Wie man ein SSL-Zertifikat auf Ihrer WordPress-Website installiert

Ein SSL-Zertifikat (Secure Sockets Layer / TLS) ist eine kryptografische Protokollbindung, die Daten bei der Übertragung zwischen einem Webserver und einem Browser verschlüsselt. Bei einer WordPress-Website bedeutet die Installation von SSL, dass jede HTTP-Anfrage auf HTTPS umgeleitet wird, der Browser ein Schloss-Symbol anzeigt und sensible Daten – Anmeldedaten, Formularübermittlungen, Zahlungsdetails – über einen verschlüsselten Kanal statt im Klartext übertragen werden.

Speziell für WordPress umfasst die SSL-Installation drei verschiedene Ebenen: die Bereitstellung des Zertifikats auf Server- oder Hosting-Ebene, die Konfiguration von WordPress selbst zur Auslieferung aller Assets über HTTPS und die Beseitigung von Mixed-Content-Warnungen, die den sicheren Kontext unbemerkt unterbrechen. Wird eine dieser Ebenen vernachlässigt, zeigt Ihre Website entweder ein defektes Schloss-Symbol, löst Browser-Sicherheitswarnungen aus oder schlägt die HTTPS-Validierung vollständig fehl.

Schritt 1: Den richtigen SSL-Zertifikatstyp wählen

Nicht alle SSL-Zertifikate bieten dasselbe Validierungsniveau oder Vertrauenssignal. Die Wahl des falschen Typs ist ein häufiger Fehler, der entweder Geld verschwendet oder im umgekehrten Fall eine Website, die sensible Transaktionen verarbeitet, unzureichend schützt.

Vergleich der Validierungsstufen

Kostenloses vs. kostenpflichtiges SSL

Let's Encrypt stellt kostenlose, automatisierte DV-Zertifikate aus, die 90 Tage gültig sind und die automatische Erneuerung über das ACME-Protokoll unterstützen. Es wird von allen gängigen Browsern als vertrauenswürdig eingestuft und ist die richtige Wahl für die überwiegende Mehrheit der WordPress-Websites. Das kurze Gültigkeitsfenster ist beabsichtigt – es erzwingt Automatisierung und reduziert das Risikofeld eines kompromittierten Zertifikats.

Cloudflares kostenloses SSL funktioniert anders: Es verschlüsselt die Verbindung zwischen dem Besucher und Cloudflares Edge, aber die Verbindung zwischen Cloudflare und Ihrem Ursprungsserver kann weiterhin unverschlüsselt sein, sofern Sie nicht den Full (Strict)-Modus mit einem gültigen Ursprungszertifikat konfigurieren. Dies ist ein häufig missverstandener Sonderfall, der ein falsches Sicherheitsgefühl erzeugt.

Kostenpflichtige Zertifikate von kommerziellen CAs (DigiCert, Sectigo, GlobalSign) sind notwendig, wenn Sie OV- oder EV-Validierung, eine Garantie oder eine bestimmte SAN/Wildcard-Konfiguration benötigen, die von Let's Encrypt nicht unterstützt wird.

Wenn Sie ein vertrauenswürdiges Zertifikat für Ihre Domain erwerben müssen, bietet AlexHost SSL-Zertifikate mit unkomplizierter Ausstellung und Verwaltung direkt über Ihr Kontoverwaltungspanel an.

Schritt 2: Das SSL-Zertifikat auf Hosting-Ebene installieren

Das Zertifikat muss auf dem Webserver installiert sein, bevor WordPress HTTPS-Antworten ausliefern kann. Die Methode hängt von Ihrer Hosting-Umgebung ab.

SSL über cPanel installieren (Shared und VPS Hosting)

cPanel ist das am häufigsten verwendete Kontrollpanel für Shared- und verwaltete Umgebungen. Wenn Ihr Hoster AutoSSL (Sectigo-basiert) verwendet oder Let's Encrypt nativ unterstützt, stellt ein einziger Klick das Zertifikat bereit und erneuert es automatisch.

Manuelle Installationsschritte, wenn Sie Zertifikatsdateien von einer CA haben:

1. Melden Sie sich bei cPanel an und navigieren Sie zu Sicherheit > SSL/TLS.
2. Klicken Sie auf SSL-Sites verwalten.
3. Wählen Sie die Zieldomain aus dem Dropdown-Menü.
4. Fügen Sie den Inhalt von drei Dateien in die entsprechenden Felder ein:

• Zertifikat (CRT): Das signierte Zertifikat von Ihrer CA.
• Privater Schlüssel (KEY): Während der CSR-Erstellung generiert – teilen Sie diesen niemals.
• Certificate Authority Bundle (CABUNDLE): Die Zwischenzertifikatskette.

1. Klicken Sie auf Zertifikat installieren.

Wenn Sie WordPress auf einem VPS mit cPanel betreiben, übernimmt AutoSSL dies in der Regel automatisch für alle Domains in WHM. Überprüfen Sie unter WHM > SSL/TLS > AutoSSL verwalten, dass die Domain abgedeckt ist und das Zertifikat sich nicht in einem ausstehenden oder fehlgeschlagenen Zustand befindet.

SSL auf einem VPS mit Apache installieren (manuelle Methode)

Auf einem selbstverwalteten Linux VPS mit Apache erfordert der Prozess die direkte Bearbeitung der Virtual-Host-Konfiguration.

Certbot (Let's Encrypt-Client) auf Debian/Ubuntu installieren:

sudo apt update
sudo apt install certbot python3-certbot-apache -y

Das Zertifikat automatisch beziehen und installieren:

sudo certbot --apache -d yourdomain.com -d www.yourdomain.com

Certbot modifiziert Ihre Apache-Virtual-Host-Konfiguration, installiert das Zertifikat und richtet einen Cron-Job oder systemd-Timer für die automatische Erneuerung ein. Überprüfen Sie, ob der Erneuerungstimer aktiv ist:

sudo systemctl status certbot.timer

Für Nginx auf einem VPS:

sudo apt install certbot python3-certbot-nginx -y
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com

Manuelle Zertifikatsinstallation auf Apache (bei Verwendung eines kostenpflichtigen CA-Zertifikats):

Platzieren Sie Ihre Zertifikatsdateien in einem sicheren Verzeichnis und bearbeiten Sie dann Ihren Virtual Host:

<VirtualHost *:443>
    ServerName yourdomain.com
    ServerAlias www.yourdomain.com
    DocumentRoot /var/www/html

    SSLEngine on
    SSLCertificateFile      /etc/ssl/certs/yourdomain.crt
    SSLCertificateKeyFile   /etc/ssl/private/yourdomain.key
    SSLCertificateChainFile /etc/ssl/certs/yourdomain_ca_bundle.crt
</VirtualHost>

Apache neu starten, um die Änderungen anzuwenden:

sudo systemctl restart apache2

Wenn Sie eine stark frequentierte WordPress-Installation auf einem Dedicated Server verwalten, haben Sie die vollständige Kontrolle über Cipher Suites, HSTS-Header und OCSP Stapling – Konfigurationen, die auf Shared Hosting nicht möglich sind.

SSL auf einem VPS mit Nginx installieren (manuelle Methode)

server {
    listen 443 ssl;
    server_name yourdomain.com www.yourdomain.com;

    ssl_certificate     /etc/ssl/certs/yourdomain.crt;
    ssl_certificate_key /etc/ssl/private/yourdomain.key;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;

    # OCSP Stapling
    ssl_stapling on;
    ssl_stapling_verify on;
    resolver 8.8.8.8 1.1.1.1 valid=300s;

    root /var/www/html;
    index index.php;
}

Nginx nach der Bearbeitung neu laden:

sudo nginx -t && sudo systemctl reload nginx

Schritt 3: HTTPS auf Server-Ebene mit einer 301-Weiterleitung erzwingen

Bevor Sie die WordPress-Einstellungen ändern, erzwingen Sie die HTTP-zu-HTTPS-Weiterleitung auf Server-Ebene. Dies ist zuverlässiger als sich ausschließlich auf WordPress oder ein Plugin zu verlassen, und verhindert, dass der Browser jemals die HTTP-Version lädt.

Apache: .htaccess Weiterleitung

Öffnen Sie Ihre .htaccess-Datei (befindet sich in Ihrem WordPress-Stammverzeichnis, typischerweise /var/www/html/.htaccess oder zugänglich über den cPanel-Dateimanager) und fügen Sie den folgenden Block oberhalb der bestehenden WordPress-Rewrite-Regeln ein:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Kritischer Fallstrick: Wenn Sie diesen Block *nach* dem # BEGIN WordPress-Marker platzieren, kann er durch WordPress-Core-Updates überschrieben werden. Platzieren Sie Server-Ebene-Weiterleitungsregeln immer oberhalb des von WordPress verwalteten Blocks.

Nginx: Server-Block-Weiterleitung

server {
    listen 80;
    server_name yourdomain.com www.yourdomain.com;
    return 301 https://$host$request_uri;
}

HSTS-Header (Erweitert, Empfohlen)

Sobald Sie sicher sind, dass Ihr HTTPS-Setup stabil ist, fügen Sie einen HTTP Strict Transport Security-Header hinzu, um Browser anzuweisen, niemals eine HTTP-Verbindung zu versuchen:

Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

Warnung: Aktivieren Sie HSTS nicht mit preload, bis Sie sicher sind, dass jede Subdomain ebenfalls ein gültiges SSL-Zertifikat hat. Preloading ist kurzfristig irreversibel und wird Subdomains beschädigen, für die HTTPS nicht konfiguriert ist.

Schritt 4: WordPress so konfigurieren, dass alle Inhalte über HTTPS ausgeliefert werden

Mit dem installierten Zertifikat und der Server-Ebene-Weiterleitung muss WordPress selbst angewiesen werden, HTTPS-URLs für alle internen Links, Assets und API-Endpunkte zu generieren.

Option A: WordPress-Site-URLs manuell aktualisieren

1. Gehen Sie in Ihrem WordPress-Admin-Dashboard zu Einstellungen > Allgemein.
2. Ändern Sie sowohl WordPress-Adresse (URL) als auch Website-Adresse (URL) von http:// zu https://.
3. Klicken Sie auf Änderungen speichern.

WordPress meldet Sie unmittelbar nach dem Speichern ab. Melden Sie sich erneut über die HTTPS-URL an.

Option B: URLs über wp-config.php aktualisieren

Wenn Sie vom Admin-Panel ausgesperrt sind oder einen codebasierten Ansatz bevorzugen, fügen Sie diese Zeilen zu wp-config.php vor der /* That's all, stop editing! */-Zeile hinzu:

define('WP_HOME', 'https://yourdomain.com');
define('WP_SITEURL', 'https://yourdomain.com');

Option C: Fest kodierte HTTP-URLs in der Datenbank aktualisieren

WordPress speichert URLs in der Datenbank, einschließlich serialisierter Daten in Post-Meta- und Options-Tabellen. Ein einfaches Suchen-und-Ersetzen im rohen SQL kann serialisierte Arrays beschädigen. Verwenden Sie WP-CLI für einen sicheren, serialisierungsbewussten Ersatz:

wp search-replace 'http://yourdomain.com' 'https://yourdomain.com' --skip-columns=guid --all-tables

Das --skip-columns=guid-Flag bewahrt Post-GUIDs, die gemäß den WordPress-Best-Practices nicht geändert werden sollten. Führen Sie dies aus Ihrem WordPress-Stammverzeichnis mit den entsprechenden Datenbankanmeldedaten aus, die in wp-config.php konfiguriert sind.

Alternativ führt das Better Search Replace-Plugin denselben Vorgang über die Admin-Oberfläche mit Serialisierungsunterstützung durch.

Schritt 5: Mixed-Content-Warnungen beheben

Eine Mixed-Content-Warnung tritt auf, wenn eine HTTPS-Seite eine oder mehrere Ressourcen (Bilder, Skripte, Stylesheets, iFrames) über HTTP lädt. Dies unterbricht den sicheren Kontext, unterdrückt das Schloss-Symbol und führt in einigen Fällen dazu, dass Browser die Ressource vollständig blockieren.

Mixed Content diagnostizieren

Öffnen Sie die Entwicklertools Ihres Browsers (F12), gehen Sie zum Tab Konsole und suchen Sie nach Warnungen mit dem Präfix Mixed Content:. Die Meldung identifiziert die genaue Ressourcen-URL, die das Problem verursacht.

Alternativ können Sie das Tool Why No Padlock? verwenden oder einen SSL Labs-Scan durchführen, um einen vollständigen Bericht zu erhalten.

Mixed Content beheben: Plugin-Methode

Really Simple SSL ist das am häufigsten verwendete Plugin für diesen Zweck. Nach der Aktivierung:

• Setzt es die HTTPS-Servervariable, um WordPress zu zwingen, die sichere Verbindung zu erkennen.
• Fügt es einen JavaScript-basierten Inhaltsfilter hinzu, um HTTP-URLs im laufenden Betrieb umzuschreiben.
• Leert es optional Rewrite-Regeln und aktualisiert die Site-URL.

SSL Insecure Content Fixer bietet eine granularere Kontrolle und ermöglicht die Wahl zwischen einem einfachen Output-Buffer-Ersatz und einem tieferen WordPress-Filter-Hook-Ansatz – nützlich, wenn die JavaScript-Methode von Really Simple SSL bei bestimmten Page-Buildern Darstellungsprobleme verursacht.

Mixed Content beheben: Manuelle Methode

Für fest kodierte HTTP-URLs in Theme-Dateien oder benutzerdefinierten Plugins durchsuchen Sie Ihr Theme-Verzeichnis:

grep -r "http://yourdomain.com" /var/www/html/wp-content/themes/your-theme/

Ersetzen Sie alle Vorkommen durch https:// oder verwenden Sie besser protokollrelative URLs (//yourdomain.com/...) für Drittanbieter-Ressourcen, bei denen Sie die HTTPS-Verfügbarkeit nicht garantieren können.

Für eingebettete Medien, die vor der SSL-Migration hochgeladen wurden, führen Sie den WP-CLI-Such-und-Ersatz-Befehl aus Schritt 4 aus, falls Sie dies noch nicht getan haben, da Bild-Attachment-URLs in den Tabellen wp_posts und wp_postmeta gespeichert sind.

Schritt 6: Die SSL-Installation validieren

Gehen Sie niemals davon aus, dass die Installation erfolgreich war – überprüfen Sie sie systematisch.

SSL Labs-Test

Navigieren Sie zu https://www.ssllabs.com/ssltest/ und geben Sie Ihre Domain ein. Eine ordnungsgemäß konfigurierte WordPress-Website sollte A oder A+ erzielen. Eine A+-Bewertung erfordert:

• TLS 1.2- und 1.3-Unterstützung bei deaktiviertem TLS 1.0 und 1.1.
• Eine starke Cipher Suite (kein RC4, kein 3DES).
• HSTS-Header vorhanden.
• OCSP Stapling aktiviert.
• Keine Kettenprobleme (Zwischenzertifikate korrekt installiert).

Browser-Überprüfung

Klicken Sie auf das Schloss-Symbol in der Adressleiste. Navigieren Sie in Chrome zu Verbindung ist sicher > Zertifikat ist gültig, um zu bestätigen, dass Aussteller, Gültigkeitsdaten und Subject Alternative Names (SANs) mit Ihrer Domain übereinstimmen.

Kommandozeilen-Überprüfung

openssl s_client -connect yourdomain.com:443 -servername yourdomain.com

Dies gibt die vollständige Zertifikatskette, die ausgehandelte Cipher Suite und die TLS-Version aus. Suchen Sie nach Verify return code: 0 (ok), um zu bestätigen, dass die Kette vertrauenswürdig ist.

Zertifikatsablauf prüfen

echo | openssl s_client -connect yourdomain.com:443 2>/dev/null | openssl x509 -noout -dates

Überprüfen Sie bei Let's Encrypt-Zertifikaten auch, ob der automatische Erneuerungs-Trockenlauf funktioniert:

sudo certbot renew --dry-run

Schritt 7: Härtung nach der Installation und SEO-Bereinigung

Google Search Console aktualisieren

Fügen Sie die HTTPS-Version Ihrer Website als neue Property in der Google Search Console hinzu. Google behandelt http:// und https:// als separate Properties. Reichen Sie Ihre HTTPS-Sitemap (https://yourdomain.com/sitemap.xml) ein, um das erneute Crawlen der aktualisierten URLs zu beschleunigen.

Ihre Sitemap und Canonical-Tags aktualisieren

Stellen Sie sicher, dass Ihre XML-Sitemap (generiert von Yoast SEO, Rank Math oder ähnlichen Tools) ausschließlich HTTPS-URLs ausgibt. Überprüfen Sie, dass Canonical-Tags im <head> Ihres Themes auf HTTPS verweisen. Ein Canonical-Tag, das auf die HTTP-Version einer Seite zeigt, verwirrt Crawler, selbst wenn die 301-Weiterleitung vorhanden ist.

Google über die Änderung informieren

Verwenden Sie in der Google Search Console das Tool Adressänderung nur, wenn Sie zu einer völlig neuen Domain migriert sind. Bei einer HTTP-zu-HTTPS-Migration auf derselben Domain übernehmen die 301-Weiterleitungen die Signalübertragung – kein Adressänderungstool ist erforderlich.

WordPress Multisite-Überlegungen

In einem WordPress Multisite-Netzwerk müssen Sie die Werte siteurl und home in den Tabellen wp_siteurl und wp_blogs für jede Unterseite aktualisieren, nicht nur für die Hauptseite. WP-CLI erledigt dies pro Seite:

wp search-replace 'http://subdomain.yourdomain.com' 'https://subdomain.yourdomain.com' --url=subdomain.yourdomain.com --all-tables

Praktische Entscheidungsmatrix: Welche SSL-Methode verwenden

Wichtige technische Erkenntnisse

• Zertifikatsinstallation und WordPress-Konfiguration sind separate Schritte. Ein auf Server-Ebene installiertes Zertifikat lässt WordPress nicht automatisch HTTPS-URLs generieren. Beides muss konfiguriert werden.
• Mixed Content ist der häufigste Fehler nach der Migration. Führen Sie eine Datenbank-Such-und-Ersatz-Operation mit WP-CLI durch, bevor Sie ein SSL-Plugin aktivieren, um fest kodierte HTTP-URLs an der Quelle zu erfassen.
• Die automatische Erneuerung von Let's Encrypt muss überprüft, nicht angenommen werden. Führen Sie certbot renew --dry-run nach der Ersteinrichtung aus und überwachen Sie die Ablaufdaten. Eine fehlgeschlagene Erneuerung beschädigt Ihre Website 90 Tage später unbemerkt.
• HSTS ist eine Einbahnstraße. Setzen Sie keine lange max-age oder aktivieren Sie preload, bis jede Subdomain ein gültiges Zertifikat hat und Sie dauerhaft zu HTTPS verpflichtet sind.
• Cloudflares kostenloses SSL ist standardmäßig nicht Ende-zu-Ende verschlüsselt. Setzen Sie den SSL/TLS-Modus auf Full (Strict) und installieren Sie ein Ursprungszertifikat auf Ihrem Server, um die Lücke zu schließen.
• Beim Shared Hosting überprüfen Sie, ob das SSL Ihres Hosting-Anbieters sowohl die Apex-Domain (yourdomain.com) als auch die www-Subdomain abdeckt. Ein Zertifikat, das nur für eine ausgestellt wurde, erzeugt einen Namenskonfliktfehler bei der anderen.
• Serialisierte Daten in WordPress-Datenbanken können nicht sicher mit rohem SQL REPLACE() aktualisiert werden. Verwenden Sie immer WP-CLI oder ein serialisierungsbewusstes Plugin.

Für Websites, die auf Shared Web Hosting gehostet werden, ist der schnellste Weg zu SSL die Aktivierung von AutoSSL oder Let's Encrypt über cPanel – der gesamte Prozess dauert unter fünf Minuten und erfordert keinen Kommandozeilenzugang. Für komplexere Deployments, die eine benutzerdefinierte Cipher-Konfiguration, OCSP Stapling oder Multi-Domain-Zertifikate erfordern, bietet ein VPS mit einem konfigurierbaren Kontrollpanel den notwendigen Server-Ebene-Zugang.

FAQ

Verbessert die Installation eines SSL-Zertifikats direkt mein Google-Ranking?

Google bestätigte HTTPS 2014 als Rankingfaktor. Der direkte Ranking-Boost ist bescheiden, aber die indirekten Vorteile – reduzierte Absprungrate durch Browser-Sicherheitswarnungen, Berechtigung für HTTP/2 und HTTP/3 sowie Nutzervertrauen – haben einen messbaren kumulativen Effekt auf die organische Performance.

Was ist der Unterschied zwischen SSL und TLS?

SSL (Secure Sockets Layer) ist der veraltete Vorgänger von TLS (Transport Layer Security). Alle modernen Zertifikate verwenden TLS 1.2 oder 1.3. Der Begriff „SSL-Zertifikat” hat sich als Branchenkürzel erhalten, aber kein Browser oder Server hat seit 2015 tatsächliches SSL verwendet. Wenn Ihr Server noch SSLv3 oder TLS 1.0 akzeptiert, deaktivieren Sie diese sofort – sie sind anfällig für POODLE- bzw. BEAST-Angriffe.

Warum zeigt meine Website nach der Installation des Zertifikats immer noch „Nicht sicher” an?

Die häufigste Ursache ist ein Mixed-Content-Fehler: Mindestens eine Ressource auf der Seite wird über HTTP geladen. Öffnen Sie die Browser-Entwicklertools, überprüfen Sie die Konsole auf Mixed-Content-Warnungen und verwenden Sie WP-CLI-Such-und-Ersatz oder das Really Simple SSL-Plugin, um die betroffenen URLs umzuschreiben. Eine weitere Ursache ist, dass die WordPress-Site-URL unter Einstellungen > Allgemein noch auf http:// zeigt.

Wie erneuere ich ein Let's Encrypt-Zertifikat vor seinem Ablauf?

Certbot installiert einen systemd-Timer oder Cron-Job, der die Erneuerung automatisch versucht, wenn das Zertifikat innerhalb von 30 Tagen vor dem Ablauf liegt. Um eine sofortige Erneuerung zu erzwingen, führen Sie sudo certbot renew --force-renewal aus. Um ohne Änderungen zu testen, führen Sie sudo certbot renew --dry-run aus. Überprüfen Sie das Erneuerungsprotokoll unter /var/log/letsencrypt/letsencrypt.log, wenn die Erneuerung fehlschlägt.

Kann ich SSL auf WordPress installieren, ohne Zugang zum Server oder cPanel zu haben?

Ja, über Cloudflare. Fügen Sie Ihre Domain zu Cloudflare hinzu, richten Sie Ihre Nameserver auf Cloudflares Nameserver aus und aktivieren Sie die SSL/TLS-Einstellung. Die Verbindung vom Besucher zu Cloudflare wird sofort verschlüsselt. Setzen Sie jedoch den Modus auf Full (Strict) und installieren Sie ein Cloudflare-Ursprungszertifikat auf Ihrem Server, um auch die Verbindung von Cloudflare zum Ursprungsserver zu verschlüsseln. Ohne dies bleibt die Verbindung zwischen Cloudflare und Ihrem Server unverschlüsselt, was eine erhebliche Sicherheitslücke für jede Website darstellt, die Nutzerdaten verarbeitet.