SSL/HTTPS

SSL/HTTPS ist die verschlüsselte Variante des HTTP-Protokolls. SSL (Secure Sockets Layer) war der ursprüngliche Standard aus den 1990er-Jahren; heute wird das modernere TLS (Transport Layer Security) verwendet, der Begriff 'SSL' bleibt umgangssprachlich. HTTPS bedeutet HTTP über TLS — alle Daten zwischen Browser und Server werden verschlüsselt übertragen, nicht im Klartext. Drei Funktionen: Erstens Vertraulichkeit (Daten können nicht von Dritten mitgelesen werden). Zweitens Integrität (Daten können nicht manipuliert werden während der Übertragung). Drittens Authentizität (der Server-Identität wird via Zertifikat verifiziert).

Für GEO ist HTTPS 2026 absolute Hygiene-Anforderung. Google bestätigte HTTPS 2014 als Ranking-Signal; 2018 begann Chrome, HTTP-Sites als 'Not Secure' zu markieren. GPTBot, ClaudeBot und andere KI-Crawler erwarten 2026 Standard-mässig HTTPS — Sites ohne HTTPS werden teilweise nicht mehr gecrawlt. Browser-Warnungen vor HTTP-Sites schrecken User ab und reduzieren Click-Through-Rate drastisch. Konsequenz: HTTPS-Migration ist 2026 nicht-verhandelbare Foundation jeder Site.

Drei Setup-Optionen dominieren 2026. Erstens Let's Encrypt: gratis, automatisiert, weit verbreitet. Standard für die meisten KMU-Sites. Auto-Renewal alle 90 Tage über Tools wie Certbot. Zweitens Cloudflare: kombiniert HTTPS-Setup mit CDN-Performance — gratis Basis-Tier verfügbar. Beliebte Kombination für moderne Web-Setups. Drittens kommerzielle Zertifikate (DigiCert, Sectigo, GlobalSign): typisch 50-300 CHF pro Jahr, mit Extended-Validation-Optionen. Sinnvoll für Enterprise-Sites mit spezifischen Compliance-Anforderungen oder Banking/E-Commerce-Branchen, die EV-Trust-Signale benötigen.

Strategisch sollten Sites zusätzlich zur HTTPS-Aktivierung drei Hardening-Massnahmen umsetzen. Erstens HSTS (HTTP Strict Transport Security): HTTP-Header, der Browser anweist, immer HTTPS zu nutzen — verhindert Downgrade-Angriffe. Zweitens Certificate Transparency: öffentliche Logs verifizieren Zertifikat-Ausstellung — Standard 2026. Drittens automatische Renewal-Pflege: Let's Encrypt-Zertifikate laufen alle 90 Tage ab — Auto-Renewal via Certbot oder Caddy ist Pflicht, manuelle Pflege führt zu Ausfaellen. Bei Cloudflare und kommerziellen Anbietern ist Auto-Renewal Standard.

Wichtig zur Abgrenzung: HTTPS ist nicht Core Web Vitals, ist nicht Sicherheits-Audit. HTTPS adressiert Verschlüsselung der Übertragung. Core Web Vitals adressieren Performance. Ein Sicherheits-Audit umfasst darüber hinaus XSS-Schutz, CSRF-Tokens, SQL-Injection-Prävention. Alle drei sind separate Disziplinen mit unterschiedlichen Best-Practices, aber HTTPS ist 2026 die universellste Hygiene-Anforderung.

HTTPS-Setup für KMU-Sites:

# Variante 1: Let's Encrypt mit Certbot
sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d example.ch -d www.example.ch
# Auto-Renewal via Cron (alle 60 Tage):
0 3 * * * /usr/bin/certbot renew --quiet

# Variante 2: Cloudflare (Empfohlen für KMU)
1. Cloudflare-Account erstellen
2. Domain bei Cloudflare registrieren oder Nameserver-Update
3. SSL/TLS-Modus 'Full (strict)' aktivieren
4. Always Use HTTPS einschalten
5. HSTS aktivieren (max-age=31536000)

# Variante 3: Hosting-Provider mit integriertem SSL
Hostpoint, Cyon, Infomaniak: Let's Encrypt im Control-Panel
Plesk/cPanel: SSL/TLS-Manager mit One-Click-Setup

# HSTS-Header (zusätzlich zu HTTPS)
Strict-Transport-Security: max-age=31536000; includeSubDomains

# Verifikation:
1. https://www.ssllabs.com/ssltest/ -> A oder A+ Score
2. Browser-Adresszeile zeigt Schloss-Symbol
3. Google Search Console -> 'Security Issues'-Bericht clean
4. Server-Logs: keine HTTP-Anfragen mehr (alle redirected)

# Migration HTTP -> HTTPS Checkliste:
1. Zertifikat installieren
2. 301-Redirects von HTTP zu HTTPS
3. Interne Links auf HTTPS aktualisieren
4. Sitemap.xml auf HTTPS-URLs aktualisieren
5. robots.txt-URL prüfen
6. Canonical-Tags auf HTTPS-Variante
7. Google Search Console: HTTPS-Property hinzufügen
8. Externe Backlinks können bleiben (301-Redirect leitet weiter)
9. CDN/Cache flushen
10. SSL-Test durchführen

HTTPS-Migration ist 2026 Standard-Setup, kein strategischer Hebel mehr. Aufwand: 2-4 Stunden initial, danach automatisierte Pflege via Auto-Renewal. Sites ohne HTTPS verlieren 2026 systematisch — nicht-verhandelbare Foundation.