Ein SSL-Zertifikat prüfen

Q: Kann ich das SSL Zertifikat einer Subdomain prüfen?

Ja. Geben Sie den vollständigen Namen ein, zum Beispiel shop.beispiel.de. NetCheck fragt genau diesen Namen ab, und Sie sehen das Zertifikat, das der Server für diese Subdomain ausliefert.

Gültigkeit, Aussteller und Ablaufdatum des HTTPS einer Website.

Was NetCheck genau ausliest

Wenn Sie die Prüfung starten, baut NetCheck wie ein Browser eine verschlüsselte Verbindung zur Website auf und holt das Zertifikat, das der Server vorlegt. Ohne Datenbank dazwischen: Es ist das Zertifikat, das in diesem Moment tatsächlich ausgeliefert wird.

Feld	Bedeutung
Ausgestellt von	Die Zertifizierungsstelle, die es signiert hat: Let's Encrypt, Sectigo, DigiCert, Google Trust Services …
Gültig vom / bis	Der Zeitraum, in dem Browser das Zertifikat akzeptieren. Außerhalb zeigen sie eine blockierende Warnung.
Verbleibende Tage	Die Zeit bis zum Ablauf. Das ist die Zahl, die man im Blick behalten sollte.
Deckt auch ab	Die weiteren Namen im Zertifikat (das SAN-Feld). Ein Zertifikat gilt nur für die Namen, die es aufführt.

Wie lange ist ein Zertifikat gültig?

Die Regeln des CA/Browser Forum, in dem Zertifizierungsstellen und Browserhersteller zusammenarbeiten, verkürzen diese Dauer schrittweise. Seit März 2026 darf ein öffentliches Zertifikat höchstens 200 Tage gültig sein. Die Obergrenze sinkt im März 2027 auf 100 Tage und im März 2029 auf 47 Tage. Zertifikate von Let's Encrypt laufen schon jetzt 90 Tage.

In der Praxis wird manuelles Verlängern damit unhaltbar. Wenn Ihr Hoster oder Server nicht automatisch verlängert (über das ACME-Protokoll, zum Beispiel mit Certbot), ist jetzt der richtige Zeitpunkt, das zu automatisieren. Planen Sie die Verlängerung zwei bis drei Wochen vor Ablauf ein, damit Sie reagieren können, falls die Automatik versagt.

Die häufigsten Fehler

Abgelaufenes Zertifikat: Die automatische Verlängerung ist unbemerkt gescheitert, oft weil sich ein DNS-Eintrag geändert hat oder eine Firewall die Validierung blockiert.
Name nicht abgedeckt: Das Zertifikat deckt beispiel.de ab, aber nicht www.beispiel.de, oder umgekehrt. Sehen Sie in der Zeile „Deckt auch ab“ nach: Beide Formen müssen dort stehen.
Unvollständige Kette: Der Server schickt das Zertifikat der Website, vergisst aber das Zwischenzertifikat der Zertifizierungsstelle. Manche Browser besorgen es selbst, andere nicht, daher ein Fehler, der nur auf manchen Geräten auftritt. Konfigurieren Sie den Server mit der Datei „fullchain“.
Selbstsigniertes Zertifikat: im internen Netz vertretbar, auf einer öffentlichen Website nie.
Gemischte Inhalte: Das Zertifikat ist in Ordnung, aber die Seite lädt Bilder oder Skripte über http://. Der Browser zeigt dann ein durchgestrichenes Schloss. Das ist kein Zertifikatsproblem: Korrigieren Sie die Adressen in der Seite.

DV, OV, EV: Muss man zahlen?

Ein domainvalidiertes Zertifikat (DV) beweist nur, dass der Antragsteller die Domain kontrolliert. Das stellt Let's Encrypt kostenlos aus, mit genau derselben Verschlüsselung wie kostenpflichtige Zertifikate. OV- und EV-Zertifikate prüfen zusätzlich die Identität des Unternehmens, doch Browser zeigen diesen Unterschied seit Jahren nicht mehr in der Adressleiste. Für die allermeisten Websites genügt ein kostenloses, zuverlässig verlängertes DV-Zertifikat.

Wildcard-Zertifikate

Ein Zertifikat für *.beispiel.de deckt alle Subdomains einer Ebene ab, etwa blog.beispiel.de oder shop.beispiel.de, aber weder beispiel.de selbst noch a.b.beispiel.de. Es vereinfacht die Verwaltung bei vielen Subdomains, um den Preis eines höheren Risikos, falls sein privater Schlüssel abhandenkommt.

Eine Einschränkung

Um das Zertifikat zu lesen, handelt NetCheck die Verbindung in TLS 1.2 aus, der Version, in der das Zertifikat beim ersten Austausch unverschlüsselt übertragen wird. Fast alle Server akzeptieren sie noch. Ein Server, der ausschließlich TLS 1.3 spricht, liefert eine eindeutige Meldung: Die Website funktioniert, aber das Werkzeug kann ihr Zertifikat nicht lesen.

SSL Zertifikat Check: das Ergebnis richtig lesen

Beim HTTPS Check verbindet sich NetCheck über Port 443 mit der Website, nennt dabei den Domainnamen wie ein Browser (SNI) und liest das Zertifikat, das der Server in diesem Moment ausliefert. Daraus entsteht dieses Ergebnis:

Anzeige	Was Sie prüfen sollten
Grün mit Zahl der Tage	Gültig. Bei automatischer Verlängerung sollte die Zahl nach jeder Erneuerung wieder steigen.
Orange	Weniger als 15 Tage bis zum Ablauf: Verlängerung jetzt prüfen.
Rot, „Zertifikat ABGELAUFEN“	Browser blockieren die Seite, bis ein neues Zertifikat installiert ist.
Gültig ab / Gültig bis	Liegt „Gültig ab“ in der Zukunft, ist das Zertifikat noch nicht aktiv.
Ausgestellt von	Die Zertifizierungsstelle. Ein unerwarteter Aussteller kann auf einen Proxy oder ein vergessenes altes Zertifikat hinweisen.
Deckt außerdem ab	Die Namen im Zertifikat. Die geprüfte Adresse muss hier stehen, direkt oder über einen Platzhalter wie `*.beispiel.de`.

Was der Check nicht prüft

Ob der Name passt, vergleichen Sie selbst mit der Liste der abgedeckten Namen: Das Werkzeug zeigt sie an, wertet sie aber nicht aus. Auch die Zertifikatskette wird nicht kontrolliert, denn NetCheck liest nur das Zertifikat der Website, nicht die Zwischenzertifikate. Meldet ein Browser einen Kettenfehler, obwohl hier alles grün ist, prüfen Sie die Kette in der Kommandozeile:

openssl s_client -connect beispiel.de:443 -servername beispiel.de -showcerts

In der Ausgabe sollten mindestens zwei Zertifikate erscheinen: das der Website und das Zwischenzertifikat der Zertifizierungsstelle. Steht dort nur eines, fehlt auf dem Server die Datei „fullchain“.

Prüfen Sie nach einer Verlängerung außerdem www und die Variante ohne www getrennt: Beide Adressen können auf unterschiedliche Server oder CDN-Einstellungen zeigen.

Häufige Fragen

Mein Zertifikat ist gültig, aber der Browser warnt: Warum?

Meistens: ein nicht abgedeckter Name (mit oder ohne www), eine unvollständige Kette oder über http geladene gemischte Inhalte. Prüfen Sie auch die Uhrzeit des Geräts: Eine um mehrere Tage falsche Uhr lässt den Browser glauben, ein gültiges Zertifikat sei abgelaufen oder noch nicht aktiv.

Wie viele Tage vor Ablauf sollte man handeln?

Mit automatischer Verlängerung nichts: Prüfen Sie nur, ob das Datum regelmäßig weiterrückt. Ohne Automatik verlängern Sie zwei bis drei Wochen vorher. Unter einer Woche ist es ein Notfall.

Ist ein kostenloses Zertifikat weniger sicher?

Nein. Die Verschlüsselung ist identisch. Ein kostenpflichtiges Zertifikat unterscheidet sich durch Identitätsprüfung, Support und manchmal eine finanzielle Garantie, nicht durch die Sicherheit der Verbindung.

Bedeutet das Schloss, dass eine Website seriös ist?

Nein. Es bedeutet nur, dass die Verbindung verschlüsselt ist und das Zertifikat zur Domain passt. Eine Phishing-Seite kann durchaus ein gültiges Zertifikat haben. Achten Sie auf den Domainnamen, nicht auf das Schloss.

Was bedeutet die orange Anzeige beim SSL Zertifikat Check?

Das Zertifikat ist noch gültig, läuft aber in weniger als 15 Tagen ab. Prüfen Sie, ob die automatische Verlängerung eingerichtet ist und funktioniert, oder verlängern Sie das Zertifikat jetzt von Hand.

Prüft der HTTPS Check auch die Zertifikatskette?

Nein. NetCheck liest das Zertifikat der Website mit Aussteller, Laufzeit und abgedeckten Namen. Die Zwischenzertifikate prüfen Sie mit openssl s_client -showcerts oder an der Fehlermeldung des Browsers.

Kann ich das SSL Zertifikat einer Subdomain prüfen?

Ja. Geben Sie den vollständigen Namen ein, zum Beispiel shop.beispiel.de. NetCheck fragt genau diesen Namen ab, und Sie sehen das Zertifikat, das der Server für diese Subdomain ausliefert.