Wenn die Adresse einer Website mit https:// beginnt, arbeitet TLS im Hintergrund: HTTPS ist nichts anderes als HTTP über eine TLS-Verbindung. Dasselbe Protokoll schützt auch E-Mails (SMTP, IMAP), viele APIs und Datenbankverbindungen. Laut MDN bietet TLS drei Garantien: Verschlüsselung (ein Dritter kann den Verkehr nicht mitlesen), Integrität (er kann ihn nicht unbemerkt verändern) und Authentifizierung (der Server weist seine Identität mit seinem Zertifikat nach).
Von SSL zu TLS: die Versionen
SSL ist der Vorgänger von TLS. Der Name hat sich im Alltag gehalten (man sagt noch „SSL-Zertifikat“), doch alle seine Versionen sind längst aufgegeben:
| Version | Status | Referenzdokument |
|---|---|---|
| SSL 2.0 | Verboten | RFC 6176 (März 2011) |
| SSL 3.0 | Veraltet | RFC 7568 (Juni 2015) |
| TLS 1.0 und 1.1 | Veraltet | RFC 8996 (März 2021) |
| TLS 1.2 | Noch im Einsatz, gut konfiguriert akzeptabel | RFC 5246 |
| TLS 1.3 | Aktuelle und am weitesten verbreitete Version | RFC 8446 (August 2018), überarbeitet durch RFC 9846 (Juli 2026) |
RFC 9846 aktualisiert die Spezifikation von TLS 1.3, ohne die Versionsnummer zu ändern: Sie bleibt mit bestehenden Implementierungen kompatibel.
So läuft eine TLS-1.3-Verbindung ab
Bevor auch nur eine Seite übertragen wird, durchlaufen Browser und Server einen „Handshake“. Sie einigen sich auf Version und Algorithmen, tauschen aus, was sie zur Berechnung eines gemeinsamen Sitzungsschlüssels brauchen, und der Server beweist, dass er den privaten Schlüssel zu seinem Zertifikat besitzt.
TLS 1.3 hat gründlich aufgeräumt. Der statische Schlüsselaustausch per RSA und Diffie-Hellman ist verschwunden: Alle verbliebenen Verfahren bieten Forward Secrecy, sodass ein späterer Diebstahl des privaten Server-Schlüssels nicht erlaubt, aufgezeichnete Sitzungen zu entschlüsseln. Auch Kompression und Neuverhandlung wurden entfernt. Der 0-RTT-Modus erlaubt einem wiederkehrenden Client, schon in seiner ersten Nachricht Daten zu senden, um den Preis eines schwächeren Schutzes gegen Wiederholung.
Für WordPress
TLS wird auf Ebene des Webservers oder des CDN eingerichtet, nicht in WordPress. Beim Shared Hosting kümmert sich der Hoster darum, oft mit einem automatisch verlängerten Zertifikat von Let's Encrypt. In WordPress musst du trotzdem:
- unter Einstellungen, Allgemein die WordPress-Adresse und die Website-Adresse auf
https://umstellen; define( 'FORCE_SSL_ADMIN', true );in derwp-config.phpergänzen, um HTTPS für Anmeldung und Adminbereich zu erzwingen;- hinter einem Reverse Proxy dafür sorgen, dass WordPress den Header
X-Forwarded-Protoberücksichtigt, sonst droht eine Weiterleitungsschleife; - HTTP auf HTTPS umleiten (301-Weiterleitung) und danach HSTS in Betracht ziehen.
Wenn du deinen eigenen Server verwaltest, deaktiviere TLS 1.0 und 1.1 und nutze den SSL Configuration Generator von Mozilla, den MDN empfiehlt. Unser Leitfaden zu HTTPS in WordPress behandelt Umstellung, gemischte Inhalte und Zertifikate; der Beitrag zu HTTPS, HSTS und Google erklärt die Wirkung von HTTPS auf die Suchmaschinenoptimierung.
Wovor TLS nicht schützt
Das Schloss garantiert, dass die Verbindung verschlüsselt ist und der Server ein gültiges Zertifikat für diesen Domainnamen besitzt. Über die Seriosität der Website sagt es nichts: Eine Phishing-Seite kann problemlos per HTTPS ausgeliefert werden. Auch die Website selbst schützt TLS weder vor einem verwundbaren Plugin noch vor einem gestohlenen Passwort.