HTTPS und SEO: Warum das SSL-Zertifikat kein Ranking-Booster ist

„Wir haben jetzt SSL, das hilft beim Ranking.“ Dieser Satz ist so alt wie das Zertifikat selbst und so unzutreffend wie am ersten Tag. HTTPS ist ein bestätigter Ranking-Faktor – aber einer, den Google selbst so klein beschrieben hat, dass er in der Praxis keine Rolle spielt.

Was Google tatsächlich gesagt hat

Die Ankündigung stammt aus dem August 2014. Google beschrieb HTTPS darin als „nur ein sehr leichtes Signal“, das „weniger als 1 % der globalen Suchanfragen“ betreffe und „weniger Gewicht trägt als andere Signale wie hochwertige Inhalte“.

Neun Jahre später wurde John Mueller von Google direkter. Auf die Behauptung, ein SSL-Zertifikat verbessere die SEO einer Website, antwortete er im Mai 2023: „this does not ‚Boost your website’s SEO‘, sorry.“

Beides zusammen ergibt ein klares Bild. HTTPS war 2014 ein Anreiz, die Umstellung überhaupt anzugehen. Heute, wo faktisch jede Website verschlüsselt ausliefert, entsteht daraus kein Wettbewerbsvorteil – ein Vorteil, den alle haben, ist keiner.

Der eigentliche Grund für HTTPS

Er hat mit Suchmaschinen wenig zu tun:

• Browser-Warnungen. Chrome und Firefox markieren unverschlüsselte Seiten mit Formularfeldern als nicht sicher. Ein Kontaktformular hinter dieser Warnung wird nicht ausgefüllt.
• Datenschutz. Wer personenbezogene Daten über ein Formular entgegennimmt, muss sie nach dem Stand der Technik schützen. Unverschlüsselte Übertragung ist das nicht.
• Moderne Web-Funktionen. Ein großer Teil der Browser-APIs – von Geolocation bis Service Worker – funktioniert ausschließlich über HTTPS.
• Referrer-Daten. Beim Wechsel von HTTPS zu HTTP geht die Referrer-Information verloren. In der Webanalyse tauchen Besucher dann als Direktzugriffe auf.

Wo bei der Umstellung wirklich Sichtbarkeit verloren geht

Der Schaden entsteht nie durch das Zertifikat, sondern durch die Umsetzung drumherum.

Besonders die erste Zeile wird unterschätzt. Wer im Zuge eines Relaunchs gleichzeitig auf HTTPS und auf eine neue URL-Struktur wechselt, hat schnell drei aufeinanderfolgende Weiterleitungen pro Aufruf. Das ist technisch zulässig, aber vermeidbar – und die Summe solcher Kleinigkeiten ist der Grund, warum Relaunches Sichtbarkeit kosten.

Welches Zertifikat?

Für die Suche ist das irrelevant. Google unterscheidet nicht nach Aussteller oder Validierungsstufe. Die praktischen Unterschiede:

• Domain Validation (DV), etwa über Let’s Encrypt oder im Hosting-Paket enthalten: prüft nur die Kontrolle über die Domain. Für die allermeisten Websites ausreichend.
• Organization Validation (OV): prüft zusätzlich die Existenz des Unternehmens. Relevant, wenn interne Richtlinien es verlangen.
• Extended Validation (EV): aufwendigste Prüfung. Die frühere grüne Adressleiste zeigen Browser seit Jahren nicht mehr an – der sichtbare Vorteil ist entfallen.

Wichtiger als der Typ ist die automatische Verlängerung. Ein abgelaufenes Zertifikat nimmt eine Website vollständig vom Netz, und zwar für Besucher wie für Crawler. Das ist der einzige HTTPS-bezogene Vorfall, der tatsächlich Rankings kostet – weil er kein Signal betrifft, sondern die Erreichbarkeit.

HSTS: nützlich, aber mit Bedacht

Der HTTP-Header Strict-Transport-Security weist Browser an, die Domain künftig ausschließlich über HTTPS anzusprechen. Die erste Weiterleitung entfällt damit für wiederkehrende Besucher.

Der Haken: Die Anweisung gilt für die angegebene Dauer und lässt sich nicht ohne Weiteres zurücknehmen. Wer HSTS mit langer Laufzeit und includeSubDomains setzt und später eine Subdomain ohne Zertifikat braucht, hat ein Problem, das nur über das Ablaufen der Frist verschwindet. Sinnvoll ist ein schrittweises Vorgehen: kurze Laufzeit setzen, beobachten, dann erhöhen. Zur Absicherung der Installation selbst gehört mehr als der Header – siehe WordPress-Sicherheit.

Die Checkliste nach der Umstellung

1. Alle vier Varianten aufrufen (http, https, jeweils mit und ohne www) – jede muss mit genau einer 301 auf der finalen Adresse landen.
2. Eine Unterseite im Browser öffnen und die Entwicklerkonsole auf Mixed-Content-Warnungen prüfen.
3. Canonical-Angaben im Quelltext stichprobenartig kontrollieren.
4. Sitemap neu erzeugen, in der Search Console einreichen.
5. Domain-Property in der Search Console anlegen, damit HTTP- und HTTPS-Daten zusammenlaufen.
6. Kalendereintrag für das Zertifikatsablaufdatum – auch bei automatischer Verlängerung.

Danach ist HTTPS erledigt und kein Thema mehr. Es ist Infrastruktur, keine Optimierung. Wer Zeit in Sichtbarkeit investieren will, findet sie in den Core Web Vitals, in der internen Verlinkung und in besseren Inhalten – nicht im Zertifikat.