SSL-Zertifikat kostenlos: Kosten, Pflicht und Einrichtung

Kurz gesagt: Ja, ein SSL-Zertifikat bekommst du kostenlos, zum Beispiel von Let’s Encrypt. Bei den meisten Hostern ist es im Paket enthalten und lässt sich im Kundenbereich mit wenigen Klicks aktivieren. Bezahlte Zertifikate kosten bei Händlern ab rund 11 € für die einfache Variante, ab 57 € mit Prüfung des Unternehmens und ab 125 € mit erweiterter Prüfung. Die Verschlüsselung ist bei allen gleich, du zahlst nur für die Prüfung, wer hinter der Website steht. Für die meisten Firmenwebsites reicht das kostenlose Zertifikat.

Vielleicht zeigt dein Browser neben deiner Adresse „Nicht sicher“, oder du richtest gerade eine neue Website ein und fragst dich, ob du für das Zertifikat extra zahlen musst. Dazu kommen Angebote vom Hoster für „Premium-SSL“ und Warnungen vor Bußgeldern. Hier steht, was du wirklich brauchst, was es kostet und wie du es in einer Viertelstunde einrichtest.

Keine Lust, dich darum zu kümmern? In unserer WordPress-Wartung überwachen wir das Zertifikat und melden uns, bevor es abläuft. Bei der Umstellung auf HTTPS hilft dir die WordPress-Hilfe zum Stundensatz im 15-Minuten-Takt.

Was ist ein SSL-Zertifikat?

Ein SSL-Zertifikat sorgt dafür, dass die Verbindung zwischen dem Browser deiner Besucher und deinem Server verschlüsselt ist. Du erkennst es an der Adresse, die mit https:// beginnt. Ohne Verschlüsselung gehen Formulareingaben, Passwörter und Bestelldaten wie auf einer Postkarte durchs Netz, jede Station auf dem Weg könnte mitlesen. Mit Zertifikat sind sie versiegelt.

Das Zertifikat bestätigt außerdem, dass der Server wirklich zu deiner Domain gehört. Ausgestellt wird es von einer Zertifizierungsstelle, der die Browser vertrauen.

SSL oder TLS?

SSL ist der alte Name des Verfahrens aus den 1990er-Jahren. Heute läuft die Verschlüsselung über den Nachfolger TLS. Der Begriff „SSL-Zertifikat“ hat sich trotzdem gehalten. Wer heute ein SSL-Zertifikat aktiviert, bekommt ein TLS-Zertifikat, für dich als Betreiber macht das keinen Unterschied.

Wo bekomme ich ein SSL-Zertifikat kostenlos?

Let’s Encrypt

Let’s Encrypt ist eine gemeinnützige Zertifizierungsstelle der Internet Security Research Group, die Zertifikate kostenlos und automatisch ausstellt. Die Zertifikate sind domainvalidiert: Geprüft wird, dass du die Domain kontrollierst, nicht, wer du bist. Für Firmenwebsites, Blogs und kleine Shops reicht das.

Ein Let’s-Encrypt-Zertifikat gilt heute 90 Tage und wird automatisch erneuert. Die Laufzeit wird kürzer: Ab 10.02.2027 stellt Let’s Encrypt im Standard Zertifikate für 64 Tage aus, ab 16.02.2028 für 45 Tage (Let’s Encrypt, Dezember 2025). Wenn dein Hoster die Erneuerung übernimmt, merkst du davon nichts.

Cloudflare und ZeroSSL

• Cloudflare: Wer seine Domain über Cloudflare laufen lässt, bekommt auch im kostenlosen Tarif ein Zertifikat, das Cloudflare selbst ausstellt und erneuert (Cloudflare Universal SSL). Dafür leitest du deinen Datenverkehr über Cloudflare, das ist ein eigener Schritt mit eigenen Datenschutzfragen.
• ZeroSSL: Im kostenlosen Tarif gibt es drei Zertifikate mit 90 Tagen Laufzeit (ZeroSSL Preise). Interessant für eigene Server, auf denen kein Hoster das Zertifikat einrichtet.

Kostenloses SSL bei Hostern

Bei den großen deutschen Hostern ist ein Zertifikat in der Regel im Hosting-Paket enthalten. Drei Beispiele, abgerufen am 25.10.2026:

Bei einigen Hostern ist das Zertifikat zwar enthalten, aber nicht automatisch eingeschaltet. Schau im Kundenbereich unter Domains, SSL oder Sicherheit nach, ob es für jede deiner Domains aktiv ist, auch für die Variante mit www. Strato und IONOS verkaufen daneben bezahlte Zertifikate mit Prüfung des Unternehmens. Die brauchst du nur in den Fällen, die unten im Abschnitt zu den Kosten stehen.

Was kostet ein SSL-Zertifikat?

Wenn du ein Zertifikat kaufst, zahlst du nicht für bessere Verschlüsselung, sondern für eine gründlichere Prüfung des Inhabers. Es gibt drei Stufen:

Die Preise sind die niedrigsten Einstiegspreise je Stufe aus der Preisliste der PSW Group, abgerufen am 25.10.2026 (DV, OV, EV, Wildcard). Je nach Marke und Laufzeit liegen sie deutlich höher. Kaufst du beim Hoster, übernimmt er den Einbau; beim Händler lädst du das Zertifikat selbst hoch.

Wann lohnt sich ein bezahltes Zertifikat?

Nur in wenigen Fällen: wenn ein Auftraggeber, eine Ausschreibung oder eine Branchenvorgabe ein OV- oder EV-Zertifikat verlangt, wenn du Software nutzt, die Let’s Encrypt nicht unterstützt, oder wenn dir eine Haftungszusage der Zertifizierungsstelle wichtig ist. Besucher sehen den Unterschied nur, wenn sie die Zertifikatsdetails im Browser öffnen. Für Vertrauen sorgen bei einer Firmenwebsite Impressum, echte Kontaktdaten und nachvollziehbare Referenzen mehr als die Zertifikatsstufe.

Wildcard-Zertifikate

Ein Wildcard-Zertifikat für *.deinedomain.de gilt für alle Subdomains, also shop.deinedomain.de, mail.deinedomain.de und so weiter. Let’s Encrypt stellt Wildcard-Zertifikate kostenlos aus, verlangt dafür aber eine Prüfung über einen DNS-Eintrag. Das klappt nur, wenn dein Hoster oder dein DNS-Anbieter das automatisch unterstützt. Für zwei oder drei Subdomains ist es einfacher, für jede ein eigenes kostenloses Zertifikat zu aktivieren.

Neu seit 2026: kürzere Laufzeiten

Die Laufzeit aller öffentlichen Zertifikate sinkt Schritt für Schritt, auch für gekaufte. Seit 15.03.2026 gilt ein Zertifikat höchstens 200 Tage, ab 15.03.2027 höchstens 100 Tage und ab 15.03.2029 höchstens 47 Tage (DigiCert zum Beschluss SC-081 des CA/Browser Forums). Ein „Jahreszertifikat“, das du einmal im Jahr von Hand einspielst, gibt es damit nicht mehr.

Für dich heißt das: Die Erneuerung muss automatisch laufen. Beim Hoster ist das meist schon so, bei eigenen Servern übernimmt das ein Programm wie Certbot. Und weil Let’s Encrypt seit 04.06.2025 keine Erinnerungsmails vor dem Ablauf mehr verschickt (Let’s Encrypt), brauchst du eine eigene Überwachung, wenn du nicht sicher bist, ob die Automatik läuft.

Ist ein SSL-Zertifikat Pflicht?

Ein Gesetz mit dem Satz „Jede Website braucht SSL“ gibt es nicht. Es gibt aber zwei Vorschriften, aus denen sich für die meisten Websites eine Pflicht ergibt:

• Art. 32 DSGVO: Wer personenbezogene Daten verarbeitet, muss sie mit Maßnahmen nach dem Stand der Technik schützen. Verschlüsselung ist dort ausdrücklich als Beispiel genannt (Art. 32 DSGVO). Ein Kontaktformular, eine Newsletter-Anmeldung, ein Login oder ein Shop ohne HTTPS erfüllt das nicht.
• § 19 Abs. 4 TDDDG: Wer geschäftsmäßig digitale Dienste anbietet, also auch eine Firmenwebsite, muss seine Technik nach dem Stand der Technik absichern, soweit das technisch möglich und wirtschaftlich zumutbar ist. Als Maßnahme nennt das Gesetz „insbesondere die Anwendung eines als sicher anerkannten Verschlüsselungsverfahrens“ (§ 19 TDDDG). Bei einem kostenlosen Zertifikat ist schwer zu begründen, warum das unzumutbar sein soll.

Und die Bußgelder? Für einen Verstoß gegen § 19 Abs. 4 TDDDG sieht das Gesetz selbst keine Geldbuße vor (§ 28 TDDDG). Die oft genannten „bis zu 50.000 €“ stammen aus dem früheren Telemediengesetz. Verstöße gegen Art. 32 DSGVO kann die Datenschutzaufsicht dagegen mit bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes ahnden (Art. 83 Abs. 4 DSGVO). Das ist der Rahmen, nicht der übliche Betrag für eine fehlende Verschlüsselung.

Dazu kommt der Browser. Chrome warnt seit Langem vor Seiten ohne HTTPS. Mit Chrome 154, von Google für Oktober 2026 angekündigt, fragt der Browser vor dem ersten Besuch einer öffentlichen Seite ohne HTTPS standardmäßig nach, ob der Nutzer sie wirklich öffnen will (Google Security Blog, Oktober 2025).

Diese Hinweise ersetzen keine Rechtsberatung.

SSL-Zertifikat einrichten

Beim Hoster aktivieren

Das ist der Weg für fast alle Websites auf gemietetem Webspace:

• Schritt 1: Im Kundenbereich deines Hosters anmelden.
• Schritt 2: Die Verwaltung der Domain öffnen; der Punkt heißt meist „SSL“, „Sicherheit“ oder „Zertifikate“.
• Schritt 3: Das kostenlose Zertifikat (oft „Let’s Encrypt“) für die Domain und die www-Variante aktivieren.
• Schritt 4: Warten, bis es ausgestellt ist, meist wenige Minuten, selten bis zu einer Stunde.
• Schritt 5: Die Website mit https:// aufrufen und mit dem kostenlosen SSL Server Test von Qualys SSL Labs prüfen.

Auf dem eigenen Server mit Certbot

Wer einen eigenen Server betreibt, richtet Let’s Encrypt mit Certbot ein. Auf einem Ubuntu- oder Debian-Server mit Apache sieht das so aus:

sudo apt update
sudo apt install certbot python3-certbot-apache
sudo certbot --apache -d deinedomain.de -d www.deinedomain.de
sudo certbot renew --dry-run

Der letzte Befehl prüft, ob die automatische Erneuerung funktioniert. Für andere Systeme zeigt die Certbot-Seite die passende Anleitung.

Alle Aufrufe auf HTTPS umleiten

Ist das Zertifikat aktiv, sollen alle Aufrufe über http:// dauerhaft auf https:// umgeleitet werden. Viele Hoster bieten dafür einen Schalter im Kundenbereich. Auf Apache-Servern geht es auch mit drei Zeilen in der .htaccess:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Weitere Regeln, mit denen du WordPress über die .htaccess absicherst, stehen in WordPress mit .htaccess absichern. Bei WordPress musst du außerdem unter Einstellungen → Allgemein beide Adressen auf https:// umstellen. Das Plugin Really Simple Security (früher Really Simple SSL) erledigt Umleitung und Adressen in einem Schritt.

Gemischte Inhalte beheben

Nach der Umstellung bleibt manchmal eine Warnung, obwohl das Zertifikat aktiv ist. Meist werden dann einzelne Bilder, Skripte oder Schriften noch über http:// geladen (MDN: Mixed Content). So findest du sie:

• Schritt 1: Die Seite in Chrome öffnen, F12 drücken und in der Konsole nach „Mixed Content“ suchen.
• Schritt 2: Jede gemeldete Adresse auf https:// umstellen, in Inhalten, im Theme und in eingebundenen Diensten.
• Schritt 3: Bei WordPress alte Adressen in der Datenbank mit einem Suchen-und-Ersetzen-Werkzeug austauschen, vorher ein Backup anlegen.

Zertifikat erneuern und überwachen

Läuft ein Zertifikat ab, zeigt der Browser eine ganzseitige Warnung, die Besucher erst aktiv übergehen müssen. Prüfe deshalb nach der Einrichtung einmal, ob die Erneuerung automatisch läuft: Im Browser zeigt ein Klick auf das Symbol links neben der Adresse das Ablaufdatum. Liegt es nach dem nächsten Erneuerungstermin weiter in der Zukunft, funktioniert die Automatik.

Weil die Laufzeiten kürzer werden und Let’s Encrypt keine Erinnerungen mehr verschickt, lohnt eine Überwachung. Dienste wie UptimeRobot melden sich, bevor ein Zertifikat abläuft. In unserer Wartung gehört diese Ablaufwarnung zum Paket.

Bringt SSL Vorteile bei Google?

Google nutzt HTTPS seit August 2014 als Rankingsignal, aber als leichtes Signal, das damals weniger als 1 % der Suchanfragen beeinflusste (Google Search Central, 2014). Wichtiger als dieses Signal ist der Besucher: Eine Browserwarnung vor deiner Seite kostet Anfragen, lange bevor sie sich im Ranking zeigt. Wer HTTPS nachträglich einführt, sollte die Umleitungen sauber setzen und die Search Console auf die https-Variante einstellen.

Häufige Fragen zum kostenlosen SSL-Zertifikat

Ist ein SSL-Zertifikat kostenlos?

Ja. Let’s Encrypt stellt domainvalidierte Zertifikate kostenlos aus, und bei den meisten Hostern ist ein Zertifikat im Hosting-Paket enthalten. Du musst es oft nur im Kundenbereich aktivieren. Die Verschlüsselung ist dieselbe wie bei einem gekauften Zertifikat.

Was kostet ein SSL-Zertifikat?

Ein domainvalidiertes Zertifikat kostet beim Hoster meist nichts, bei Händlern ab rund 11 €. Zertifikate mit Prüfung des Unternehmens (OV) beginnen bei etwa 57 €, mit erweiterter Prüfung (EV) bei etwa 125 €, Wildcard-Zertifikate bei etwa 54 € (PSW Group, inkl. MwSt., Stand 25.10.2026). Je nach Marke und Laufzeit kann es deutlich mehr sein.

Ist ein SSL-Zertifikat bei IONOS kostenlos?

Ja. IONOS gibt auf seiner Webhosting-Seite ein SSL-Zertifikat in allen Paketen an (Stand 25.10.2026). Aktiviert wird es im Kundenbereich bei der Domain. Kostenpflichtig sind nur zusätzliche Zertifikate mit Prüfung des Unternehmens.

Was kostet ein SSL-Zertifikat bei Strato?

In den Hosting-Tarifen von Strato ist mindestens ein SSL-Zertifikat dauerhaft enthalten, je nach Tarif auch mehrere (Stand 25.10.2026). Zertifikate mit Prüfung des Unternehmens kannst du im Kunden-Login dazubuchen; den aktuellen Preis zeigt Strato dort. Für eine normale Firmenwebsite reicht das enthaltene Zertifikat.

Wo kaufe ich ein SSL-Zertifikat, wenn meine Website schon gehostet ist?

Zuerst im Kundenbereich deines Hosters nachsehen, dort ist meist ein kostenloses Zertifikat enthalten oder ein bezahltes buchbar, das der Hoster gleich einbaut. Ein bei einem Händler gekauftes Zertifikat musst du selbst beim Hoster hochladen, und das geht nicht in jedem Tarif. Beim Hoster zu bleiben ist deshalb fast immer der einfachere Weg.

Muss ich mein SSL-Zertifikat verlängern?

Ja, jedes Zertifikat läuft ab. Kostenlose Zertifikate von Let’s Encrypt gelten 90 Tage und werden beim Hoster automatisch erneuert. Gekaufte Zertifikate gelten seit 15.03.2026 höchstens 200 Tage, ab 15.03.2027 höchstens 100 Tage, deshalb sollte auch dort die Erneuerung automatisch laufen.

Ist ein SSL-Zertifikat Pflicht?

Für Websites mit Kontaktformular, Login, Newsletter oder Shop ja: Art. 32 DSGVO verlangt Schutz nach dem Stand der Technik und nennt Verschlüsselung ausdrücklich. Für geschäftsmäßige Websites ohne Eingabefelder nennt § 19 Abs. 4 TDDDG Verschlüsselung als Maßnahme, die zu ergreifen ist, soweit zumutbar. Bei kostenlosen Zertifikaten heißt das praktisch: Jede Firmenwebsite sollte HTTPS haben.

Macht SSL meine Website langsamer?

Nein, nicht spürbar. Der Verbindungsaufbau dauert minimal länger, das merkt im Alltag niemand. Spürbar sind dagegen die Folgen ohne HTTPS: Browserwarnungen, die Besucher abschrecken.

Fazit: kostenlos aktivieren, Erneuerung im Blick behalten

Für fast jede Website reicht ein kostenloses Zertifikat von Let’s Encrypt oder vom Hoster. Aktiviere es für alle Domains und die www-Variante, leite alle Aufrufe auf HTTPS um und prüfe einmal, ob die automatische Erneuerung läuft. Geld für ein Zertifikat gibst du nur aus, wenn jemand ausdrücklich ein OV- oder EV-Zertifikat verlangt.

HTTPS ist ein Baustein der Sicherheit, nicht die ganze. Was sonst noch dazugehört, steht in unserem Leitfaden zur WordPress-Sicherheit. Wenn du dich darum nicht kümmern willst: Die WordPress-Wartung überwacht Zertifikat, Updates und Backups für dich, ab 69 € im Monat zuzüglich Mehrwertsteuer. Für die einmalige Umstellung auf HTTPS ist die WordPress-Hilfe der richtige Weg.