konsole an.
4. Canonical und Sitemap: Prüfen Sie, ob Canonical-Tags und die XML-Sitemap die HTTPS-Adressen enthalten.
5. HSTS erwägen: Der Header Strict-Transport-Security weist Browser an, Ihre Domain künftig nur noch per HTTPS aufzurufen. Aktivieren Sie ihn erst, wenn alle Subdomains zuverlässig HTTPS sprechen, und beginnen Sie mit einer kurzen Gültigkeit.

Häufige Fehler und Lösungen

Fehlerbild	Wahrscheinliche Ursache	Lösung
Prüfung schlägt fehl, Domain nicht erreichbar	DNS zeigt noch auf den alten Server	A- und AAAA-Record prüfen, TTL abwarten
Fehler nur bei IPv6	Alter AAAA-Record auf einen anderen Server	AAAA-Eintrag korrigieren oder entfernen
Ausstellung verweigert wegen CAA	CAA-Eintrag erlaubt andere Zertifizierungsstelle	letsencrypt.org im CAA-Eintrag ergänzen
Zu viele Anfragen	Ratenbegrenzung durch viele Fehlversuche	Ursache beheben, Testumgebung nutzen, später erneut versuchen
Schloss-Symbol fehlt trotz Zertifikat	Gemischte Inhalte	HTTP-Ressourcen auf HTTPS umstellen
Zertifikat abgelaufen	Erneuerung lief nicht	Timer oder Cronjob prüfen, certbot renew --dry-run
Warnung nur bei www	Zertifikat enthält www nicht	Zertifikat mit beiden Namen neu ausstellen

Für Tests stellt Let’s Encrypt eine eigene Staging-Umgebung bereit, deren Zertifikate Browser nicht vertrauen, die aber großzügigere Ratenbegrenzungen hat. Certbot nutzt sie mit der Option --staging beziehungsweise --test-cert.

Sonderfälle: Weiterleitungsdomains, Subdomains und CDN

Nicht jede Konstellation passt in den Standardablauf. Drei Fälle tauchen häufig auf:

• Weiterleitungsdomains: Leitet eine zweite Domain nur auf Ihre Hauptdomain weiter, braucht auch sie ein Zertifikat. Sonst sehen Besucher, die https:// eintippen, eine Warnung, bevor die Weiterleitung greift.
• Subdomains bei anderen Diensten: Zeigt shop.ihre-domain.de per CNAME auf einen externen Dienst, stellt in der Regel dieser Dienst das Zertifikat aus. Ihr Hoster kann dafür kein Zertifikat erzeugen, weil die Prüfung nicht auf seinem Server ankommt.
• CDN oder Proxy vor dem Server: Läuft der Datenverkehr über ein Content Delivery Network, liefert dieses das Zertifikat an Besucher aus. Zwischen CDN und Ihrem Server sollte die Verbindung trotzdem verschlüsselt sein, damit die Strecke nicht ungeschützt bleibt. Die HTTP-Prüfung kann in diesem Aufbau scheitern; dann hilft die DNS-Prüfung oder ein vom CDN bereitgestelltes Ursprungszertifikat.

Überwachung nicht vergessen

Auch automatische Erneuerungen können scheitern, etwa nach einem Firewall-Update, einer DNS-Änderung oder einem Serverumzug. Eine einfache Überwachung, die Sie einige Tage vor dem Ablaufdatum warnt, verhindert unangenehme Überraschungen. Viele Uptime-Dienste prüfen das Zertifikat ohnehin mit. Verlassen Sie sich nicht auf Erinnerungsmails der Zertifizierungsstelle, denn Let’s Encrypt hat den Versand solcher Ablaufhinweise eingestellt.

Fazit

Let’s Encrypt macht HTTPS für jede Website kostenlos und weitgehend automatisch. Im Hosting-Kundenmenü ist die Einrichtung eine Sache von Minuten, auf dem eigenen Server übernimmt Certbot die Arbeit. Entscheidend sind korrekte DNS-Einträge vor der Ausstellung, eine saubere Umleitung auf HTTPS danach und eine Erneuerung, die nachweislich funktioniert. Auf Managed-Plattformen wie beim Managed WordPress Hosting kümmert sich der Anbieter vollständig darum.