„Fast jede zweite Website verschlüsselt schlampig" wäre eine gute Schlagzeile, und sie stimmt sogar. Aber sie führt in die Irre, wenn man dabei an abgelaufene Zertifikate und Browserwarnungen denkt. Die gibt es kaum noch. Was es massenhaft gibt, ist etwas Unauffälligeres: Websites, die unter www.beispiel.de sauber verschlüsselt laufen und unter beispiel.de nicht, oder die unter HTTP einfach weiter ausliefern, statt umzuleiten. Der Besucher merkt nichts. Genau das ist das Problem.
1.994.970 geprüfte Websites
davon 77 % nur Umleitungs- und www-Probleme
das Let's-Encrypt-Zeitalter hat dieses Problem gelöst
Wie wir gemessen haben
Der TLS-Check braucht keinen Browser. Er verbindet sich mit jeder Website auf vier Wegen – http://, https://, jeweils mit und ohne www – und folgt den Weiterleitungen bis zum Ende. Dabei prüft er 15 Punkte: Erreichbarkeit über HTTPS, Gültigkeit, Laufzeit, Hostname-Abdeckung und Kette des Zertifikats, TLS-Version, Cipher, Schlüsselstärke, Signaturverfahren, Sperrstatus, HSTS, die Umleitung von HTTP auf HTTPS, die Sauberkeit der Weiterleitungskette und die Frage, ob www und ohne-www auf dieselbe kanonische Adresse führen. Maßstab sind Art. 32 DSGVO (Stand der Technik) und die Technische Richtlinie TR-02102-2 des BSI.
Grundlage sind 1.994.970 Websites des .de-Bestands mit auswertbarem Check zwischen dem 8. August und dem 5. September 2026. Ein Befund ist kritisch, wenn er Vertraulichkeit oder Echtheit der Verbindung direkt betrifft; wichtig, wenn er den Stand der Technik verfehlt; eine Empfehlung, wenn er nur die Härtung betrifft und deshalb nie in die Gesamtbewertung eingeht.
Die Befunde im Einzelnen
Anteil der Websites, bei denen der jeweilige Prüfpunkt fehlschlägt, auf einer Zufallsstichprobe von 245.648 Websites aus dem Bestand. HSTS ist eine Empfehlung und zählt nicht als Mangel.
www und ohne-www inkonsistent (29,3 %, kritisch). Der häufigste kritische Befund. Die beiden Schreibweisen einer Domain führen nicht auf dieselbe Adresse: Eine antwortet, die andere nicht; eine ist verschlüsselt, die andere nicht; oder beide liefern die Seite aus, ohne aufeinander zu verweisen. Praktisch heißt das oft: Wer die Domain ohne www in die Adresszeile tippt, bekommt entweder eine Zertifikatswarnung, eine leere Seite oder eine unverschlüsselte Verbindung. Der Betreiber sieht das nie, weil sein Lesezeichen die funktionierende Variante hat.
HTTP leitet nicht auf HTTPS um (16,7 %, kritisch). HTTPS funktioniert, aber HTTP auch. Ein alter Link, eine Visitenkarte, eine E-Mail-Signatur – und der Besucher landet auf der unverschlüsselten Fassung, die dieselben Formulare hat. Ein Zertifikat, das niemanden zwingt, es zu benutzen, schützt nur die, die ohnehin wissen, was sie tun.
Veraltetes TLS 1.0 oder 1.1 (8,9 %, wichtig). Der Server akzeptiert noch Protokollversionen, die seit 2021 als unsicher gelten. Kein aktueller Browser nutzt sie; das Risiko liegt in Downgrade-Angriffen und in der Aussage, die es über die Wartung des Servers macht.
Zertifikat deckt die Domain nicht (5,6 %, kritisch). Das Zertifikat ist für www ausgestellt, die Seite antwortet auch ohne, oder umgekehrt. Das ist die Zwillingsschwester der www-Inkonsistenz und erzeugt die einzige sichtbare Warnung in dieser Liste.
Die Zertifikate selbst sind in Ordnung. Abgelaufen 1,3 %, Kette nicht vertrauenswürdig 2,5 %, HTTPS gar nicht erreichbar 0,16 %. Zusammen mit dem Hostname-Befund sind Zertifikatsprobleme für 21,8 % der kritischen Websites verantwortlich, das sind 7,6 % aller Websites. Vor zehn Jahren wäre das die ganze Geschichte gewesen. Automatisierte Ausstellung und Verlängerung haben sie beendet.
HSTS fehlt (68,4 %, Empfehlung). Der Header, der dem Browser sagt, diese Seite künftig nur noch verschlüsselt anzufordern, fehlt auf zwei Dritteln der Websites. Wir zählen das nicht als Mangel, weil es eine Härtung ist, keine Pflicht. Es ist aber die billigste Zeile Konfiguration im ganzen Katalog.
Was „kritisch" hier wirklich heißt
34,5 % der Websites haben einen kritischen Befund. Wir haben nachgesehen, woraus er besteht: Bei 41,7 % der kritischen Websites ist die www-Inkonsistenz der einzige kritische Punkt. Bei 77,4 % sind es ausschließlich www-Inkonsistenz und fehlende HTTP-Umleitung. Nur bei 21,8 % steckt ein Zertifikatsproblem dahinter.
Das ändert die Geschichte. Das Web hat gelernt, Zertifikate zu erneuern, aber nicht, Umleitungen zu setzen. Die kritischen Befunde sind in der großen Mehrheit zwei Zeilen Serverkonfiguration: „alles auf HTTPS" und „alles auf eine Schreibweise". Es ist kein Sicherheitsverfall, es ist Unvollständigkeit. Wer die 43,9 % als „schlampige Verschlüsselung" liest, liegt technisch nicht falsch, aber er lässt den Leser an Warnschilder denken, wo in Wirklichkeit offene Seitentüren sind.
Warum das Datenschutz ist und nicht nur Technik
Art. 32 DSGVO verlangt Sicherheit der Verarbeitung nach dem Stand der Technik, und die Transportverschlüsselung ist seit Jahren dessen Minimum. Eine Website mit Kontaktformular, die unter HTTP weiter ausliefert, überträgt Namen und Anliegen ihrer Besucher im Klartext, sobald einer über den falschen Link kommt. Dass das selten passiert, ist kein Argument; die Norm fragt nach der Möglichkeit, nicht nach der Häufigkeit. Die Aufsichtsbehörden haben unverschlüsselte Formulare wiederholt beanstandet, und es ist der Befund, den ein Prüfer in fünf Sekunden reproduzieren kann.
Was diese Zahlen nicht sagen
- Nicht „44 % sind unsicher". Die Mehrheit der Befunde betrifft Umleitungen, nicht die Verschlüsselung der Verbindung, die ein Besucher tatsächlich nutzt. Wer die richtige Adresse aufruft, ist auf den meisten dieser Websites sauber verschlüsselt.
- Vier Zugangswege, eine Startseite. Der Check prüft die Domain, nicht jede Unterseite. Ein Formular, das auf einer Unterseite unverschlüsselt abschickt, meldet der Formular-Check, nicht dieser.
- Der Bestand ist keine Zufallsstichprobe aller .de-Domains. Kleine und mittlere Unternehmensseiten dominieren, Großunternehmen mit eigener IT sind unterrepräsentiert; dort sind die Quoten vermutlich besser.
- Momentaufnahme. Zertifikate laufen ab und werden erneuert; die 1,3 % sind ein Tageswert, kein Zustand.
Für Agenturen: die zwei Zeilen
- Alles auf HTTPS. Eine permanente Umleitung von http:// auf https://, für beide Schreibweisen. Bei den meisten Hostern ein Schalter, sonst drei Zeilen in der Serverkonfiguration.
- Alles auf eine Schreibweise. Entscheiden, ob mit oder ohne www, die andere Variante dauerhaft dorthin umleiten, und das Zertifikat für beide ausstellen lassen.
- Dann HSTS. Ein Header, ein Jahr Gültigkeit, und der Browser kommt nie wieder über HTTP.
- TLS 1.0 und 1.1 abschalten. Bei gemanagtem Hosting ein Ticket, sonst eine Zeile.
Das ist für ein ganzes Kundenportfolio an einem Nachmittag erledigt, und es ist der Befund, mit dem ein Datenschutz-Audit am wenigsten Widerspruch erzeugt: Niemand verteidigt eine fehlende Umleitung. Wie der SSL-Check die vier Zugangswege prüft und warum eine vorübergehende Weiterleitung nicht als Mangel gilt, steht in der Produktdokumentation.
Häufige Fragen
Wie viele deutsche Websites haben Probleme mit der Verschlüsselung?
In unserer Auswertung von 1.994.970 .de-Websites (August/September 2026) haben 43,9 % mindestens einen TLS-Mangel und 34,5 % einen kritischen Befund. Abgelaufene Zertifikate sind mit 1,3 % selten; die Masse der kritischen Befunde sind fehlende Umleitungen von HTTP auf HTTPS (16,7 %) und Domains, deren www- und Nicht-www-Variante nicht auf dieselbe Adresse führen (29,3 %).
Was bedeutet www-Inkonsistenz?
Die Schreibweisen www.beispiel.de und beispiel.de führen nicht auf dieselbe kanonische Adresse: Eine antwortet nicht, eine ist unverschlüsselt, das Zertifikat deckt nur eine, oder beide liefern die Seite unabhängig voneinander aus. Wer die falsche Variante eintippt, bekommt eine Warnung, eine leere Seite oder eine unverschlüsselte Verbindung. Die Lösung ist eine dauerhafte Umleitung auf eine Schreibweise und ein Zertifikat für beide.
Ist eine fehlende HTTPS-Umleitung ein DSGVO-Verstoß?
Art. 32 DSGVO verlangt Sicherheit der Verarbeitung nach dem Stand der Technik, und Transportverschlüsselung gehört dazu. Eine Website, die unter HTTP weiter ausliefert, überträgt Formulareingaben im Klartext, sobald ein Besucher über einen alten Link kommt. Ob das im Einzelfall beanstandet wird, hängt von den verarbeiteten Daten ab; die Behebung ist eine Umleitungsregel. Dieser Artikel ist keine Rechtsberatung.
Was ist HSTS und brauche ich es?
HTTP Strict Transport Security ist ein Antwort-Header, der dem Browser sagt, die Seite künftig nur noch verschlüsselt anzufordern. Er fehlt auf 68,4 % der geprüften Websites. Er ist keine Pflicht, sondern eine Härtungsempfehlung des BSI; wir zählen ihn deshalb nicht als Mangel. Er kostet eine Zeile Konfiguration.
Wie wurde geprüft?
Ohne Browser: Der Check verbindet sich mit jeder Domain über http und https, jeweils mit und ohne www, folgt den Weiterleitungen und prüft 15 Punkte zu Zertifikat, Protokoll, Umleitungen und Härtung nach Art. 32 DSGVO und BSI TR-02102-2. Eine vorübergehende Weiterleitung zur Kanonisierung gilt nicht als Mangel. Unsichere Fälle werden zur manuellen Prüfung markiert.