Ende Oktober rief mich ein Kunde an. Seine Website zeigte keine sichere Verbindung mehr. Für Besucher heißt das: Der Browser warnt, und viele klicken an dieser Stelle weg.
Das Verrückte daran: Er hatte für Sicherheit bezahlt. Bei seinem Hoster lief ein kostenpflichtiges Zertifikat, eines der teureren mit Prüfung des Unternehmens. Genau diese Prüfung hing fest. Der Zertifikatsanbieter verlangte eine Telefonprüfung: Das Unternehmen sollte per Anruf bestätigt werden, auf Englisch. Bis das erledigt war, gab es kein gültiges Zertifikat.
Was ich im Chat mit dem Hoster erfahren habe
Eine gute halbe Stunde Livechat, drei Antworten. Eine Umstellung auf ein einfacheres Zertifikat ging nicht. Eine Erstattung auch nicht. Und das kostenlose Zertifikat, das im Hosting-Paket enthalten ist, war bereits für eine andere Domain des Kunden vergeben. Ein selbst erstelltes kostenloses Zertifikat ließ sich in dieses Paket nicht hochladen.
Die Lösung hat nichts gekostet
Wir haben die Domain über Cloudflare laufen lassen, einen Dienst, der zwischen Besucher und Server sitzt und die sichere Verbindung kostenlos mitbringt. Am Abend nach dem Telefonat war die Seite wieder mit HTTPS erreichbar. Die Datenschutzerklärung habe ich um den neuen Dienst ergänzt, weil Besucherdaten jetzt über Cloudflare laufen. Das teure Zertifikat wird gekündigt.
Wichtig dabei: Cloudflare löst hier das Zertifikatsproblem. Es ersetzt keine Updates auf dem Server. Warum das so ist, steht in meinem Artikel Kein WordPress, trotzdem betroffen.
Was ich daraus mitnehme
Für eine normale Unternehmenswebsite brauchst du kein bezahltes Zertifikat. Die kostenlosen Zertifikate verschlüsseln genauso. Der Unterschied der teuren Varianten ist eine Prüfung des Unternehmens, die Besucher im Browser praktisch nicht mehr sehen. Viele Hosting-Pakete legen sie trotzdem als Extra in den Warenkorb, und wer es eilig hat, klickt sie mit.
Das zweite: Kostenlose Zertifikate im Paket gelten oft nur für eine bestimmte Anzahl Domains. Wer mehrere Domains in einem Vertrag hat, sollte wissen, welche davon abgedeckt ist. Wie du deinen Vertrag insgesamt durchgehst, steht in Webhosting-Kosten prüfen.
Drei Fragen an deinen Hoster
- Welches Zertifikat läuft auf meiner Domain, und was kostet es im Jahr?
- Ist im Paket ein kostenloses Zertifikat enthalten, und für welche Domains gilt es?
- Was passiert, wenn das Zertifikat abläuft oder eine Prüfung hängt? Bekomme ich vorher eine Nachricht?
Mein Kunde hat jahrelang für etwas bezahlt, das es umsonst gibt, und im entscheidenden Moment hat es ihn nicht geschützt, sondern blockiert. Das passiert nicht, weil jemand etwas falsch gemacht hat. Es passiert, weil niemand regelmäßig draufschaut.
Häufige Fragen
Brauche ich ein bezahltes SSL-Zertifikat?
Für die meisten Unternehmenswebsites nicht. Kostenlose Zertifikate wie Let’s Encrypt verschlüsseln die Verbindung genauso zuverlässig.
Was bedeutet „nicht sicher“ im Browser?
Die Verbindung zu deiner Website ist nicht verschlüsselt, oder das Zertifikat ist ungültig oder abgelaufen. Viele Besucher verlassen die Seite an dieser Stelle.
Ist Cloudflare eine Lösung für alles?
Für das Zertifikat ja. Sicherheitslücken auf dem Server schließt Cloudflare nicht, dafür braucht es weiterhin Updates.
Muss ich die Datenschutzerklärung anpassen?
Ja, sobald ein neuer Dienst wie Cloudflare Daten deiner Besucher verarbeitet.
Stand: 29.10.2026.
Du möchtest nicht selbst merken müssen, wenn dein Zertifikat hängt?
Ich halte deine Website sicher und aktuell und sage dir Bescheid, bevor du dir Sorgen machen musst.
