SSL-Zertifikats-Checker
Prüfen Sie das SSL-Zertifikat jeder Domain sofort — mit Ablaufdatum, Aussteller, Vertrauensstatus und vollständiger Zertifikatskette. Kostenlos, ohne Anmeldung.
So lesen Sie die Ergebnisse Ihres SSL-Zertifikats
Jedes Feld im Ergebnis erklärt einen anderen Aspekt des Zertifikats. Hier sehen Sie, was die einzelnen Angaben bedeuten und worauf Sie achten sollten.
Aussteller (CA-Name)
Das ist die Organisation, die das Zertifikat signiert und ausgestellt hat. Sie sollte eine bekannte CA wie Let's Encrypt, DigiCert, Sectigo oder GlobalSign sein. Wenn Aussteller und Subjekt denselben CN und dieselbe O-Angabe haben, ist das Zertifikat selbstsigniert, und Browser werden warnen.
Subject Alternative Names
Das ist die Liste der Domains und Subdomains, für die das Zertifikat gültig ist. In Produktion sollten sowohl die Apex-Domain als auch www enthalten sein. Ein Wildcard-Eintrag (*.example.com) deckt alle Subdomains der ersten Ebene ab, aber nicht die Apex-Domain oder Subdomains der zweiten Ebene.
Ablaufdatum und Countdown
Das ist das Datum, nach dem das Zertifikat nicht mehr gültig ist. Der Balken wechselt von Grün (>30 Tage) über Gelb (8–30 Tage) zu Rot (<7 Tage). Let's Encrypt-Zertifikate laufen alle 90 Tage ab, kommerzielle Zertifikate gelten meist ein Jahr.
TLS-Protokollversion
Das ist die TLS-Version, die Ihr Server für diese Verbindung ausgehandelt hat. TLS 1.3 ist der aktuelle Standard — schneller und sicherer. TLS 1.2 ist akzeptabel. TLS 1.0 und 1.1 sind veraltet und sollten deaktiviert werden, während SSLv3 und SSLv2 kritisch verwundbar sind.
Seriennummer
Das ist eine eindeutige Kennung, die die CA diesem konkreten Zertifikat zuweist. Sie ist nützlich für Zertifikatsverwaltung, OCSP-Stapling-Abfragen und Incident-Tracking, wenn mehrere Zertifikate für dieselbe Domain existieren.
SHA-256-Fingerabdruck
Das ist ein kryptografischer Hash des vollständigen Zertifikatinhalts. Zwei identische Fingerabdrücke bedeuten zwei identische Zertifikate. Vergleichen Sie den Fingerabdruck vor und nach einer Zertifikatsrotation, um zu bestätigen, dass das Update übernommen wurde — oder um eine unerwartete Zertifikatsersetzung zu erkennen.
Aktionsplan bei Zertifikatsablauf
Der Ablauf ist die häufigste Ursache für SSL-Ausfälle. Nutzen Sie diese Tabelle, um je nach verbleibenden Tagen die passende Maßnahme zu wählen.
| Tage bis zum Ablauf | Status | Empfohlene Maßnahme |
|---|---|---|
| > 30 Tage | OK | Es ist keine Aktion nötig. Planen Sie eine Verlängerungserinnerung für die 30-Tage-Marke. |
| 8–30 Tage | Warnung | Leiten Sie die Verlängerung jetzt ein. Die meisten CAs und Dienste zur automatischen Verlängerung (Let's Encrypt, Certbot) erneuern bei 30 Tagen Restlaufzeit. |
| 1–7 Tage | Dringend | Sofort erneuern. Ein abgelaufenes Zertifikat verursacht Browserfehler und blockiert den gesamten HTTPS-Verkehr. |
| 0 oder weniger | Abgelaufen | Das Zertifikat ist abgelaufen. Ersetzen Sie es sofort — Ihre Website zeigt allen Besuchern Sicherheitswarnungen an. |
Häufige SSL-Fehler in Chrome, Firefox und Safari — Ursachen und Lösungen
Hier sehen Sie die häufigsten SSL-Fehler in Browsern und was sie bedeuten. Ermitteln Sie mit diesem Tool die Ursache und setzen Sie anschließend gezielt die passende Lösung um.
Das valid_to-Datum des Zertifikats liegt in der Vergangenheit. Das Zertifikat ist abgelaufen und muss erneuert werden, bevor Browser die Verbindung wieder als vertrauenswürdig einstufen.
Erneuern Sie das Zertifikat über Ihre CA oder Ihren Hosting-Anbieter. Stellen Sie sicher, dass die automatische Erneuerung korrekt eingerichtet ist — die meisten CAs erneuern automatisch innerhalb der letzten 30 Tage vor Ablauf.
Die Domain in der Adressleiste des Browsers steht nicht in den CN- oder SAN-Feldern des Zertifikats. Das passiert nach einer Domainmigration, bei einem Subdomain-Mismatch oder wenn das Zertifikat für die falsche Domain ausgestellt wurde.
Stellen Sie das Zertifikat mit der richtigen Domain neu aus. Prüfen Sie, ob sowohl die Apex-Domain (example.com) als auch die www-Subdomain (www.example.com) in der SAN-Liste enthalten sind.
Das Zertifikat wurde von einer CA ausgestellt, die sich nicht im Vertrauensspeicher des Browsers oder Betriebssystems befindet. Dazu zählen selbstsignierte Zertifikate, intern ausgestellte Zertifikate oder Zertifikate, bei denen eine Zwischenzertifizierungsstelle in der Kette fehlt.
Installieren Sie ein Zertifikat einer öffentlich vertrauenswürdigen CA. Wenn Sie eine interne CA verwenden, installieren Sie das Stammzertifikat im Truststore des Clients. Achten Sie außerdem darauf, dass der Server die vollständige Zwischenkette sendet.
Das Zertifikat wurde von der ausstellenden CA ausdrücklich widerrufen — typischerweise, weil der private Schlüssel kompromittiert wurde, die Domain den Besitzer gewechselt hat oder das Zertifikat irrtümlich ausgestellt wurde.
Besorgen Sie sich umgehend ein neues Zertifikat. Wenn Sie den Widerruf nicht selbst veranlasst haben, könnte Ihr privater Schlüssel kompromittiert sein — tauschen Sie den Schlüssel aus, stellen Sie das Zertifikat neu aus und untersuchen Sie den Vorfall.
Der Server sendet eine HTTP-Antwort an einen HTTPS-Port oder ein Proxy liefert einen HTTP-Fehler zurück, bevor der TLS-Handshake abgeschlossen ist. Port 443 empfängt also Klartext statt TLS.
Bestätigen Sie, dass der Server auf dem angesprochenen Port tatsächlich TLS ausliefert. Prüfen Sie die Konfiguration von Load Balancer und Proxy und stellen Sie sicher, dass die SSL-Terminierung korrekt eingerichtet ist.
Client und Server können sich nicht auf eine TLS-Protokollversion oder Cipher Suite einigen. Das passiert oft, wenn der Server nur TLS 1.0/1.1 unterstützt (in Chrome 84+, Firefox 74+, Safari 14+ veraltet) oder Cipher Suites verwendet, die moderne Browser nicht mehr akzeptieren.
Aktivieren Sie TLS 1.2 und TLS 1.3 auf dem Server und deaktivieren Sie TLS 1.0 und TLS 1.1. Aktualisieren Sie die Liste der Cipher Suites, um RC4, 3DES und Export-Grade-Verschlüsselungen zu entfernen. Nutzen Sie den TLS-Konfigurationsgenerator von Mozilla für einsatzbereite Nginx- und Apache-Konfigurationen.
SSL-Zertifikat in 3 Schritten prüfen
Domain eingeben
Geben Sie einen beliebigen Domainnamen — zum Beispiel github.com oder api.example.com — in das Eingabefeld ein. Das Tool entfernt einen vorangestellten https://-Präfix automatisch. Sie können auch einen benutzerdefinierten Port angeben, wenn der HTTPS-Dienst nicht auf dem Standardport 443 läuft.
Zertifikat auslesen
Innerhalb weniger Sekunden sehen Sie das vollständige Zertifikat: Ablaufdatum und Countdown, Ausstellerkette, Vertrauensstatus, Protokollversion (TLS 1.2 oder 1.3), Cipher Suite, SANs und den SHA-256-Fingerabdruck. Es werden keine Daten gespeichert.
Ergebnis lesen
Ist das Zertifikat abgelaufen, selbstsigniert oder liegt ein Hostname-Mismatch vor, markiert das Ergebnis das Problem klar. Die Ablaufanzeige wird bei weniger als 30 Tagen gelb und bei weniger als 7 Tagen rot. Alle Details lassen sich mit einem Klick kopieren.
Was sagt ein SSL-Zertifikat aus?
Ein SSL/TLS-Zertifikat ist ein digitaler Nachweis, der die Identität einer Website bestätigt und eine verschlüsselte Verbindung ermöglicht. Wenn Sie eine Website über HTTPS besuchen, prüft Ihr Browser das Zertifikat der Website — ausgestellt von einer vertrauenswürdigen Zertifizierungsstelle (CA) — bevor der verschlüsselte Kanal aufgebaut wird. Ohne gültiges Zertifikat zeigen Browser Sicherheitswarnungen an und können den Zugriff blockieren, was sich direkt auf Vertrauen und Suchsichtbarkeit auswirkt.
Jedes SSL-Zertifikat enthält 3 zentrale Angaben:
- •Subjekt — der Domainname (und die Organisation bei OV/EV), für den das Zertifikat ausgestellt wurde
- •Aussteller — die Zertifizierungsstelle (CA), die das Zertifikat signiert und verifiziert hat
- •Gültigkeitszeitraum — die exakten Start- und Enddaten, in denen das Zertifikat vertrauenswürdig ist
Was dieses Tool nicht prüft
Dieses Tool führt einen Live-TLS-Handshake durch und liest das Zertifikat aus. Es prüft nicht:
- Die Stärke der Cipher Suites (A–F) — nutzen Sie SSL Labs für ein vollständiges TLS-Audit
- Den HSTS-Header oder den Status in der Preload-Liste
- Die Konfiguration von OCSP Stapling
- Certificate Pinning (HPKP)
- Das Weiterleitungsverhalten von HTTP zu HTTPS
SSL-Zertifikattypen
Verschiedene Zertifikatstypen bieten unterschiedliche Stufen der Identitätsprüfung. Der Typ zeigt, was der Aussteller vor dem Signieren geprüft hat — nicht, wie stark die Verschlüsselung ist.
Die CA prüft nur, ob der Antragsteller die Domain kontrolliert — eine Unternehmensidentität wird nicht verifiziert. Das Zertifikat wird innerhalb weniger Minuten per automatisierter DNS- oder HTTP-Challenge ausgestellt. Geeignet ist es für Blogs, persönliche Websites und interne Tools. Im Subjekt erscheint in der Regel nur der CN (Domainname), ohne Feld O (Organisation).
Die CA prüft sowohl die Domainkontrolle als auch die rechtliche Existenz der Organisation. Das dauert in der Regel 1–3 Werktage. Im Zertifikat steht der Firmenname im Feld O, sodass Besucher nachvollziehen können, wem die Website gehört. Empfohlen ist das für Unternehmensseiten und APIs.
Dies ist die strengste Form der Validierung: Die CA prüft Domain, Organisation, physische Adresse, Rechtsstatus und operative Existenz. Früher führten diese Zertifikate zur grünen Adressleiste im Browser. Heute erscheint der Firmenname in den Zertifikatsdetails. Häufig werden sie bei Finanzinstituten und E-Commerce-Plattformen eingesetzt, die Zahlungsdaten verarbeiten.
Es deckt eine Root-Domain und alle Subdomains der ersten Ebene über ein *.example.com-Muster in CN oder SAN ab. Ein einziges Wildcard-Zertifikat schützt www.example.com, api.example.com, cdn.example.com und weitere Hosts. Subdomains der zweiten Ebene wie dev.api.example.com sind nicht enthalten — dafür braucht es ein separates Zertifikat.
Ein einzelnes Zertifikat kann über die Erweiterung Subject Alternative Names mehrere unterschiedliche Domains abdecken. Das ist üblich, wenn mehrere Produkte unter einem Zertifikat laufen — zum Beispiel example.com, example.io und app.example.net. Die meisten modernen Zertifikate verwenden SANs sogar für eine einzelne Domain, wobei der CN in der SAN-Liste gespiegelt wird.
Wann Sie ein SSL-Zertifikat prüfen sollten
Vor dem Deployment
Prüfen Sie, ob das Zertifikat genau die Domain abdeckt, die live gehen soll. Stellen Sie sicher, dass der Aussteller eine vertrauenswürdige CA ist und nicht selbstsigniert, dass die SANs sowohl die www- als auch die Apex-Variante enthalten und dass mindestens TLS 1.2 verwendet wird, bevor Sie DNS auf die Produktion zeigen lassen.
Zertifikatsverlängerung überwachen
Behalten Sie Ablaufdaten proaktiv im Blick. Let's Encrypt-Zertifikate laufen alle 90 Tage ab, und eine verpasste automatische Verlängerung führt schnell zu Ausfällen. Kommerzielle Zertifikate gelten meist ein Jahr. Setzen Sie dieses Tool als Lesezeichen und prüfen Sie monatlich alles, was weniger als 30 Tage Restlaufzeit hat.
Sicherheitsaudit
Identifizieren Sie Server, die noch TLS 1.0 oder 1.1, schwache Cipher Suites oder selbstsignierte Zertifikate verwenden. Vergleichen Sie nach einer Zertifikatsrotation den SHA-256-Fingerabdruck mit dem Sollwert, um sicherzustellen, dass keine MITM-Ersetzung stattgefunden hat.
Nach der Domainmigration
Nach dem Umzug einer Domain auf einen neuen Host oder ein neues CDN sollten Sie prüfen, ob das neue Zertifikat die Domain abdeckt, ob der Aussteller korrekt ist und ob die SANs dem erwarteten Satz entsprechen. Ein Zertifikat, das auf dem alten Server liegen bleibt und auf dem neuen nicht bereitgestellt wird, verursacht Browserfehler — selbst wenn DNS bereits korrekt zeigt.
Häufig gestellte Fragen
Verwandte Tools
Port-Checker
Prüfen Sie, ob Port 443 geöffnet ist und Verbindungen akzeptiert, bevor Sie das Zertifikat verifizieren.
DNS-Lookup
Prüfen Sie nach Zertifikatsdeployment oder Domainmigration, ob DNS-A-Records auf den richtigen Server zeigen.
Port-Info
Schlagen Sie Standard-Portzuweisungen nach und sehen Sie, welche Dienste auf welchen Ports laufen.