SSL & HTTPS · Zertifikat, Mixed Content, Header · kostenlos
HTTPS Check & SSL Check — Website-Verschlüsselung prüfen
Geben Sie Ihre URL ein und prüfen Sie kostenlos, ob Ihre Website sauber per HTTPS ausgeliefert wird: SSL-Zertifikat, Mixed Content, HTTP-zu-HTTPS-Weiterleitung und Security-Header — Ergebnis in unter einer Minute, ohne Anmeldung.
Was ist ein SSL-Check bzw. HTTPS-Check?
Ein SSL-Check prüft, ob die Verbindung zu Ihrer Website verschlüsselt ist und ob diese Verschlüsselung sauber umgesetzt wurde. SSL steht für Secure Sockets Layer; technisch korrekt heißt das heute eingesetzte Protokoll TLS. HTTPS wiederum ist das Ergebnis: normales HTTP, das über diese verschlüsselte Verbindung läuft. Wenn Sie also nach einem HTTPS-Check suchen, meinen Sie dieselbe Prüfung.
Der Unterschied zwischen „Schloss-Symbol im Browser“ und einer vollständigen Prüfung ist größer, als es auf den ersten Blick wirkt. Das Schloss zeigt lediglich, dass für die aufgerufene Seite ein akzeptiertes Zertifikat vorliegt. Es sagt nichts darüber, ob die unverschlüsselte Adresse weiterhin ausgeliefert wird, ob einzelne Bilder oder Skripte noch über HTTP nachgeladen werden oder ob schützende HTTP-Header fehlen.
Genau diese Lücke schließt der Check auf dieser Seite. Er ruft Ihre Domain auf, sieht sich die Auslieferung an und zeigt Ihnen die gefundenen Punkte einzeln — kostenlos, ohne Anmeldung und in unter einer Minute.
HTTPS prüfen: was der Check konkret testet
Die Prüfung gliedert sich in zwei Ebenen. Auf der Transportebene geht es darum, ob überhaupt und wie vollständig verschlüsselt wird: HTTPS-Erreichbarkeit, Mixed Content und die Weiterleitung von HTTP auf HTTPS. Auf der Header-Ebene geht es darum, welche zusätzlichen Anweisungen Ihr Server dem Browser mitgibt.
Diese zweite Ebene wird in der Praxis oft übersehen. Eine Website kann tadellos per HTTPS ausgeliefert werden und trotzdem keinen einzigen Security-Header setzen. Das ist kein Fehler im engeren Sinne, aber es verschenkt Schutzmechanismen, die der Browser von sich aus anbieten würde.
Was der SSL-Check prüft
HTTPS-Erreichbarkeit
Kommt die Verbindung zu Ihrer Domain über HTTPS mit einem gültigen Zertifikat zustande?
Mixed Content
Lädt die verschlüsselte Seite einzelne Ressourcen noch über HTTP nach?
HTTP-zu-HTTPS-Weiterleitung
Landet ein Aufruf der unverschlüsselten Adresse automatisch auf der HTTPS-Variante?
HSTS
Ist der Header Strict-Transport-Security gesetzt, der Browsern HTTPS für die Domain vorgibt?
Content-Security-Policy
Begrenzt eine CSP, aus welchen Quellen Skripte und andere Ressourcen geladen werden dürfen?
Weitere Security-Header
X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy im Überblick.
Diese Punkte sind Teil des vollständigen Scans mit 87 Prüfungen. Sie können die Seite also gezielt für einen HTTPS-Test nutzen und bekommen die übrigen Bereiche — Impressum, Datenschutz, Cookies, SEO und Barrierefreiheit — im selben Durchlauf mit.
SSL-Zertifikat prüfen — was dabei schiefgehen kann
Ein Zertifikat kann formal vorhanden sein und trotzdem nicht greifen. Die drei häufigsten Muster: Erstens ein abgelaufenes Zertifikat, meist weil die automatische Verlängerung stillschweigend ausgestiegen ist. Zweitens eine unvollständige Zertifikatskette, bei der das Zwischenzertifikat nicht mitgeliefert wird — Desktop-Browser verzeihen das häufig, mobile Clients und Bots oft nicht.
Drittens die Domain-Variante: Ein Zertifikat, das nur auf example.de ausgestellt ist, deckt www.example.de nicht ab. Besucher, die die www-Variante aufrufen, sehen dann eine Warnung, obwohl die Seite „eigentlich“ ein Zertifikat hat. Prüfen Sie im Zweifel beide Varianten getrennt.
Kostenlose Zertifikate über Let’s Encrypt oder Cloudflare sind für den Verschlüsselungszweck technisch gleichwertig zu kostenpflichtigen. Was Sie bei teureren Zertifikaten zusätzlich kaufen, sind im Wesentlichen Garantien und erweiterte Identitätsprüfungen, nicht eine stärkere Verschlüsselung.
Mixed Content: wenn HTTPS-Seiten HTTP-Ressourcen laden
Mixed Content ist der mit Abstand häufigste Punkt, den wir nach einer Umstellung auf HTTPS finden. Die Seite selbst kommt verschlüsselt, einzelne eingebettete Ressourcen jedoch nicht. Browser unterscheiden dabei zwischen aktivem Mixed Content (Skripte, Stylesheets, iframes), der in der Regel blockiert wird, und passivem Mixed Content (Bilder, Videos), der meist geladen, aber mit einer Warnung versehen wird.
Für Betreiber heißt das: Ein blockiertes Skript kann sichtbare Funktionen Ihrer Seite lahmlegen, ohne dass eine Fehlermeldung erscheint. Formulare, die nicht mehr absenden, oder Bildergalerien, die leer bleiben, haben erstaunlich oft hier ihre Ursache.
Typische Quellen sind hart kodierte http://-Adressen in Templates, alte Inhalte in der Datenbank aus der Zeit vor der Umstellung, sowie eingebundene Fremd-Widgets, die selbst noch unverschlüsselt ausliefern. Der Check listet die gefundenen Ressourcen auf, sodass Sie gezielt nachsehen können.
HTTP-zu-HTTPS-Weiterleitung und HSTS
Ein SSL-Zertifikat allein sorgt nicht dafür, dass niemand mehr unverschlüsselt auf Ihre Seite kommt. Solange der Server auf Port 80 weiterhin Inhalte ausliefert, ist die alte Adresse erreichbar — inklusive aller Links, Lesezeichen und Suchmaschinen-Einträge, die noch darauf zeigen. Eine dauerhafte Weiterleitung (301) von HTTP auf HTTPS schließt das.
HSTS geht einen Schritt weiter. Der Header Strict-Transport-Security weist den Browser an, die Domain für eine definierte Dauer grundsätzlich nur noch über HTTPS aufzurufen. Damit entfällt auch der eine unverschlüsselte Request, der vor der Weiterleitung sonst noch stattfindet.
Ein Hinweis zur Reihenfolge: HSTS sollten Sie erst aktivieren, wenn HTTPS auf allen Subdomains zuverlässig läuft. Der Header wirkt für die angegebene Dauer im Browser des Besuchers und lässt sich nicht kurzfristig zurücknehmen. Beginnen Sie deshalb mit einer kurzen max-age und erhöhen Sie diese, wenn alles stabil läuft.
Website-Sicherheit prüfen: die Security-Header im Überblick
Wenn Sie Ihre Website auf Sicherheit prüfen wollen, sind die HTTP-Response-Header der Teil mit dem besten Verhältnis von Aufwand zu Wirkung. Sie werden serverseitig gesetzt, erfordern meist keine Änderung am Anwendungscode und aktivieren Schutzmechanismen, die im Browser bereits eingebaut sind.
Die Content-Security-Policy legt fest, aus welchen Quellen Skripte, Stylesheets, Bilder oder Schriften geladen werden dürfen. X-Frame-Options beziehungsweise die frame-ancestors-Direktive steuern, ob Ihre Seite in einem fremden iframe eingebettet werden darf. X-Content-Type-Options verhindert, dass der Browser den Inhaltstyp einer Ressource selbst errät. Die Referrer-Policy bestimmt, wie viel Ihrer URL beim Klick auf einen externen Link mitgesendet wird — das ist zugleich ein Datenschutz-Aspekt. Die Permissions-Policy schaltet Browser-Funktionen wie Kamera, Mikrofon oder Standort ab, die Ihre Seite ohnehin nicht braucht.
Der Check meldet für jeden dieser Header, ob er vorhanden ist. Er bewertet nicht, ob die konkrete Konfiguration für Ihren Anwendungsfall die richtige ist — das bleibt eine inhaltliche Entscheidung.
HTTPS und Datenschutz nach Art. 32 DSGVO
Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten zu gewährleisten; die Verschlüsselung wird dort ausdrücklich als Beispiel genannt. Für Websites, die Kontaktformulare, Logins oder Bestellvorgänge anbieten, ist eine Transportverschlüsselung deshalb der praktische Normalfall.
Wir bewerten Ihren Einzelfall hier nicht rechtlich. Der Check zeigt Ihnen den technischen Ist-Zustand: ob verschlüsselt ausgeliefert wird und wo die Umsetzung noch Lücken hat. Wie das für Ihre konkrete Website und Ihre konkrete Datenverarbeitung einzuordnen ist, ist eine rechtliche Frage und gehört in anwaltliche Hände.
Der Datenschutz-Aspekt reicht dabei über die Verschlüsselung hinaus: Auch extern eingebundene Ressourcen übertragen bei jedem Seitenaufruf die IP-Adresse Ihrer Besucher an Dritte. Das prüfen wir in einem eigenen Bereich.
Gefundene Punkte abarbeiten — eine sinnvolle Reihenfolge
Wenn der Check mehrere Punkte meldet, lohnt sich eine Reihenfolge nach Wirkung. Zuerst die Grundlage: ein gültiges Zertifikat, das alle genutzten Domain-Varianten abdeckt. Danach die Weiterleitung von HTTP auf HTTPS, damit die unverschlüsselte Adresse nicht länger ausgeliefert wird.
Als Drittes Mixed Content, weil hier neben dem Sicherheitsaspekt auch sichtbare Funktionsstörungen entstehen können. Erst danach die Security-Header, beginnend mit den unkritischen — X-Content-Type-Options und Referrer-Policy lassen sich praktisch ohne Nebenwirkungen setzen. Eine Content-Security-Policy braucht dagegen Sorgfalt und einen Testlauf, weil sie bei zu enger Konfiguration eigene Skripte aussperrt.
Zum Schluss HSTS, aus dem oben genannten Grund: Der Header wirkt nach und sollte erst gesetzt werden, wenn alles Übrige zuverlässig läuft.
Häufige Fragen zum SSL- und HTTPS-Check
Was prüft der SSL-Check?
Der SSL-Check prüft, ob Ihre Website per HTTPS erreichbar ist, ob ein gültiges SSL-Zertifikat ausgeliefert wird, ob Mixed Content vorliegt (HTTP-Ressourcen auf HTTPS-Seiten) und ob HTTP automatisch auf HTTPS weiterleitet. Ergänzend sieht sich die Prüfung die Security-Header an, darunter HSTS, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy.
Was ist der Unterschied zwischen SSL-Check und HTTPS-Check?
In der Praxis meinen beide Begriffe dasselbe. SSL beziehungsweise sein Nachfolger TLS ist das Verschlüsselungsprotokoll, HTTPS ist das Ergebnis: HTTP über eine verschlüsselte Verbindung. Wenn Sie einen HTTPS-Check machen wollen, prüfen Sie genau das, was dieser SSL-Check testet. Wir verwenden beide Bezeichnungen auf dieser Seite synonym.
Ist der SSL-Check kostenlos?
Ja. Der SSL-Check ist vollständig kostenlos und ohne Anmeldung nutzbar. Sie geben Ihre URL ein und erhalten in unter einer Minute einen Überblick der gefundenen Punkte, inklusive Score und Status aller geprüften Kriterien.
Wie kann ich HTTPS meiner Website prüfen?
Geben Sie Ihre URL oben in das Formular ein. Der Scan ruft Ihre Seite auf, prüft die Verbindung und wertet aus, ob die Auslieferung verschlüsselt erfolgt, ob unverschlüsselte Ressourcen nachgeladen werden und ob die Weiterleitung von HTTP auf HTTPS greift. Ein manueller Weg wäre, im Browser das Schloss-Symbol in der Adressleiste anzuklicken; das zeigt allerdings nur das Zertifikat und nicht Mixed Content oder fehlende Header.
Warum ist HTTPS wichtig?
Ohne HTTPS werden Daten zwischen Browser und Server unverschlüsselt übertragen, also auch Formular-Eingaben und Kontaktdaten. Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten; eine Transportverschlüsselung zählt praktisch dazu. Hinzu kommt: Browser kennzeichnen Seiten ohne HTTPS deutlich als „Nicht sicher“, und Google berücksichtigt HTTPS seit 2014 als Ranking-Signal.
Was ist Mixed Content?
Mixed Content entsteht, wenn eine per HTTPS ausgelieferte Seite einzelne Ressourcen — Bilder, Skripte, Stylesheets, Schriften — noch über HTTP nachlädt. Die Verschlüsselung der Seite ist dann nur teilweise wirksam. Browser blockieren aktive Inhalte dieser Art in der Regel und zeigen eine Warnung. Typische Ursachen sind hart kodierte http://-URLs in Templates, alte Datenbank-Einträge nach einer Domain-Umstellung oder eingebundene Fremd-Widgets.
Wie prüfe ich mein SSL-Zertifikat?
Der Check ruft Ihre Domain über HTTPS auf und wertet aus, ob die Verbindung mit einem vom Browser akzeptierten Zertifikat zustande kommt. Scheitert der Aufbau, liegt das häufig an einem abgelaufenen Zertifikat, an einer fehlenden Zwischenzertifikatskette oder daran, dass das Zertifikat nicht auf die aufgerufene Domain-Variante ausgestellt ist — etwa nur auf example.de, nicht aber auf www.example.de.
Was bedeutet HSTS?
HSTS steht für HTTP Strict Transport Security. Über den Header Strict-Transport-Security teilt Ihr Server dem Browser mit, dass die Domain für eine festgelegte Dauer ausschließlich über HTTPS aufgerufen werden soll. Das schließt die kurze unverschlüsselte Lücke beim allerersten Aufruf, bevor die Weiterleitung greift. Der Check meldet, ob der Header gesetzt ist.
Wie bekomme ich ein SSL-Zertifikat?
Kostenlose Zertifikate gibt es über Let’s Encrypt (automatisch verlängerbar), über Cloudflare bei Nutzung von deren DNS oder direkt im Hosting-Paket der meisten Anbieter, oft per Klick aktivierbar. Ein kostenpflichtiges Zertifikat bringt für normale Websites in der Regel keinen technischen Vorteil bei der Verschlüsselung selbst.
Reicht HTTPS allein für eine sichere Website?
HTTPS schützt den Transportweg, also die Übertragung zwischen Browser und Server. Es sagt nichts darüber aus, wie sicher Ihre Anwendung, Ihre Passwörter, Ihre Software-Stände oder Ihre Formulare sind. Deshalb sieht sich diese Prüfung zusätzlich die Security-Header an. Eine vollständige Sicherheitsbewertung Ihrer Infrastruktur ersetzt ein automatisierter Check jedoch nicht.
Meine Website ist per HTTPS erreichbar — warum meldet der Check trotzdem Punkte?
Erreichbarkeit ist nur eines von mehreren Kriterien. Häufig fehlt die automatische Weiterleitung von HTTP auf HTTPS, sodass die alte unverschlüsselte Adresse weiter ausgeliefert wird. Ebenso häufig sind Mixed Content oder fehlende Security-Header. Der Check listet die einzelnen Punkte getrennt auf, damit Sie sehen, welcher davon bei Ihnen offen ist.
Nicht nur SSL — 87 Prüfungen auf einmal
Unser vollständiger Website-Check prüft auch Impressum, Datenschutzerklärung, Cookies, Google Fonts und Barrierefreiheit.
Ganze Webseite überprüfen — alle Bereiche →