SSL-Zertifikat aufbauen

Kurzdefinition

Ein SSL-Zertifikat aufzubauen bedeutet, für eine Praxis-Website erstmals eine durchgängige TLS-Verschlüsselung einzurichten: Zertifikat bei einer Zertifizierungsstelle anfordern, Inhaberschaft der Domain nachweisen, es auf dem Server installieren und alle Adressen dauerhaft auf https umleiten. Am Ende steht eine Website, die ohne Warnhinweis erreichbar ist und Formulardaten verschlüsselt überträgt.

Auf einen Blick

• Art. 32 der Datenschutz-Grundverordnung verlangt Verschlüsselung personenbezogener Daten als technische Maßnahme, sobald eine Website solche Daten verarbeitet (Verordnung (EU) 2016/679)
• Die BSI-Richtlinie TR-02102-2 empfiehlt beim Aufbau TLS 1.3, hilfsweise TLS 1.2 bis Ende 2031 (BSI 2026)
• Ein neu ausgestelltes Zertifikat gilt aktuell höchstens 398 Tage (CA/Browser Forum 2025)
• Ende des II. Quartals 2025 waren 42.548 Vertragszahnärzte in Deutschland tätig (KZBV 2025), die weit überwiegende Mehrheit mit eigener Website

Einordnung

Der Aufbau eines SSL-Zertifikats ist von der Einrichtung der Website insgesamt zu unterscheiden. Domain, Hosting und Content-Management-System sind Voraussetzung, das Zertifikat setzt darauf auf und macht aus einer bereits bestehenden Website eine verschlüsselt erreichbare. Ohne Domain und Server gibt es nichts, wofür ein Zertifikat ausgestellt werden könnte.

Zertifizierungsstellen unterscheiden zudem drei Prüftiefen. Domain-validierte Zertifikate bestätigen ausschließlich, dass der Antragsteller über die Domain verfügt, und lassen sich weitgehend automatisiert ausstellen. Organisationsvalidierte und erweitert validierte Zertifikate prüfen zusätzlich die Existenz des Unternehmens dahinter, mit entsprechend längerem Ausstellungsprozess. In der Adressleiste aktueller Browser wirkt sich dieser Unterschied kaum noch sichtbar aus, weshalb die höhere Prüftiefe für die reine Absicherung einer Praxis-Website in den meisten Fällen keinen messbaren Zusatznutzen bringt.

Vom Beheben eines SSL-Fehlers unterscheidet sich der Aufbau durch den Ausgangspunkt: Es gibt noch keine funktionierende Verschlüsselung, die gestört wäre, sondern eine bewusste Entscheidung, sie erstmals einzurichten. Von der Pflege unterscheidet er sich durch die Wiederholung: Der Aufbau erfolgt einmalig, alles, was danach an Erneuerung und Kontrolle folgt, ist bereits laufender Betrieb.

Relevanz für die Praxis

Der Aufbau eines SSL-Zertifikats ist keine Ausstattungsfrage, sondern in vielen Fällen eine rechtliche Voraussetzung. Sobald eine Praxis-Website personenbezogene Daten verarbeitet, etwa über ein Kontaktformular, eine Terminanfrage oder ein Anamnese-Vorfeld, verlangt Art. 32 Abs. 1 Buchstabe a der Datenschutz-Grundverordnung deren Verschlüsselung als technische Schutzmaßnahme (Verordnung (EU) 2016/679). Eine Website ganz ohne Formular kann theoretisch informativ bleiben, praktisch verzichten aber die wenigsten Praxen auf jede Form der Kontaktaufnahme über die Website.

Ohne Zertifikat zeigt jeder aktuelle Browser vor dem ersten Seitenaufruf eine Warnung. Für eine Praxis bedeutet das, dass die Website bereits beim ersten Eindruck als unsicher markiert wird, lange bevor ein Patient die eigentlichen Inhalte sieht. In einem Umfeld von 42.548 Vertragszahnärzten Ende des II. Quartals 2025 (KZBV 2025) entscheidet dieser erste Eindruck mit, ob ein Suchender überhaupt weiterliest.

Für kieferorthopädische Praxen kommt hinzu, dass über die Website häufig besonders sensible Verlaufsdaten angebahnt werden, etwa Fotos für eine erste Einschätzung oder Angaben Minderjähriger über deren Erziehungsberechtigte. Wird das Zertifikat von Anfang an sauber aufgebaut, statt es nachträglich zu ergänzen, entsteht keine Übergangsphase, in der solche Daten ungeschützt anfallen könnten.

Was bei der Umsetzung zählt

Am Anfang steht die Klärung, für welche Adressvarianten die Website erreichbar sein soll, mit und ohne www, gegebenenfalls weitere Subdomains. Wird eine Variante beim Aufbau vergessen, entsteht später ein Zertifikatsfehler, sobald ein Patient über den vergessenen Pfad auf die Website gelangt.

Danach folgt die Wahl des Zertifikatstyps. Für die reine Absicherung einer Praxis-Website genügt in aller Regel ein domain-validiertes Zertifikat, die aufwendigere Prüfung eines organisations- oder erweitert validierten Zertifikats lohnt sich nur, wenn ein konkreter Grund dafür vorliegt. Für die Protokollversion selbst empfiehlt die BSI-Richtlinie TR-02102-2 TLS 1.3, mit TLS 1.2 als Ausweichoption, die nur noch bis Ende 2031 als empfohlen gilt (BSI 2026). Beide Versionen sollten von Anfang an aktiviert sein, ältere Protokolle dagegen von vornherein deaktiviert bleiben, statt sie erst nachträglich abzuschalten.

Ein oft unterschätzter Schritt ist die Automatisierung der Ausstellung von Anfang an. Wird das Zertifikat manuell bestellt und ohne automatisierten Erneuerungsprozess installiert, verlagert sich die eigentliche Herausforderung lediglich auf einen späteren Zeitpunkt. Ebenso gehört eine dauerhafte Weiterleitung sämtlicher unverschlüsselter Aufrufe auf die verschlüsselte Adresse zum Aufbau, nicht zu einem späteren Schritt, und alle internen Verweise auf Bilder, Skripte und Links sollten von Beginn an auf https zeigen, damit kein gemischter Inhalt entsteht.

Schließlich sollte vertraglich geklärt sein, wer beim Aufbau welche Verantwortung trägt, wenn eine externe Agentur oder ein Hosting-Anbieter beteiligt ist. Diese Klärung erspart später Streit darüber, wer für eine ausbleibende Erneuerung zuständig gewesen wäre.

Zahlen und Kontext

Zur Protokollwahl beim Aufbau liefert die BSI-Richtlinie TR-02102-2 klare Vorgaben: TLS 1.3 gilt als bevorzugt einzusetzende Version, für TLS 1.2 endet die Empfehlung nach derzeitigem Stand Ende 2031, TLS 1.0 und TLS 1.1 gelten bereits jetzt als nicht empfohlen (BSI 2026). Wer beim Aufbau nur TLS 1.2 aktiviert, ohne TLS 1.3 vorzusehen, baut damit von Anfang an eine Konfiguration auf, die absehbar nachgebessert werden muss.

Zur Gültigkeitsdauer des ausgestellten Zertifikats gilt aktuell eine Obergrenze von 398 Tagen. Das CA/Browser Forum hat am 11.04.2025 mit Ballot SC-081v3 beschlossen, diese Obergrenze zwischen März 2026 und März 2029 schrittweise auf 47 Tage abzusenken (CA/Browser Forum 2025). Ein Zertifikat, das beim Aufbau mit der aktuell noch möglichen längsten Laufzeit ausgestellt wird, deckt damit rechnerisch rund dreizehn Monate ab, eine eigene Umrechnung der 398 Tage, danach wird ohnehin eine Erneuerung fällig.

Zur Größe des Marktumfelds: Ende des II. Quartals 2025 waren 42.548 Vertragszahnärzte in Deutschland tätig, ein Rückgang von 2,1 Prozent gegenüber dem entsprechenden Vorjahresquartal. Unter Einbezug der bei ihnen und in MVZ angestellten Zahnärzte lag die Gesamtzahl Ende 2024 bei 62.874 (KZBV 2025).

Typische Fehler

Zertifikat nur für eine Adressvariante ausstellen Wird das Zertifikat nur für die Domain mit oder nur ohne www ausgestellt, erzeugt die jeweils andere, ebenfalls aufrufbare Variante eine Fehlermeldung, sobald ein Patient sie eingibt oder ein alter Link darauf verweist.

Einen aufwendigeren Zertifikatstyp wählen, ohne dass er gebraucht wird Ein organisations- oder erweitert validiertes Zertifikat kostet mehr Zeit bei der Ausstellung und meist auch mehr Geld, ohne dass sich der Unterschied in der Adressleiste heutiger Browser noch deutlich zeigt.

Interne Verweise nach der Umstellung weiter auf http verlinken Bleiben Bilder, Skripte oder Links im Quellcode auf die unverschlüsselte Adresse gesetzt, entsteht gemischter Inhalt, den Browser blockieren oder als unsicher kennzeichnen, obwohl das Zertifikat selbst korrekt installiert ist.

Die Weiterleitung von http auf https vergessen Ohne automatische Weiterleitung bleibt die unverschlüsselte Adresse parallel erreichbar, ältere Verlinkungen und Lesezeichen führen Patienten weiterhin auf die ungeschützte Variante.

Häufige Fragen

Braucht jede Praxis-Website ein SSL-Zertifikat, auch ohne Online-Formular? Auch eine rein informative Website profitiert vom fehlenden Warnhinweis im Browser. Sobald irgendeine Form der Dateneingabe hinzukommt, etwa ein Kontaktformular, wird die Verschlüsselung nach Art. 32 der Datenschutz-Grundverordnung zur technischen Pflicht (Verordnung (EU) 2016/679).

Was kostet der Aufbau eines SSL-Zertifikats? Das hängt stark vom gewählten Zertifikatstyp und Hosting-Anbieter ab. Domain-validierte Zertifikate werden von vielen Anbietern automatisiert und ohne gesonderte Kosten ausgestellt, für organisations- oder erweitert validierte Varianten fallen in der Regel zusätzliche Gebühren an. Eine allgemeingültige Zahl für zahnärztliche Praxen lässt sich daraus nicht ableiten.

Welcher Zertifikatstyp ist für eine Zahnarztpraxis sinnvoll? Für die reine Verschlüsselung genügt in aller Regel ein domain-validiertes Zertifikat. Eine höhere Prüftiefe lohnt sich nur bei einem konkreten, über die Verschlüsselung hinausgehenden Anlass.

Wie lange dauert die Einrichtung? Die technische Ausstellung eines domain-validierten Zertifikats ist bei automatisierten Verfahren häufig eine Frage von Minuten. Wie lange die gesamte Einrichtung samt Weiterleitung und Prüfung aller Adressvarianten dauert, hängt stark vom bestehenden Hosting ab und lässt sich nicht pauschal beziffern.

Muss man sich nach dem Aufbau noch weiter kümmern? Ja. Der Aufbau ist der einmalige erste Schritt, danach beginnt der laufende Betrieb mit Erneuerung, Überwachung und gegebenenfalls Anpassung an neue technische Empfehlungen.

Verwandte Begriffe

• SSL-Fehler beheben und optimieren: die Korrektur, wenn beim Aufbau etwas übersehen wurde oder sich der Zustand später verschlechtert
• SSL-Zertifikat optimieren: der Schritt nach dem Aufbau, der die Grundkonfiguration über die Mindestanforderung hinaus verbessert
• SSL-Zertifikat pflegen: der wiederkehrende Betrieb, der auf den einmaligen Aufbau folgt
• Praxis-Website Anforderungen Zahnarzt: die übergeordneten Grundfunktionen, zu denen ein aufgebautes Zertifikat zählt
• Online-Terminbuchung in die Website integrieren: ein typisches Formular, dessen Dateneingabe erst durch ein aufgebautes Zertifikat verschlüsselt wird

Quellen

1. Europäisches Parlament und Rat der Europäischen Union: Verordnung (EU) 2016/679 vom 27.04.2016 (Datenschutz-Grundverordnung), Art. 32 Sicherheit der Verarbeitung. ABl. L 119 vom 04.05.2016, S. 1. https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
2. Bundesamt für Sicherheit in der Informationstechnik (BSI): Technische Richtlinie TR-02102-2, Kryptographische Verfahren, Empfehlungen und Schlüssellängen, Teil 2, Verwendung von Transport Layer Security (TLS), Version 2026-01, Stand 27.01.2026. https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR02102/BSI-TR-02102-2.pdf?__blob=publicationFile
3. CA/Browser Forum: Ballot SC-081v3, Introduce Schedule of Reducing Validity and Data Reuse Periods, angenommen am 11.04.2025. https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/
4. Kassenzahnärztliche Bundesvereinigung (KZBV), Körperschaft des öffentlichen Rechts: Jahrbuch 2025, ISBN 978-3-944629-12-4. 2025. https://www.kzbv.de/wp-content/uploads/KZBV_Jahrbuch_2025_Web_ohne_GOZ.pdf

Unsicherheiten

Zu Kosten und Zeitaufwand des Aufbaus eines SSL-Zertifikats für eine durchschnittliche Zahnarztpraxis in Deutschland liegen keine belastbaren, quellengestützten Erhebungen vor, die Angaben schwanken zu stark zwischen Hosting-Anbietern. Ebenso ließ sich keine Statistik dazu finden, wie viele zahnärztliche Websites in Deutschland aktuell ohne gültiges Zertifikat betrieben werden. Der Stand der technischen Empfehlungen entspricht dem 22.07.2026.