Wie diese Prüfung funktioniert
Scanaris öffnet eine TLS-Verbindung zu deiner Domain, so wie ein Browser es tun würde, und liest das Zertifikat, das der Server zurückgibt, sowie das ausgehandelte Protokoll. Vier Befunde können dabei herauskommen. Wird die Seite nicht über HTTPS ausgeliefert, ist der Schweregrad hoch. Ist das Zertifikat bereits abgelaufen, kritisch. Läuft es in 15 Tagen oder weniger ab, hoch; in 30 oder weniger, mittel. Und wenn der Server bereit ist, TLS 1.0 oder 1.1 auszuhandeln, mittel, weil das ausgemusterte Protokolle sind, die moderne Browser ablehnen und die bekannte Angriffe erlauben. Cipher-Suites und die Zertifikatskette werden hier nicht im Detail bewertet; das Ziel ist, zu erkennen, was deine Seite kaputt macht oder sie ohne echte Verschlüsselung lässt.
Warum das wichtig ist
Ein abgelaufenes Zertifikat ist keine dezente Warnung: Der Browser zeigt eine rote Vollbildseite, und die meisten Besucher gehen wieder. Zahlungsanbieter und API-Integrationen scheitern sofort. Und es ist der häufigste Ausfall von allen, weil ein Let's-Encrypt-Zertifikat 90 Tage gilt, das heute erlaubte Maximum 398 Tage beträgt und die Branche vereinbart hat, es bis 2029 auf 47 Tage zu senken: Ohne automatische Erneuerung läuft es früher oder später an einem Wochenende ab. Alte Protokolle sind das andere Problem: Ein Server, der TLS 1.0 akzeptiert, erlaubt einem Angreifer im selben Netz, diese Version zu erzwingen und den Verkehr zu entschlüsseln.
So behebst du es
Abgelaufenes oder bald ablaufendes Zertifikat
- Auf Vercel, Netlify, Cloudflare, Railway oder Render wird das Zertifikat von allein ausgestellt und erneuert. Wenn du diesen Befund dort siehst, zeigt die Domain fast immer woandershin oder die Domainverifizierung ist gescheitert: Prüf die DNS-Einträge im Dashboard.
- Auf deinem eigenen Server nutzt du einen ACME-Client (certbot oder den deines Panels) mit geplanter Erneuerung und prüfst, dass der Job aktiv ist:
certbot renew --dry-rundarf keinen Fehler ausgeben. - Richte eine externe Warnung ein. Die automatische Erneuerung scheitert still, wenn sich das DNS ändert oder ein Token abläuft. Scanaris warnt dich per E-Mail 30, 14 und 3 Tage vorher.
Veraltete Protokolle
In nginx: ssl_protocols TLSv1.2 TLSv1.3;. In Apache: SSLProtocol -all +TLSv1.2 +TLSv1.3. Bei einem Load Balancer von AWS oder Google wählst du eine moderne Sicherheitsrichtlinie. Managed Plattformen machen das schon.
Kein HTTPS
Aktiviere das Zertifikat bei deinem Hoster (meist ein Häkchen) und dann die Weiterleitung von HTTP auf HTTPS, die die Prüfung HTTPS-Weiterleitung misst.
Prüf, ob es behoben ist
echo | openssl s_client -connect deinedomain.de:443 -servername deinedomain.de 2>/dev/null | openssl x509 -noout -dates
echo | openssl s_client -connect deinedomain.de:443 -servername deinedomain.de -tls1_1 2>&1 | grep -iE "alert|error|no protocols" | head -1Der erste Befehl zeigt das Ablaufdatum; der zweite versucht eine Verbindung mit TLS 1.1 und muss scheitern. Was jeder Teil der TLS-Note bedeutet, steht in was deine TLS-Note wirklich bedeutet.
Häufige Fragen
Mein Hoster erneuert automatisch. Warum diese Warnung?
Weil bei dieser Erneuerung etwas gescheitert ist: ein geänderter DNS-Eintrag, eine Domain, die nicht mehr auf die Plattform zeigt, oder ein Ausstellungslimit. Öffne das Dashboard des Hosters und schau dir den Zertifikatsstatus der Domain an.
Ist ein kostenloses Zertifikat schlechter?
Nein. Es verschlüsselt genauso wie ein bezahltes. Bezahlte fügen eine Organisationsprüfung oder Garantien hinzu, nicht mehr Sicherheit in der Verbindung.
Soll ich TLS 1.2 auch abschalten?
Nein. Richtig konfiguriertes TLS 1.2 ist weiterhin sicher und für manche Clients nötig. Entfernen musst du 1.0 und 1.1.