Webhosting 9 Min Lesezeit

SSL-Zertifikat mit Let's Encrypt einrichten – Anleitung 2026

SSL-Zertifikat mit Let's Encrypt 2026: Kostenlose TLS-Verschlüsselung für jede Website

Let's Encrypt hat die Welt der Web-Sicherheit revolutioniert, indem es kostenlose, automatisiert ausgestellte SSL/TLS-Zertifikate für jedermann zugänglich macht. Im Jahr 2026 ist die Verschlüsselung von Websites nicht mehr optional, sondern eine Grundvoraussetzung für seriöse Online-Präsenzen. Browser kennzeichnen unverschlüsselte Seiten als "Nicht sicher", Suchmaschinen werten HTTPS als Rankingfaktor und Nutzer erwarten eine sichere Datenübertragung.

Die gemeinnützige Zertifizierungsstelle (CA) mit Sitz in San Francisco wird von der Internet Security Research Group (ISRG) betrieben und hat bis heute über eine Milliarde Zertifikate ausgestellt. Die Zertifikate sind 90 Tage gültig und werden vollautomatisch über das ACME-Protokoll ausgestellt und verlängert.

In diesem Leitfaden erfährst du alles Wichtige über die Einrichtung, Erneuerung und optimale Nutzung von Let's Encrypt Zertifikaten auf verschiedenen Webservern und Hosting-Plattformen.

Was ist Let's Encrypt und wie funktioniert es?

Let's Encrypt ist eine offene, automatisierte und kostenlose Zertifizierungsstelle. Sie wurde ins Leben gerufen, um das Web flächendeckend mit HTTPS zu versorgen. Das technische Herzstück bildet das ACME-Protokoll (Automatic Certificate Management Environment), das in den Versionen ACME v2 standardisiert ist.

Bei der Zertifikatsanfrage überprüft Let's Encrypt die Kontrolle über die Domain, bevor ein Zertifikat ausgestellt wird. Dafür stehen verschiedene Challenge-Typen zur Verfügung, allen voran die HTTP-01-Challenge und die DNS-01-Challenge. Beide Methoden beweisen, dass der Antragsteller tatsächlich Zugriff auf die Domain hat.

Die ausgestellten Zertifikate sind bei allen gängigen Browsern, Betriebssystemen und Mobilgeräten ohne weitere Installation vertrauenswürdig, da das Root-Zertifikat "ISRG Root X1" und "ISRG Root X2" bereits in den Zertifikatsspeichern enthalten ist.

Voraussetzungen für die Nutzung von Let's Encrypt

Bevor du ein Let's Encrypt Zertifikat beantragen kannst, musst du einige technische Voraussetzungen erfüllen. Dazu gehört eine registrierte Domain, die auf deinen Server verweist. Außerdem benötigst du Zugriff auf den Webserver oder den DNS-Provider, um die Validierung durchführen zu können.

Die wichtigsten Voraussetzungen im Überblick:

VoraussetzungBeschreibungHinweis
Eigene DomainDu benötigst eine registrierte Domain mit Zugriff auf DNS-EinstellungenSubdomains inklusive
Erreichbarer ServerWebserver muss auf Port 80 (HTTP) und 443 (HTTPS) erreichbar seinAußer bei DNS-Challenge
ACME-ClientSoftware wie Certbot, acme.sh oder CaddyOpen Source
Shell-ZugriffRoot- oder sudo-Rechte auf Linux-SystemenBei Shared Hosting nicht nötig
API-ZugangBei DNS-01-Challenge: API-Token des DNS-ProvidersFür Wildcard-Zertifikate

Bei Shared-Hosting-Angeboten übernehmen in der Regel die Hosting-Provider die Einrichtung automatisch. Wer einen eigenen Server betreibt, muss die Einrichtung manuell vornehmen.

Installation und Nutzung von Certbot

Certbot ist das offizielle und am weitesten verbreitete ACME-Client-Tool der EFF (Electronic Frontier Foundation). Es unterstützt eine Vielzahl von Webservern und Linux-Distributionen und ermöglicht eine nahezu vollständig automatisierte Einrichtung.

Die Installation gestaltet sich je nach Distribution sehr einfach. Für Debian- und Ubuntu-Systeme genügt ein einzelner Befehl:

# Certbot unter Debian/Ubuntu installieren
sudo apt update
sudo apt install -y certbot python3-certbot-nginx

# Oder für Apache
sudo apt install -y certbot python3-certbot-apache

# Zertifikat für Nginx anfordern
sudo certbot --nginx -d example.com -d www.example.com

Certbot erkennt automatisch die Webserver-Konfiguration, fordert das Zertifikat an, führt die HTTP-01-Challenge durch und passt die Serverkonfiguration an. Innerhalb weniger Sekunden ist deine Website über HTTPS erreichbar.

Erstellung von Wildcard-Zertifikaten

Wildcard-Zertifikate decken eine Domain inklusive aller Subdomains ab und sind besonders praktisch für größere Webprojekte. Für die Ausstellung eines Wildcard-Zertifikats ist die DNS-01-Challenge zwingend erforderlich, da Let's Encrypt die unbegrenzte Anzahl von Subdomains nicht per HTTP validieren kann.

Die DNS-01-Challenge funktioniert, indem du einen speziellen TXT-Eintrag in der DNS-Zone deiner Domain hinterlegst. Certbot kann diesen Eintrag automatisch erstellen, sofern du entsprechende API-Zugangsdaten konfiguriert hast.

Hier ein Beispiel für Cloudflare:

# Cloudflare API-Credentials erstellen
mkdir -p ~/.secrets/certbot
echo "dns_cloudflare_api_token = DEIN_API_TOKEN" > ~/.secrets/certbot/cloudflare.ini
chmod 600 ~/.secrets/certbot/cloudflare.ini

# Wildcard-Zertifikat anfordern
sudo certbot certonly \
  --dns-cloudflare \
  --dns-cloudflare-credentials ~/.secrets/certbot/cloudflare.ini \
  -d "example.com" \
  -d "*.example.com"

Das resultierende Zertifikat deckt dann example.com, www.example.com, api.example.com, mail.example.com und beliebige weitere Subdomains ab.

Automatische Erneuerung einrichten

Let's Encrypt Zertifikate sind nur 90 Tage gültig. Diese kurze Laufzeit ist absichtlich gewählt, da sie die Sicherheit erhöht und den administrativen Aufwand für Sperrungen minimiert. Glücklicherweise übernimmt die Erneuerung ein Cronjob oder Systemd-Timer vollautomatisch.

Certbot installiert bei der Einrichtung unter Debian/Ubuntu automatisch einen entsprechenden Timer, der zweimal täglich prüft, ob Zertifikate erneuert werden müssen. Erneuerte Zertifikate werden umgehend in den Webserver geladen.

Manuelle Konfiguration mit Cronjob:

# Cronjob zur Erneuerung
0 3 * * * /usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"

# Erneuerung testen
sudo certbot renew --dry-run

Der Parameter --post-hook führt nach erfolgreicher Erneuerung einen Befehl aus, um den Webserver neu zu laden. Ohne diesen Schritt würde der Server weiterhin das alte Zertifikat verwenden.

Unterstützte ACME-Clients im Vergleich

Neben Certbot existieren zahlreiche weitere ACME-Clients, die jeweils unterschiedliche Stärken mitbringen. Die Wahl des richtigen Clients hängt von deinem Betriebssystem, deinem Webserver und deinen persönlichen Präferenzen ab.

ClientSpracheBesonderheitEmpfohlen für
CertbotPythonOffiziell, breite UnterstützungAllrounder
acme.shShellLeichtgewichtig, viele DNS-ProviderMinimale Systeme
CaddyGoIntegrierter Webserver mit Auto-HTTPSContainer-Setups
win-acmeC#Windows-Server-IntegrationWindows-Hosting
TraefikGoReverse Proxy mit Auto-TLSMicroservices
NGINX IngressGoKubernetes-IntegrationK8s-Cluster

Caddy und Traefik sind besonders interessant, da sie als Webserver oder Reverse Proxy fungieren und TLS-Zertifikate vollautomatisch verwalten, ohne dass manuelle Eingriffe notwendig sind.

Best Practices für SSL/TLS-Konfiguration

Ein gültiges Zertifikat allein reicht nicht aus, um eine optimale Sicherheit zu gewährleisten. Die TLS-Konfiguration des Webservers spielt eine ebenso wichtige Rolle. Veraltete Protokolle und schwache Cipher-Suites können die Verschlüsselung faktisch aushebeln.

Empfohlene Einstellungen für Nginx:

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305';
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1d;
ssl_session_tickets off;

# HSTS
add_header Strict-Transport-Security "max-age=63072000" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "no-referrer-when-downgrade" always;

Diese Konfiguration aktiviert nur TLS 1.2 und 1.3, deaktiviert unsichere Algorithmen und aktiviert HSTS, wodurch Browser zukünftige Verbindungen ausschließlich über HTTPS aufbauen.

Häufige Fehler und Troubleshooting

Trotz der weitgehenden Automatisierung kann es bei der Einrichtung von Let's Encrypt Zertifikaten zu Problemen kommen. Die häufigsten Fehler betreffen fehlgeschlagene Challenges, Rate-Limits und Probleme mit der Webserver-Konfiguration.

Die wichtigsten Rate-Limits, die du kennen solltest:

Bei der Fehlersuche helfen die offiziellen Community-Foren und das Debug-Log von Certbot. Mit certbot renew --dry-run -vvv erhältst du detaillierte Informationen über den Validierungsvorgang. Überprüfe außerdem, ob deine Firewall Verbindungen auf Port 80 nicht blockiert und ob dein DNS-Provider keine TTL-Probleme verursacht.

Let's Encrypt 2026: Aktuelle Entwicklungen

Im Jahr 2026 unterstützt Let's Encrypt neben RSA-2048 auch standardmäßig ECDSA-Zertifikate mit P-256-Kurven. Diese sind deutlich kleiner und schneller zu validieren, was besonders bei hochfrequentierten Websites Vorteile bringt. Die Branche bewegt sich klar Richtung ECDSA, da sie bei vergleichbarer Sicherheit deutlich effizienter ist.

Eine weitere wichtige Entwicklung ist die verkürzte Zertifikatslaufzeit. Während die maximale Gültigkeit früher 90 Tage betrug, könnten in Zukunft noch kürzere Intervalle eingeführt werden, um die Sicherheit weiter zu erhöhen. Wer also auf automatisierte Erneuerung setzt, ist bestens gerüstet.

Zusätzlich arbeitet Let's Encrypt an der besseren Integration von S/MIME-Zertifikaten für E-Mail-Verschlüsselung. Auch wenn diese Funktion derzeit noch in den Kinderschuhen steckt, könnte sie in den kommenden Jahren eine wichtige Rolle spielen.

Fazit: HTTPS ist Pflicht, Let's Encrypt macht es möglich

Let's Encrypt hat den SSL-Markt grundlegend demokratisiert. Was früher teure Zertifikate und komplizierte Einrichtungsprozesse erforderte, ist heute in wenigen Minuten erledigt. Für die meisten Websites ist Let's Encrypt die erste Wahl, sofern keine erweiterten Validierungsfunktionen wie Extended Validation (EV) benötigt werden.

Die Kombination aus kostenlosen Zertifikaten, vollautomatischer Erneuerung und breiter Browser-Unterstützung macht Let's Encrypt zur idealen Lösung für Privatanwender, kleine Unternehmen und große Konzerne gleichermaßen. Mit Certbot oder einem der vielen alternativen ACME-Clents gelingt die Einrichtung in Minutenschnelle.

Bei hostazar.com sind alle Hosting-Pakete mit kostenlosen Let's Encrypt Zertifikaten ausgestattet, die automatisch eingerichtet und verlängert werden. So profitierst du ohne zusätzlichen Aufwand von einer sicheren, modernen TLS-Verschlüsselung.

Hugo vs. Astro – Static Site Generator Hosting Vergleich 2026
Webhosting 06. June 2026 14 Min

Hugo vs. Astro – Static Site Generator Hosting Vergleich 2026

Hugo vs. Astro: Der große Static-Site-Generator-Vergleich 2026 ✓ Performance, Hosting, Lernkurve, Deployment & Use Cases. Welcher SSG passt zu dir?

Weiterlesen →

📖 Ähnliche Artikel