HTTPS, TLS-Zertifikate und das Mixed-Content-Problem

Würdigung — was das Schloss-Symbol bedeutet#

Wenn der Browser das Schloss zeigt, heißt das: Die Verbindung zwischen dem Gerät des Besuchers und dem Server ist über TLSTLS · zum GlossarTransport Layer Security — Verschlüsselungs-Protokoll unter HTTPS, Nachfolger von SSL. (Transport Layer Security) verschlüsselt. Niemand dazwischen — kein Mitnutzer im offenen WLAN, kein Netzbetreiber — kann mitlesen oder die Inhalte verändern. Was es nicht heißt: dass die Seite vertrauenswürdig, korrekt oder die richtige ist. Verschlüsselung sichert den Transport, nicht den Inhalt.

Für eine Kanzlei-Website ist das trotzdem fundamental. Wer ein Kontaktformular ausfüllt — Name, Anliegen, vielleicht erste Hinweise auf die steuerliche Situation — überträgt Daten, die unter HTTP für jeden im selben Netz mitlesbar wären. Ohne HTTPSHTTPS · zum GlossarHTTP über TLS-verschlüsselte Verbindung — Standard für alle modernen Websites. ist das eine offene Postkarte. Mit HTTPS ist es ein verschlossener Umschlag. Das passt zur Verschwiegenheits-Erwartung, die Mandanten an eine Kanzlei haben.

Seit Jahren markieren Browser reine HTTP-Seiten aktiv als „nicht sicher". Eine Kanzlei-Seite ohne gültiges Zertifikat sendet damit das denkbar schlechteste erste Signal — noch bevor ein Wort gelesen wurde.

Wie der TLS-Handshake funktioniert#

Bevor das erste Byte Inhalt fließt, handeln Browser und Server in Sekundenbruchteilen eine sichere Verbindung aus — der TLS-Handshake. Vereinfacht:

1. Der Browser meldet sich und nennt die TLS-Versionen und Verschlüsselungs-Verfahren, die er beherrscht.
2. Der Server antwortet mit seinem Zertifikat, das seinen öffentlichen Schlüssel und die Bestätigung einer Zertifizierungsstelle enthält.
3. Der Browser prüft das Zertifikat: Ist es von einer vertrauenswürdigen Stelle ausgestellt, gilt es noch, passt es zur Domain?
4. Beide einigen sich auf einen gemeinsamen Sitzungs-Schlüssel, mit dem ab jetzt symmetrisch und schnell verschlüsselt wird.

Welche Verfahren dabei als sicher gelten, ist nicht Geschmackssache. Das BSI veröffentlicht in der Technischen Richtlinie TR-02102 konkrete Vorgaben zu TLS-Versionen und kryptographischen Verfahren. Praktisch heißt das 2026: TLS 1.2 als Minimum, TLS 1.3 bevorzugt, veraltete Verfahren abgeschaltet. Auf einer modernen Hosting-Plattform ist das die Standard-Einstellung — wer auf altem Server-Bestand sitzt, sollte es prüfen lassen.

TLS-Zertifikate — Herkunft, Arten, Kosten#

Ein Zertifikat wird von einer Zertifizierungsstelle (CA) ausgestellt, der die Browser vertrauen. Es gibt drei Validierungs-Stufen:

• DV (Domain Validation): Bestätigt nur, dass der Antragsteller die Domain kontrolliert. Schnell, automatisiert, kostenlos über Let's Encrypt. Für die allermeisten Kanzlei-Websites völlig ausreichend.
• OV (Organization Validation): Prüft zusätzlich die Existenz der Organisation. Kostenpflichtig.
• EV (Extended Validation): Aufwändigste Prüfung. In der Adresszeile heute kaum noch sichtbar hervorgehoben — der frühere Vorteil ist praktisch verschwunden.

Die wichtigste Nachricht für Kanzleien: Ein gültiges, vom Browser akzeptiertes Zertifikat kostet nichts. Let's Encrypt stellt DV-Zertifikate kostenlos aus, und nahezu jede moderne Hosting-Plattform — VercelVercel · zum GlossarHosting-Plattform für moderne Web-Apps — Standard-Heimat für Next.js-Sites mit EU-Region., CloudflareCloudflare · zum GlossarUS-Anbieter für CDN, WAF, DDoS-Schutz und Turnstile — Privacy-by-Design-Ausrichtung., Hetzner und andere — richtet das automatisch ein und erneuert es selbsttätig (Zertifikate laufen typischerweise nach 90 Tagen ab, die Erneuerung passiert im Hintergrund). Wer noch für ein einfaches DV-Zertifikat zahlt, zahlt für etwas, das es geschenkt gibt.

Das Mixed-Content-Problem#

Hier liegt der Stolperstein, der die meisten an sich sicheren Seiten betrifft. Mixed Content entsteht, wenn eine über HTTPS geladene Seite einzelne Ressourcen — ein Bild, eine Schrift, ein Skript — über unverschlüsseltes HTTP nachlädt. Die Seite ist dann nicht mehr durchgängig sicher, und der Browser reagiert:

• Aktiver Mixed Content (Skripte, Stylesheets, iframes über HTTP) wird blockiert. Die Funktion bricht — ein über HTTP geladenes Skript läuft nicht, die Seite wirkt kaputt.
• Passiver Mixed Content (Bilder, Videos über HTTP) wird geladen, aber der Browser entfernt das Schloss oder zeigt eine Warnung. Das Vertrauens-Signal ist weg.

Typische Ursachen auf Kanzlei-Seiten: ein altes Plugin, das eine Ressource fest über http:// einbindet; ein eingebettetes Logo von einem alten Partner-Server; eine kopierte Code-Schnipsel-Einbindung mit HTTP-URL. Eine einzige solche Zeile reicht, um das Schloss zu kippen.

Wie wir HTTPS auf fahoch2.de erzwingen#

Verschlüsselung anzubieten reicht nicht — man muss sie auch erzwingen. Auf fahoch2.de greifen dafür zwei Mechanismen ineinander:

• HSTSHSTS · zum GlossarHTTP-Strict-Transport-Security — zwingt den Browser, die Seite nur über HTTPS aufzurufen. (Strict-Transport-Security: max-age=63072000; includeSubDomains; preload) weist den Browser an, die Domain ausschließlich über HTTPS zu laden, und meldet sie für die Browser-Preload-Liste an. Der erste Besuch ist dadurch von vornherein verschlüsselt. Die Details dieses Headers stehen im Artikel zu den Security-Headern.
• upgrade-insecure-requests in der Content-Security-Policy hebt jede versehentlich als HTTP eingebundene Ressource automatisch auf HTTPS an, bevor sie geladen wird. Das ist ein Sicherheitsnetz gegen Mixed Content: Selbst wenn sich eine HTTP-URL einschleicht, lädt der Browser sie verschlüsselt.

Wer die TLS-Terminierung über eine vorgelagerte Schicht wie Cloudflare laufen lässt, bekommt die Zertifikats-Verwaltung und moderne TLS-Versionen ohnehin frei Haus.

Für eine vollständige Prüfung von Zertifikat, HTTPS-Erzwingung, Mixed Content und der gesamten Header-Lage empfehlen wir den Hebel-Audit (890 €, bei Mandanten-Boost-Beauftragung innerhalb von 60 Tagen voll anrechenbar).

Zusammenfassung#

Das Schloss-Symbol steht für eine verschlüsselte Verbindung — die Grundlage dafür, dass Kontakt-Daten einer Kanzlei-Website nicht offen übertragen werden. TLS handelt diese Verschlüsselung im Handshake aus; das BSI gibt mit TR-02102 vor, welche Verfahren sicher sind. Ein gültiges Zertifikat kostet über Let's Encrypt nichts und wird auf modernen Plattformen automatisch erneuert. Der häufigste Fehler ist nicht das fehlende Zertifikat, sondern Mixed Content — eine einzelne über HTTP geladene Ressource, die das Schloss kippt. HSTS erzwingt HTTPS von der ersten Anfrage an, upgrade-insecure-requests fängt eingeschlichene HTTP-Ressourcen ab. Wer die eigene Seite prüfen will, beginnt mit dem kostenfreien Check und schaut gezielt auf Unterseiten, wo sich Mixed Content gern versteckt.

Quellen#

• MDN — Mixed content — abgerufen 2026-05-29
• MDN — Strict-Transport-Security — abgerufen 2026-05-29
• MDN — CSP: upgrade-insecure-requests — abgerufen 2026-05-29
• BSI TR-02102 — Kryptographische Verfahren (TLS) — abgerufen 2026-05-29
• Let's Encrypt — kostenlose TLS-Zertifikate — abgerufen 2026-05-29

Disclaimer: Allgemeine fachliche Information zum Zeitpunkt der Veröffentlichung. Kryptographische Empfehlungen ändern sich; maßgeblich ist die jeweils aktuelle Fassung der BSI TR-02102.