Qualys SSL Labs: So holen Sie das A+ für Ihre Website
Das kleine Schloss im Browser sagt nur: „irgendwie verschlüsselt“. Ob dahinter eine saubere, moderne Verschlüsselung steckt oder eine mit bekannten Löchern, sieht man ihm nicht an. Genau das prüft der kostenlose Test von Qualys SSL Labs – und vergibt Noten von A+ bis F. Hier erkläre ich, worauf es dabei ankommt und wie Sie die Bestnote erreichen.
Warum die Note zählt
Eine schwache SSL-Bewertung ist ein Warnsignal: Sie deutet darauf hin, dass Verbindungen zu Ihrer Website angreifbar sein könnten. Ein A+ heißt dagegen, dass alles nach aktuellem Stand sauber konfiguriert ist. Das schützt nicht nur die Daten Ihrer Besucher – es zahlt auch aufs Vertrauen ein und ist ein kleiner, aber echter Rankingfaktor: Google bevorzugt sicher ausgelieferte Seiten.
Nur moderne Protokolle zulassen
Der größte Hebel zuerst: Alte Protokolle wie SSL 3.0 und TLS 1.0/1.1 gelten als unsicher und gehören abgeschaltet. Übrig bleiben TLS 1.2 und TLS 1.3. Gerade TLS 1.3 ist nicht nur sicherer, sondern durch den schlankeren Handshake auch spürbar schneller – Sicherheit und Tempo in einem.
Schwache Verschlüsselung rauswerfen
Die sogenannten Cipher-Suites legen fest, wie verschlüsselt wird. Veraltete Verfahren wie RC4 oder 3DES sollten deaktiviert sein. Bevorzugt werden moderne Suiten mit Forward Secrecy – die sorgen dafür, dass selbst ein später gestohlener Schlüssel vergangene Verbindungen nicht nachträglich entschlüsseln kann.
Die Feinheiten, die das A+ ausmachen
Für die Bestnote kommen ein paar Bausteine dazu, die im Alltag gern vergessen werden:
- HSTS erzwingt, dass der Browser Ihre Seite künftig nur noch über HTTPS aufruft – nie versehentlich unverschlüsselt.
- OCSP Stapling liefert den Gültigkeitsnachweis des Zertifikats gleich mit, statt den Browser bei der Zertifizierungsstelle nachfragen zu lassen. Das ist sicherer und schneller.
- Vollständige Zertifikatskette: Fehlt ein Zwischenzertifikat, hagelt es Abzug – auch wenn im Browser scheinbar alles passt.
Einmal einrichten reicht nicht
Das ist der Punkt, den ich am häufigsten sehe: Vor Jahren wurde das Zertifikat eingerichtet – und seitdem nie wieder angeschaut. Sicherheitsstandards verschieben sich aber laufend; was 2021 ein A+ war, ist es heute vielleicht nicht mehr. Ein kurzer Blick auf den SSL-Labs-Test ab und zu genügt, um auf Kurs zu bleiben.
So testen Sie selbst: Auf ssllabs.com/ssltest Ihre Domain eingeben, kurz warten – und Sie bekommen eine detaillierte Auswertung mit konkreten Hinweisen.
Kurz gesagt
Ein A+ ist keine Zauberei, sondern das Ergebnis sauberer Grundlagen: moderne Protokolle, starke Verschlüsselung, HSTS und eine vollständige Zertifikatskette – regelmäßig nachgeprüft. Bei den Websites, die ich betreue, gehört das zum Standard. Wenn Ihre Seite noch keine Bestnote hat, schaue ich mir das gerne an.