Braucht meine Website ein SSL-Zertifikat (https)?
Ja. Ein Gesetz mit dem Wort SSL gibt es nicht, aber die DSGVO verlangt Schutz nach dem Stand der Technik und nennt Verschlüsselung ausdrücklich. Chrome schreibt neben jede Seite ohne https „Nicht sicher“. Und das Zertifikat kostet bei manchen Hostern nichts, etwa bei World4You. Einen guten Grund, darauf zu verzichten, sehe ich nicht.
Ist https in Österreich Pflicht?
Ein Gesetz, in dem „SSL“ oder „https“ steht, kenne ich nicht. Die Antwort steht in der Datenschutz-Grundverordnung, die auch in Österreich unmittelbar gilt. Artikel 32 verlangt von jedem, der personenbezogene Daten verarbeitet, geeignete Schutzmaßnahmen und zählt Beispiele auf:
„… treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen unter anderem Folgendes ein: a) die Pseudonymisierung und Verschlüsselung personenbezogener Daten …“
Personenbezogene Daten sind auf einer kleinen Firmenseite schnell im Spiel: Name, E-Mail-Adresse und Telefonnummer im Kontaktformular, eine Tischreservierung, eine Zimmeranfrage. Ohne https gehen diese Angaben unverschlüsselt durchs Netz. Dieselbe Vorschrift stellt auf den „Stand der Technik“ und die Kosten ab. Wenn ein Zertifikat beim Hoster kostenlos dabei ist, fällt mir kein Argument ein, warum eine Seite mit Formular ohne auskommen sollte.
Das ist meine Lesart als Webdesigner, keine Rechtsberatung. Was sonst in Ihre Datenschutzerklärung gehört, steht im Artikel Was muss meine Datenschutzerklärung als Kleinunternehmer enthalten?
Quelle: Verordnung (EU) 2016/679 (DSGVO), Artikel 32 Absatz 1, EUR-Lex, abgerufen am 24. Oktober 2026.
Was sieht ein Besucher, wenn meine Seite kein https hat?
Seit Chrome 68, also seit Juli 2018, kennzeichnet Chrome alle Seiten ohne https in der Adressleiste mit „Nicht sicher“. Die Chrome-Hilfe erklärt Ihrem Besucher dann, was das heißt: Die Website nutze keine private Verbindung, jemand könne die gesendeten Informationen einsehen oder ändern. Das ist nicht der Satz, den ein Besucher lesen sollte, bevor er Ihr Formular ausfüllt.
Wer in Chrome die Option „Immer verschlüsselte Verbindungen verwenden“ eingeschaltet hat, bekommt bei einer Seite ohne https vorher die Warnung „Verbindung ist nicht sicher“. Diese Besucher sehen also eine Warnung, bevor sie Ihre Startseite sehen.
Und Google? Google hat https im August 2014 zum Rankingsignal gemacht, damals ausdrücklich als sehr leichtes Signal, das weniger als 1 Prozent der Suchanfragen betraf. Ein Zertifikat bringt Sie also nicht auf Platz eins. Es ist eine Grundvoraussetzung, so wie eine Hausnummer an der Tür: Sie fällt erst auf, wenn sie fehlt.
Quellen: Chromium Blog, A secure web is here to stay; Chrome-Hilfe, Prüfen, ob die Verbindung einer Website sicher ist; Google Search Central Blog, HTTPS as a ranking signal; alle abgerufen am 24. Oktober 2026.
Was kostet ein SSL-Zertifikat?
Oft nichts. Let's Encrypt ist eine gemeinnützige Stelle, die Zertifikate ohne Gebühr ausstellt. Manche Hoster haben das eingebaut. World4You schreibt auf seiner Seite für die Webhosting-Pakete, dass alle Kunden kostenlose SSL-Zertifikate von Let's Encrypt nutzen können.
Ein Zertifikat von Let's Encrypt gilt 90 Tage. Let's Encrypt empfiehlt, es nach 60 Tagen zu erneuern. Das sollte automatisch passieren, ohne dass Sie etwas davon merken. Ob Ihr Hoster das so eingerichtet hat, steht in seiner Hilfe, oder Sie fragen dort einmal nach.
Für das Einschalten brauchen Sie oft keinen Webdesigner. Wenn Ihr Hoster kostenlose Zertifikate anbietet, klären Sie das direkt mit ihm. Wenn Ihnen jemand für eine kleine Firmenseite ein Zertifikat eigens verrechnet, fragen Sie nach, wofür genau. Was Domain und Hosting sonst kosten, habe ich im Artikel Was kosten Domain und Hosting in Österreich? mit meiner eigenen Rechnung aufgeschrieben.
Quellen: Let's Encrypt, FAQ; World4You, Webhosting; beide abgerufen am 24. Oktober 2026.
Wie prüfe ich meine eigene Seite?
Dafür brauchen Sie zwei Minuten und einen Browser.
- Öffnen Sie Ihre Seite und schauen Sie links in die Adressleiste. Steht dort „Nicht sicher“, fehlt https. Steht dort nichts Auffälliges, klicken Sie auf das Symbol daneben: Chrome zeigt Ihnen, ob die Verbindung sicher ist.
- Tippen Sie die Adresse von Hand mit http:// ein, also ohne s. Landen Sie trotzdem auf https://, ist die Weiterleitung eingerichtet. Bleibt die Seite auf http://, ist https zwar vorhanden, wird aber nicht erzwungen.
- Machen Sie dasselbe mit und ohne www. http://ihrbetrieb.at und http://www.ihrbetrieb.at sind für den Server zwei Adressen. Beide sollten auf https enden.
- Prüfen Sie alte Adressen, die irgendwo gedruckt sind. Eine zweite Domain auf der Visitenkarte, eine alte Endung auf dem Firmenauto. Auch die sollten bei der https-Version Ihrer Seite ankommen.
- Schicken Sie Ihr Kontaktformular einmal an sich selbst ab. Achten Sie dabei auf die Adressleiste. Eine Warnung beim Absenden sollte dort nicht stehen.
Wenn bei Schritt 1 „Nicht sicher“ steht, fragen Sie zuerst Ihren Hoster. Wenn https funktioniert, aber Schritt 2 oder 3 scheitert, fehlt eine Weiterleitung auf dem Server. Das muss der erledigen, der die Seite betreut.
Wie sieht das auf einer sauber eingerichteten Seite aus?
Ich habe heute meine eigene Seite genau so geprüft. Jede der Adressen in der Tabelle landet mit einem einzigen Sprung auf https. Die alte Endung .at geht dabei direkt auf die https-Adresse der .com-Domain, ohne Umweg über eine zweite Weiterleitung.
| Eingetippt | Landet auf |
|---|---|
| http://wilddigitalmoments.com/wissen/ | https://wilddigitalmoments.com/wissen/ |
| http://www.wilddigitalmoments.com/ | https://www.wilddigitalmoments.com/ |
| http://wilddigitalmoments.at/wissen/ | https://wilddigitalmoments.com/wissen/ |
Dazu kommt eine Zeile, die man nicht sieht: HSTS. Damit sagt eine Seite dem Browser, dass er sie nur noch über eine sichere Verbindung aufrufen soll, und zwar für eine festgelegte Zeit. Bei mir ist das ein Jahr. Eingerichtet habe ich das am 13. Oktober 2026, als die Seite auf einen neuen Server umgezogen ist, weil der neue Server diese Zeile nicht von selbst mitschickte. Gesehen habe ich das erst beim Nachmessen.
Das Zertifikat selbst gilt vom 13. Oktober 2026 bis zum 11. April 2027. Für einen kleinen Betrieb sind https und die Weiterleitungen aus meiner Sicht das Wichtigste. HSTS kommt danach, wenn alles andere sauber läuft.
Quelle zu HSTS: RFC 6797, HTTP Strict Transport Security, abgerufen am 24. Oktober 2026.
Häufige Fragen
Ein Gesetz, das ausdrücklich SSL oder https verlangt, kenne ich nicht. Die DSGVO verlangt in Artikel 32 Schutzmaßnahmen nach dem Stand der Technik und nennt die Verschlüsselung personenbezogener Daten als Beispiel. Sobald Ihre Seite ein Formular hat, ist https nach meiner Einschätzung die einfachste dieser Maßnahmen. Eine Rechtsberatung ist das nicht.
Oft nichts. Let's Encrypt stellt Zertifikate kostenlos aus, und manche Hoster bauen das ein, World4You zum Beispiel für alle Kunden. Ein Angebot, das für eine kleine Firmenseite ein Zertifikat eigens berechnet, sollten Sie hinterfragen.
Ja. Chrome zeigt „Nicht sicher“ bei jeder Seite ohne https, egal ob sie ein Formular hat oder nicht. Und Ihr Besucher sieht diese Warnung, bevor er eine einzige Zeile von Ihnen gelesen hat.
Im Alltag ja. TLS ist der Nachfolger von SSL, so steht es zum Beispiel in RFC 6797. Der Name SSL hat sich gehalten, gemeint ist das Zertifikat, mit dem Ihre Seite unter https erreichbar ist.
Ja. Zertifikate von Let's Encrypt gelten 90 Tage, Let's Encrypt empfiehlt die Erneuerung nach 60 Tagen. Das sollte automatisch passieren. Fragen Sie Ihren Hoster einmal, ob das bei Ihrem Paket so eingestellt ist.
ÜBER DEN AUTOR
Ich baue Websites für kleine Betriebe in Tirol, von Imst aus. Bei meiner eigenen Seite habe ich https und die Weiterleitungen nachgemessen, statt sie anzunehmen.
Unsicher, ob Ihre Seite sauber läuft?
Schicken Sie mir die Adresse Ihrer Seite und sagen Sie, was sie heute kann. Ich sage Ihnen, ob https und die Weiterleitungen stimmen und was eine neue Seite kosten würde. Spätestens in 2 Werktagen haben Sie den Fixpreis schriftlich.