Ein eigenständiges Gesetz, das jede Firmenwebsite ausdrücklich zu SSL verpflichtet, existiert nicht. Die Pflicht zur Verschlüsselung ergibt sich stattdessen aus Artikel 32 Absatz 1 Buchstabe a der DSGVO: Wer personenbezogene Daten verarbeitet, muss angemessene technische Maßnahmen zu deren Schutz treffen, und Verschlüsselung gilt dabei als Mindeststandard. Da bereits jeder Seitenaufruf die IP-Adresse des Besuchers überträgt, reicht das in der Praxis aus, um fast jede Firmenwebsite in die Pflicht zu nehmen, nicht erst ein Kontaktformular oder ein Login-Bereich.
Welche Rechtsgrundlage heute wirklich gilt
Viele ältere Ratgeber verweisen noch auf Paragraf 13 des Telemediengesetzes (TMG). Diese Vorschrift ist überholt: Das TMG wurde im Zuge der Digitale-Dienste-Regelung durch das Digitale-Dienste-Gesetz (DDG) abgelöst, ein eigener Verschlüsselungsparagraf wie der frühere Paragraf 13 TMG findet sich dort nicht mehr. Maßgeblich ist seither die DSGVO, konkret Artikel 32 in Verbindung mit Artikel 5 Absatz 1 Buchstabe f, der die Integrität und Vertraulichkeit personenbezogener Daten als Grundsatz festschreibt. Für eine Firmenwebsite mit Kontaktformular, einem eingebundenen Google-Unternehmensprofil oder Analyse-Tools ist damit die Rechtslage eindeutig: Verschlüsselung zählt zu den grundlegendsten technischen Maßnahmen, die die DSGVO verlangt.
Rein private Seiten ohne jede Verarbeitung personenbezogener Daten fallen formal nicht unter diese Pflicht, in der Praxis kommt das bei einer gewerblich betriebenen Website aber kaum vor. Sobald ein Kontaktformular, eine Anfahrtskarte oder ein eingebundenes Bewertungswidget läuft, ist die Schwelle erreicht.
Was Chrome und andere Browser ohne HTTPS anzeigen
Seit Chrome 68 im Juli 2018 markiert Google Chrome jede Seite ohne HTTPS-Verschlüsselung direkt in der Adressleiste mit dem Hinweis „Nicht sicher”. Firefox, Edge und Safari sind diesem Muster in den Jahren danach gefolgt. Bei Seiten mit Eingabefeldern, etwa einem Kontaktformular, wird die Warnung meist noch deutlicher hervorgehoben. Für einen Handwerksbetrieb bedeutet das: Ein Interessent, der über eine Google-Suche auf die Seite kommt und dort ein rot markiertes „Nicht sicher” sieht, klickt in vielen Fällen einfach zurück und ruft stattdessen den nächsten Treffer auf. Der Vertrauensverlust passiert dabei in Sekunden, ohne dass der Betrieb je erfährt, dass die Anfrage verloren gegangen ist.
Der Effekt auf das Google-Ranking
Google hat HTTPS bereits 2014 offiziell als Ranking-Signal bestätigt. Der Effekt ist seither ausdrücklich als leicht eingestuft und wiegt deutlich weniger als die Qualität der Inhalte oder die technische Ladezeit der Seite. Wer ohnehin schon plant, die Ladezeit der eigenen Website zu verbessern, sollte HTTPS als eine von mehreren Grundvoraussetzungen mit erledigen, nicht als eigenständige SEO-Maßnahme mit großer Wirkung. Der eigentliche Hebel liegt woanders, HTTPS ist eher eine Eintrittskarte als ein Wettbewerbsvorteil: Fast jede seriöse Firmenwebsite hat es längst, wer es nicht hat, fällt eher negativ auf, als dass die Verschlüsselung allein für bessere Platzierungen sorgt.
Was ohne Verschlüsselung an Bußgeld droht
Verstöße gegen Artikel 32 DSGVO fallen unter den allgemeinen Bußgeldrahmen aus Artikel 83 DSGVO, der bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vorsieht, je nachdem, welcher Betrag höher liegt. Für einen Handwerksbetrieb mit Website ohne HTTPS ist ein tatsächliches Bußgeldverfahren aus diesem Grund derzeit eher die Ausnahme, Aufsichtsbehörden reagieren meist erst nach einer Beschwerde oder im Rahmen einer größeren Prüfung. Das eigentliche Risiko liegt praktisch woanders: im direkten Vertrauensverlust bei Besuchern und im leicht schlechteren Ranking gegenüber verschlüsselten Wettbewerbsseiten. Wer zusätzlich prüfen möchte, welche weiteren Pflichtangaben eine Firmenwebsite braucht, findet den Überblick im Artikel zu Impressum, Datenschutz und den übrigen Pflichtseiten.
Ein Dachdeckerbetrieb, dessen Website seit einem Serverumzug ohne aktives Zertifikat läuft, merkt das in der Praxis selten am Bußgeldbescheid, sondern an sinkenden Anfragen über das Kontaktformular. Interessenten sehen die Warnung, brechen ab und rufen stattdessen einen anderen Betrieb an, ohne dass der Vorfall irgendwo dokumentiert wird. Genau dieser stille Verlust macht die Verschlüsselung für kleinere Firmenwebsites wichtiger als die eher theoretische Bußgeldgefahr.
SSL und TLS: Der Unterschied kurz erklärt
In der Praxis werden beide Begriffe oft synonym verwendet, technisch ist TLS (Transport Layer Security) der Nachfolger des ursprünglichen SSL-Protokolls und wird seit Jahren allein eingesetzt. Wenn Hosting-Anbieter oder Agenturen heute von einem „SSL-Zertifikat” sprechen, ist damit fast immer ein TLS-Zertifikat gemeint, das Protokoll im Hintergrund heißt nur noch aus Gewohnheit so. Für einen Handwerksbetrieb ist diese Unterscheidung ohne praktische Relevanz, wichtig ist allein, dass eine aktuelle TLS-Version läuft und keine veraltete, unsichere Verschlüsselung mehr aktiv ist. Ein guter Hosting-Anbieter kümmert sich darum automatisch im Hintergrund, ohne dass der Betrieb selbst technische Details verwalten muss.
Subdomains und Wildcard-Zertifikate
Wer neben der Hauptseite eine eigene Subdomain betreibt, etwa einen separaten Shop-Bereich oder einen Kundenlogin unter shop.beispielbetrieb.de, braucht dafür in der Regel ein eigenes Zertifikat oder ein sogenanntes Wildcard-Zertifikat, das alle Subdomains gleichzeitig absichert. Für die meisten Handwerksbetriebe mit einer einzigen Domain und maximal einer www-Variante stellt sich diese Frage praktisch nicht, moderne Zertifikate wie Let’s Encrypt decken beide Varianten ohnehin standardmäßig mit ab. Relevant wird das Thema erst, wenn zusätzliche Funktionsbereiche wie ein Bewerberportal oder ein Kundenbereich unter einer eigenen Subdomain hinzukommen, dann lohnt sich ein kurzer Blick in die Zertifikatseinstellungen beim Hosting-Anbieter.
Was ein SSL-Zertifikat kostet
| Zertifikat-Typ | Kosten | Für wen sinnvoll |
|---|---|---|
| Let’s Encrypt (DV) | Kostenlos, automatische Verlängerung | Praktisch jede Firmenwebsite, auch Handwerksbetriebe |
| Kostenpflichtiges DV-Zertifikat eines Anbieters | Meist niedriger zweistelliger Betrag pro Jahr | Selten nötig, wenn Let’s Encrypt zur Verfügung steht |
| OV-Zertifikat (Organization Validation) | Mittlerer zweistelliger bis niedriger dreistelliger Betrag pro Jahr | Größere Online-Shops mit sichtbarer Firmenprüfung |
| EV-Zertifikat (Extended Validation) | Oberer zweistelliger bis mehrere hundert Euro pro Jahr | Banken, Zahlungsdienstleister, kaum relevant für Handwerksbetriebe |
Für die weit überwiegende Zahl der Firmenwebsites reicht ein kostenloses Let’s-Encrypt-Zertifikat vollkommen aus. Es bietet dieselbe Verschlüsselungsstärke wie kostenpflichtige Varianten, der Unterschied liegt allein im Umfang der Firmenprüfung, die für eine normale Betriebswebsite ohne Zahlungsabwicklung keinen praktischen Mehrwert bringt. Fast jeder Hosting-Anbieter richtet Let’s Encrypt inzwischen automatisch ein und verlängert es selbstständig alle 90 Tage, ohne dass jemand manuell eingreifen muss.
So prüfst du die eigene Website in einer Minute
- Die eigene Website-Adresse im Browser aufrufen und auf das Schlosssymbol links neben der Adresse achten.
- Fehlt das Schloss oder zeigt der Browser „Nicht sicher” an, ist entweder kein Zertifikat vorhanden oder es ist abgelaufen.
- Beim Hosting-Anbieter oder der Betreuungsfirma nachfragen, ob HTTPS aktiv ist und automatisch erneuert wird.
- Prüfen, ob alle internen Links und eingebundene Bilder ebenfalls über https:// laufen, gemischte Inhalte lösen in manchen Browsern eigene Warnungen aus.
- Nach einem Wechsel des Hosting-Anbieters das Zertifikat erneut kontrollieren, da es beim Umzug gelegentlich nicht automatisch mitwandert.
Ein abgelaufenes oder falsch eingerichtetes Zertifikat gehört zu den Dingen, die im laufenden Betrieb schnell übersehen werden, gerade weil es zwischen zwei Verlängerungen monatelang unauffällig im Hintergrund läuft. Der Artikel zu Risiken einer ungepflegten Website beschreibt, wie ein abgelaufenes Zertifikat neben Backup-Lücken zu den häufigsten Ursachen für einen plötzlichen Vertrauens- oder Sichtbarkeitsverlust zählt.
Betriebe mit einer selbst verwalteten Website, etwa auf einem eigenen Server oder bei einem reinen Webspace-Anbieter ohne Betreuung, tragen die Verantwortung für diese Kontrolle vollständig selbst. Läuft die Seite dagegen bei einem Anbieter mit laufender Betreuung, gehört die automatische Verlängerung samt Überwachung meist zum Standardumfang, ein manueller Blick alle paar Monate reicht dann als zusätzliche Absicherung. Der Unterschied zeigt sich selten im Alltag, sondern genau in dem Moment, in dem ein Zertifikat unbemerkt abläuft und niemand rechtzeitig eingreift.
Für einen Handwerksbetrieb ist SSL damit weniger eine offene Rechtsfrage als eine erledigte Grundlage: einmal richtig eingerichtet, sollte es automatisch laufen und nie wieder Thema werden müssen. Wer beim Aufbau oder der laufenden Betreuung der eigenen Website sichergehen will, dass genau das der Fall ist, findet diese Kontrolle als festen Bestandteil der Betreuung im Abo bei Mr.Site.