Was das Schloss tatsächlich bestätigt
Bei der HTTPS-Verbindung einigt sich der Browser mit dem Server auf einen Schlüssel. Mithören auf der Strecke wird deutlich schwerer. Formulare, Logins und das Admin-Panel gehören hinter TLS; unverschlüsseltes HTTP ist für öffentliche Websites der Ausnahmefall.
Das Zertifikat bestätigt – je nach Typ – unterschiedlich viel. Domain Validation (DV) prüft, dass der Antragsteller die Domain steuert, typischerweise über eine Datei im Webroot oder einen DNS-Eintrag. Organization Validation (OV) und Extended Validation (EV) prüfen zusätzlich Organisationsdaten. Im Alltagsslot des Chrome-Adressfelds sieht der Besucher das oft nicht mehr als Firmennamen neben dem Schloss.
Ein abgelaufenes oder falsch ausgestelltes Zertifikat (anderer Hostname, fehlendes SAN für www) erzeugt Warnseiten. Dann ist nicht „der Hoster langsam“, sondern die Kette aus Ausstellung, Verlängerung und Virtual-Host-Konfiguration unterbrochen.
Let’s Encrypt und kostenpflichtige Zertifikate
Let’s Encrypt stellt DV-Zertifikate kostenlos aus, in der Regel für 90 Tage, und lebt von Automatisierung (ACME). Für eine einzelne Website oder einen kleinen Shop reicht das, sobald der Hoster oder Ihr Server die Verlängerung zuverlässig anstößt. Wildcard-Zertifikate (*.example.de) sind über den DNS-Challenge-Weg möglich; das setzt Kontrolle über die Zone voraus.
Bezahlte Zertifikate derselben DV-Klasse verschlüsseln nicht „besser“ als Let’s Encrypt. Der Aufpreis gilt Organisationsprüfung, längeren Laufzeiten mancher CAs, Support-Zusagen, speziellen Issuance-Prozessen oder Bundles mit Malware-Siegeln – nicht einem anderen Schloss-Symbol. Beträge dafür gehören auf die Seite der Zertifizierungsstelle, nicht in diesen Ratgeber.
Auf einem vServer sind Sie für ACME-Client, Firewall und den Webserver selbst zuständig, sofern der Tarif unmanaged ist. Im Managed Server übernimmt der Anbieter typischerweise die Systemschicht; ob ein bestimmtes Zertifikat inklusive ist, steht im Tarif, nicht pauschal in unserer vServer-Tabelle (dort gibt es keine SSL-Spalte).
Wo SSL in unseren Hosting-Tabellen steht
In der Shared-Hosting-Matrix ist „SSL-Zertifikate inklusive“ ein Ja/Nein-Feld. Die meisten Einträge – darunter hosting.de, Hetzner, Strato, IONOS und Hostinger – stehen auf ja. Der Shared-Eintrag von GoDaddy steht in unseren Daten auf nein: das Zertifikat ist dort kein Häkchen im Paket, sondern extra zu klären.
Dieselbe boolean-Zeile gibt es bei Joomla-Hosting; hosting.de und webgo führen sie mit ja. WordPress-Hosting hat in der großen Tabelle Staging, Updates, Caching und Backups – keine eigene SSL-Spalte. Gehen Sie dort nicht davon aus, HTTPS fehle; es ist nur nicht als eigene Vergleichszeile modelliert.
Direktvergleiche, in denen die SSL-Zeile sichtbar wird, sind unter anderem hosting.de vs. GoDaddy, hosting.de vs. Strato und hosting.de vs. Hetzner. Für Joomla: hosting.de vs. webgo.
SSL ersetzt weder Backup noch Update
Verschlüsselung schützt den Transport. Sie ersetzt keine Wiederherstellung nach einem Plugin-Unfall und keine Patches auf dem Server. Dafür sind die Ratgeber Backups und – bei der Schichtfrage – vServer oder Shared Hosting zuständig.
Mixed Content (Seite per HTTPS, Bilder oder Skripte noch per HTTP) erzeugt Warnungen, obwohl ein gültiges Zertifikat hängt. Nach der Umstellung gehören kanonische URLs, Weiterleitungen und die CMS-Site-URL auf https.
Zum Weiterlesen
Häufige Fragen
Ist Let’s Encrypt unsicherer als ein bezahltes Zertifikat?
Für die Verschlüsselung einer einzelnen Domain nein. Der Unterschied liegt in Validierungstiefe, Automatisierung, Wildcard-Weg und Support – nicht in einem „stärkeren“ Schloss. EV/OV prüfen die Organisation zusätzlich; das ändert nicht die TLS-Version.
Warum hat WordPress-Hosting bei uns keine SSL-Spalte?
Die WordPress-Tabelle modelliert Staging, Updates, Caching, Backups und Instanzen. HTTPS gehört zum Betrieb, ist dort aber keine eigene comparisonRow. Shared Hosting und Joomla Hosting führen die Zeile „SSL-Zertifikate inklusive“.
Reicht das inklusive Zertifikat aus dem Shared-Paket?
Für eine Website unter der Paket-Domain in der Regel ja, wenn die Zeile auf ja steht. Mehrere Hostnamen, ein eigener Intermediate oder organisatorische Validierung können ein anderes Produkt brauchen – ohne dass wir hier Listenpreise setzen.
Nennen Sie den Preis für ein Wildcard-Zertifikat?
Nein. Zertifikatspreise gehören nicht in unsere Hosting-Einträge. Dieser Ratgeber bleibt bei der Einordnung; die Ja/Nein-Spalte auf den Vergleichsseiten sagt nur, ob ein Zertifikat im Paket vorgesehen ist.