SSL-Verschlüsselung Pflicht: Website sicher machen

Was bedeutet SSL-Verschlüsselung und warum ist sie notwendig?

SSL-Verschlüsselung sichert die Verbindung zwischen dem Browser Ihres Besuchers und Ihrem Server. Alle übertragenen Daten werden dabei verschlüsselt und können von Dritten nicht mitgelesen werden. Erkennbar ist eine verschlüsselte Verbindung am HTTPS in der Adresszeile sowie am Schloss-Symbol im Browser.

Ohne SSL-Verschlüsselung werden diese Daten im Klartext übertragen. Das betrifft nicht nur Formulareingaben oder Passwörter, denn schon die IP-Adresse eines Besuchers gilt laut DSGVO als personenbezogenes Datum und wird bei jedem Seitenaufruf übermittelt.

Hinweis: SSL und TLS sind technisch identisch. TLS (Transport Layer Security) ist die neuere und aktuell eingesetzte Version des Protokolls. Der Begriff „SSL“ hat sich im allgemeinen Sprachgebrauch dennoch gehalten. Gemeint ist dabei immer die verschlüsselte HTTPS-Verbindung.

Mehr dazu, was ein SSL-Zertifikat ist und wie es funktioniert, lesen Sie in unserem Beitrag Was ist ein SSL-Zertifikat?

Ist SSL-Verschlüsselung Pflicht? Die DSGVO gibt die Antwort

Ja, SSL-Verschlüsselung ist für nahezu jede Website Pflicht. Die rechtliche Grundlage ergibt sich aus Art. 5 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 Abs. 1 lit. a DSGVO. Dort wird festgelegt, dass Website-Betreiber geeignete technische Maßnahmen treffen müssen, um personenbezogene Daten zu schützen. Eine zuverlässige Verschlüsselung wird darin ausdrücklich als eine solche Maßnahme genannt.

Da bereits die IP-Adresse eines Besuchers zu personenbezogenen Daten zählt und bei jedem Seitenaufruf übertragen wird, gilt die DSGVO SSL-Pflicht praktisch für jede öffentlich erreichbare Website. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt TLS als Mindeststandard für die Datenübertragung im Web.

Wer keine ausreichenden technischen Schutzmaßnahmen umsetzt, riskiert Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Das hängt davon ab, welcher Betrag höher ausfällt.

Wichtig zu wissen: Ein SSL-Zertifikat ersetzt keine Datenschutzerklärung. Beides wird benötigt – das Zertifikat schützt die Datenübertragung, die Datenschutzerklärung informiert Besucher über die Datenverarbeitung.

Für welche Websites ist ein SSL-Zertifikat besonders notwendig?

Ob das SSL-Zertifikat notwendig ist, lässt sich für die meisten Website-Betreiber mit einem klaren Ja beantworten. Je nach Nutzungsart gelten dabei unterschiedliche Dringlichkeitsstufen:

• Eindeutig Pflicht: Kontaktformulare, Newsletter-Anmeldungen, Login-Bereiche, Online-Shops und alle Seiten mit Eingabefeldern für personenbezogene Daten.
• Praktisch Pflicht: Reine Informationsseiten, Blogs und Unternehmenswebsites – da schon die IP-Adresse als personenbezogenes Datum gilt.
• Empfehlung unabhängig von der DSGVO: Google wertet fehlendes HTTPS als Rankingsignal. Außerdem zeigen gängige Browser bei unverschlüsselten Seiten aktiv eine Sicherheitswarnung an – was das Vertrauen Ihrer Besucher erheblich beeinträchtigt.

Kurz gesagt: Kontaktformular, Blog oder Online-Shop – SSL-Verschlüsselung ist für nahezu jede Homepage Pflicht. Die DSGVO lässt hier wenig Spielraum.

SSL-Zertifikat und DSGVO-Pflicht: Was genau wird verlangt?

Die DSGVO schreibt keinen bestimmten Zertifikatstyp vor, sondern verlangt den Stand der Technik. Das bedeutet in der Praxis: TLS 1.2 oder höher gilt derzeit als Mindeststandard, TLS 1.3 als empfehlenswert.

Bei der Wahl des Zertifikats haben Sie mehrere Optionen:

• Domain Validation (DV): Bestätigt, dass der Antragsteller Inhaber der Domain ist. Für die meisten Websites und Blogs vollkommen ausreichend.
• Organization Validation (OV): Zusätzlich wird die Identität des Unternehmens geprüft. Empfehlenswert für Unternehmenswebsites.
• Extended Validation (EV): Höchste Validierungsstufe, sichtbar an einem erweiterten Zertifikatshinweis. Vor allem für Shops und Banken relevant.

Kostenlose SSL-Zertifikate von Let’s Encrypt sind DSGVO-konform und für die überwiegende Mehrheit der Website-Betreiber vollständig ausreichend. Ein gutes Webhosting-Paket bringt diese Zertifikate heute standardmäßig mit, sodass Sie sich um die technische Seite nicht selbst kümmern müssen.

SSL-Verschlüsselung bei manitu aktivieren: So geht’s

Bei manitu ist in jedem Webhosting-Paket ein kostenloses SSL-Zertifikat von Let’s Encrypt enthalten. Die Einrichtung dauert wenige Minuten und erfordert keine technischen Vorkenntnisse:

1. Im Kunden-Menü anmelden
2. In die Verwaltungsoberfläche von Ihrer Webseite gehen und dort in den Reiter SSL
3. Für Ihre Domain ein Zertifikat mit einem Klick beantragen

Optional können Sie zusätzlich eine automatische Weiterleitung von HTTP auf HTTPS einrichten. Damit werden alle Besucher, die Ihre Seite noch über eine unverschlüsselte Adresse aufrufen, automatisch auf die sichere Version weitergeleitet.

Tipp: Besuchen Sie den Webhosting-Vergleich von manitu, um das passende Paket für Ihre Anforderungen zu finden.

SSL-Verschlüsselung ist Pflicht und bei manitu kostenlos

Die DSGVO macht die SSL-Verschlüsselung für nahezu jede Homepage zur Pflicht, das BSI empfiehlt sie als Mindeststandard, und Browser sowie Suchmaschinen setzen sie längst voraus. Wer noch kein SSL-Zertifikat eingerichtet hat, sollte das nachholen. Das ist neben den restlichen Gründen auch wichtig, um das Vertrauen der eigenen Besucher nicht zu verspielen. Bei manitu ist die SSL-Verschlüsselung in jedem Webhosting-Paket inklusive und in wenigen Klicks aktiviert. Die SSL-Verschlüsselungs-Pflicht umzusetzen war selten so unkompliziert.

Häufige Fragen zur SSL-Verschlüsselung

Ist SSL-Verschlüsselung wirklich Pflicht für jede Website?

Ja, die SSL-Verschlüsselung ist Pflicht für nahezu jede Website. Art. 32 DSGVO verpflichtet Website-Betreiber zu technischen Schutzmaßnahmen für personenbezogene Daten und da schon die IP-Adresse eines Besuchers darunterfällt, gilt die Pflicht praktisch universell. Einzige Ausnahme wären rein lokal betriebene Seiten ohne jeglichen externen Zugriff, was im Alltag kaum vorkommt.

Was passiert, wenn ich kein SSL-Zertifikat habe?

Ohne SSL-Zertifikat drohen Bußgelder nach DSGVO von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes. Dazu zeigen Browser aktiv eine Sicherheitswarnung an, was Besucher abschreckt. Auch bei Google verliert eine unverschlüsselte Website Rankingpunkte gegenüber Mitbewerbern mit HTTPS.

Reicht ein kostenloses SSL-Zertifikat für die DSGVO?

Ja. Die DSGVO schreibt keinen bestimmten Zertifikatstyp vor, sondern verlangt den Stand der Technik. Kostenlose Zertifikate von Let’s Encrypt nutzen dieselbe Verschlüsselungstechnologie wie kostenpflichtige Varianten und erfüllen die DSGVO-Anforderungen vollständig. Für die meisten Websites sind sie damit die einfachste und sinnvollste Lösung.

Ist SSL-Verschlüsselung auch für kleine Blogs und private Homepages notwendig?

Ja, auch für private Homepages und kleine Blogs gilt die SSL-Pflicht. Da jeder Seitenaufruf die IP-Adresse des Besuchers überträgt und diese als personenbezogenes Datum gilt, greift Art. 32 DSGVO auch hier. Wer ein Kontaktformular einsetzt, ist ohnehin eindeutig verpflichtet.

Was fordert die DSGVO genau in Bezug auf SSL?

Art. 5 Abs. 1 lit. f DSGVO i.V.m. Art. 32 Abs. 1 lit. a DSGVO verpflichtet Website-Betreiber, personenbezogene Daten durch geeignete technische Maßnahmen zu schützen. Verschlüsselung wird darin ausdrücklich als eine solche Maßnahme genannt. Als Mindeststandard gilt TLS 1.2, empfohlen wird TLS 1.3.

Schützt SSL-Verschlüsselung auch vor Hackerangriffen?

SSL-Verschlüsselung schützt die Datenübertragung zwischen Browser und Server vor dem Abfangen durch Dritte. Sie ist jedoch kein Schutz gegen Angriffe auf den Server selbst, gegen Schadsoftware oder gegen unsichere Passwörter. Für umfassende Sicherheit empfiehlt sich SSL in Kombination mit weiteren Maßnahmen, etwa HSTS, regelmäßigen Backups und sicheren Zugangsdaten.