Wo SSL-Zertifikate wirklich gekauft werden: Was unsere Daten über globales Vertrauen verraten

HTTPS wird heute im Internet standardmäßig erwartet. Aber während die Verschlüsselung zur Grundvoraussetzung für die Online-Sicherheit geworden ist, gilt dies nicht für die Bezahlung von SSL-Zertifikaten.

Wir von SSL Dragon wissen genau, wo SSL-Zertifikate tatsächlich gekauft werden, und möchten Ihnen einen einzigartigen Einblick in die geografische Verteilung der bezahlten Verschlüsselung geben.

In unseren Daten entfallen auf ein einziges Land fast 38% aller bezahlten SSL-Käufe. Die zehn wichtigsten Länder kontrollieren über 67%. HTTPS mag universell sein, aber das bezahlte Vertrauen ist stark konzentriert.

Lassen Sie uns einen genaueren Blick darauf werfen, was die globale Karte von Paid SSL wirklich zeigt.

---

Inhaltsübersicht

1. Was unsere Zahlen zeigen (und was sie nicht zeigen)
2. Das wichtigste Ergebnis: Bezahltes Vertrauen bündelt sich hart
3. Kunden und Dienstleistungen: Zwei sehr unterschiedliche Geschichten
4. Die Länder, die „falsch“ aussehen, sind am interessantesten
5. Was bedeutet das für Teams, die Zertifikate verwalten?

---

Anmerkung zur Methodik

• Datenquelle: Anonymisierte Betriebsdaten von SSL Dragon
• Umfang: nur bezahlte SSL-Zertifikate
• Metriken: aktive Kunden und aktive Dienste
• Daten-Schnappschuss: Januar 2026
• Ausgeschlossen sind: von der Plattform ausgestellte Zertifikate (CDN Auto-SSL, Hosting-Bundles, Let’s Encrypt usw.)

---

Was unsere Zahlen zeigen (und was sie nicht zeigen)

Diese Zahlen beziehen sich nicht auf die SSL-Nutzung. HTTPS ist bereits überall. Die meisten Websites werden mit Zertifikaten betrieben, die automatisch von Hosting-Anbietern, CDNs und Cloud-Plattformen ausgestellt werden. Diese Aktivität taucht in unseren Daten nicht auf. Was sie zeigen, ist etwas viel Spezifischeres:

• Wo Unternehmen noch Zertifikate kaufen
• Wo sie die Validierung noch selbst verwalten
• Wenn die Handhabung von Zertifikaten als operative Aufgabe und nicht als Plattformfunktion behandelt wird

Mit anderen Worten, es handelt sich nicht um Adoptionszahlen. Es ist das Kaufverhalten.

Die Daten spiegeln zwei verschiedene Dimensionen wider:

• Aktive Kunden – wie viele Organisationen kaufen Zertifikate
• Aktive Dienste – wie viele Zertifikate aktiv eingesetzt werden

Zusammen zeigen sie sowohl die Nachfrage als auch den operativen Umfang.

Hohe Zahlen bedeuten hier:

• Benutzerdefinierte Infrastruktur
• Selbstverwaltete Server oder Lastverteiler
• Interne Compliance- oder Audit-Anforderungen
• Notwendigkeit einer strengeren Kontrolle über Ausgabe und Einsatz

Niedrige Zahlen bedeuten:

• Starke Nutzung von Managed Hosting
• In Plattformen gebündelte Zertifikate
• Vertrauen in die Infrastruktur Dritter

Ein hohes Ranking deutet auf Märkte hin, in denen Unternehmen immer noch ihre eigene Infrastruktur betreiben und das Vertrauen aktiv verwalten. Ein niedriges Ranking spiegelt in der Regel Umgebungen wider, in denen sich diese Verantwortung bereits auf Plattformen und verwaltete Dienste verlagert hat.

Das Land, das mit einem Kauf verbunden ist, stimmt nicht immer mit dem Land überein, in dem ein Zertifikat eingesetzt wird. Agenturen, Hosting-Anbieter und zentralisierte IT-Teams verwalten Zertifikate oft als ausgelagerten Service für eine Infrastruktur, die ihnen nicht direkt gehört.

Das macht das Bild nicht unscharf. Es schärft es und zeigt, wo das Eigentum und die operative Kontrolle über die Zertifikate wirklich liegen.

---

Das wichtigste Ergebnis: Bezahltes Vertrauen bündelt sich hart

Wenn Sie einen Schritt zurücktreten und sich die Verteilung der bezahlten SSL-Nachfrage ansehen, können Sie eine Tatsache nicht ignorieren: Sie ist nicht gleichmäßig verteilt. Sie konzentriert sich aggressiv.

Allein auf die zehn wichtigsten Länder entfallen etwa 67% aller aktiven zahlenden Kunden.

Das bedeutet, dass zwei Drittel der weltweiten SSL-Bestellungen von einem sehr kleinen Teil der Welt stammen. Noch bemerkenswerter ist, dass die Vereinigten Staaten allein fast 38% aller zahlenden Organisationen ausmachen. In einem Land werden mehr bezahlte Trust-Aktivitäten durchgeführt als im Rest der Welt zusammen. So sieht ein „globaler“ Markt nicht aus.

Wenn SSL-Zertifikate nur aufgrund technischer Notwendigkeiten gekauft würden, wäre diese Verteilung flacher. Websites und Unternehmen gibt es überall. HTTPS ist so gut wie obligatorisch, aber bezahltes Vertrauen ist es nicht. Es hängt von etwas viel Engerem ab: wem seine Infrastruktur noch gehört und wer sie an Plattformen übergeben hat.

Die Märkte, in denen die kommerzielle SSL-Nutzung dominiert, sind in der Regel dort, wo Unternehmen noch ihre eigenen Server betreiben, ihre eigenen Load Balancer verwalten und interne Compliance-Prozesse durchführen.

Im Gegensatz dazu hat sich die Verwaltung von Zertifikaten in den meisten Regionen auf Plattformen verlagert. Hosting-Anbieter, CDNs, SaaS-Produkte und Cloud-Dienste beenden SSL automatisch. Aus diesem Grund ist die Nachfragekurve steil. Nach den ersten paar Ländern nehmen die bezahlten SSL-Aktivitäten drastisch ab.

Die Vereinigten Staaten und das Vereinigte Königreich dominieren, weil sie ein riesiges Volumen an selbstverwalteter Infrastruktur, Unternehmenssystemen und Umgebungen, die auf die Einhaltung von Vorschriften angewiesen sind, beherbergen.

Es folgt eine zweite Reihe von Ländern, in der Regel fortgeschrittene Volkswirtschaften mit einem starken SaaS-, Finanz- und Technologiesektor. Danach kollabiert die Kurve in einen langen Schwanz, in dem der Besitz von bezahlten Zertifikaten selten wird.

Wo sich zahlende Kunden konzentrieren

Wenn Sie sich die Top-Länder nach aktiven zahlenden Kunden ansehen, werden drei Dinge sofort deutlich:

• Ein Markt kontrolliert alles andere. Die Vereinigten Staaten definieren den Maßstab für den gesamten Datensatz.
• Ein kleiner europäischer Kern folgt. Großbritannien, Deutschland, Frankreich und eine Handvoll anderer Länder bilden eine zweite Gruppe von operativen Eigentümern.
• Nach der obersten Stufe nimmt die Nutzung von kostenpflichtigem SSL stark ab. Die meisten Länder tragen im Vergleich dazu nur geringe Mengen bei.

Dieser steile Rückgang ist die Signatur eines operativen Marktes, nicht eines Verbrauchermarktes.

In der Praxis bedeutet dies:

• Das Kaufverhalten bei Zertifikaten entspricht nicht dem der Bevölkerung.
• Sie ist nicht mit der Internetnutzung verknüpft.
• Sie ist nicht mit der Anzahl der Websites verknüpft.

Aus diesem Grund ist die Vorstellung von SSL als „globaler Ware“ irreführend. Die Verschlüsselungsschicht mag universell sein, aber der Besitz von Vertrauen ist es nicht. Das ist es, was Ihre Zahlen eigentlich aussagen.

---

Kunden und Dienstleistungen: Zwei sehr unterschiedliche Geschichten

Bis jetzt haben wir uns angesehen, wo Zertifikate gekauft werden. Aber der Kauf eines Zertifikats ist nur der Anfang der Geschichte.

Was wirklich wichtig ist, ist das, was danach passiert: wie viele Zertifikate in der Produktion bereitgestellt, gewartet, rotiert und am Leben erhalten werden.

Hier kommt der zweite Blickwinkel ins Spiel: Aktive Clients vs. Aktive Dienste.

Sie messen unterschiedliche Dinge:

• Aktive Kunden sagen uns, wie viele Organisationen Zertifikate kaufen.
• Aktive Dienste zeigen an, wie viele Zertifikate tatsächlich in Betrieb sind.

Die eine zeigt die Nachfrage. Die andere – die betriebliche Auslastung. Und diese beiden wachsen nicht immer mit der gleichen Rate.

In einigen Ländern kaufen viele Organisationen jeweils ein oder zwei Zertifikate. In anderen Ländern betreiben einige wenige Unternehmen Dutzende, Hunderte oder sogar Tausende von aktiven Zertifikaten.

Aus operativer Sicht verhalten sich diese Märkte völlig unterschiedlich. Bei dem einen geht es um das Volumen der Käufer. Bei dem anderen geht es um den Umfang der Infrastruktur.

Hier wird die Verwaltung von Zertifikaten zu einem Systemproblem.

Viele aktive Clients bei wenig aktiven Diensten bedeutet normalerweise:

• Viele kleine Käufer
• Einfachere Umgebungen
• Begrenzte Komplexität der Infrastruktur

Wenig aktive Clients mit vielen aktiven Diensten bedeutet normalerweise:

• Weniger Organisationen
• Schwere Automatisierung
• Zentralisierte Infrastruktur
• Massiver Erneuerungsdruck

Die zweite Gruppe ist der Bereich, in dem Zertifikatsoperationen anfällig werden:

• Ausfälle bei der Erneuerung häufen sich
• Kaskade von Implementierungsfehlern
• Überwachung wird entscheidend
• Kleine Fehler haben eine große Wirkung.

Wenn Sie sich die aktiven Dienste ansehen, bilden Sie nicht mehr ab, wo Zertifikate gekauft werden, sondern wo die Vertrauensinfrastruktur in großem Umfang betrieben wird.

Wo Zertifikatsgeschäfte skaliert werden

Dieses Diagramm zeigt die wichtigsten Länder nach Active Services. Mit anderen Worten: wo die größten Zertifikat-Workloads tatsächlich leben.

Dies ist kein Spiegelbild der Kundenkarte. Einige Länder, die bei den Käufern ganz oben stehen, fallen hier nach unten.

Andere springen nach oben, weil eine kleinere Anzahl von Organisationen viel mehr Zertifikate betreibt.

Dieser Unterschied ist wichtig, denn er verändert den Ort, an dem sich das SSL-Automatisierungsrisiko kumuliert und Ausfälle systemisch statt isoliert werden. Dies ist das operative Herzstück des SSL-Ökosystems.

• Einige Märkte kaufen Zertifikate auf breiter Basis, betreiben sie aber mit wenig Aufwand.
• Andere kaufen weniger Zertifikate, betreiben sie aber in großem Stil.
• Aktive Dienste zeigen die Infrastrukturdichte, nicht die Marktgröße.

Dies ist der Punkt, an dem die Automatisierung aufhört, bequem zu sein, und zum entscheidenden Faktor wird.

Diese Verschiebung wird durch kürzere Gültigkeitszeiträume für Zertifikate beschleunigt. Das CA/Browser Forum hat einen klaren Zeitplan festgelegt: 200 Tage ab 15. März 2026, 100 Tage ab 15. März 2027 und 47 Tage ab 15. März 2029.

Da die Erneuerungszyklen immer kürzer werden, wird die Verwaltung von Zertifikaten zunehmend über ACME-basierte Automatisierung abgewickelt, bei der die Validierung der Domäne, die Ausstellung und die Erneuerung automatisch erfolgen, insbesondere in Umgebungen, die eine große Anzahl von Zertifikaten verwalten.

---

Die Länder, die „falsch“ aussehen, sind am interessantesten

Wenn Sie die Rangliste zum ersten Mal überfliegen, sind einige Länder an der richtigen Stelle. Die USA, Großbritannien, Deutschland und Frankreich sind große Volkswirtschaften mit riesigen Infrastrukturen und Unternehmensumgebungen. Das ist keine Überraschung.

Aber dann tauchen ein paar Namen auf, die sich fehl am Platz anfühlen: Kasachstan, Moldawien, die Seychellen und die Ukraine.

Auf dem Papier sind dies keine Märkte, von denen Sie erwarten würden, dass sie einen hohen Anteil an Zertifikaten haben, vor allem nicht im Bereich der aktiven Dienstleistungen. Und genau deshalb sind sie so wichtig. Sie zeigen, wie sich der Zertifikatsbetrieb tatsächlich organisiert, wenn er von Transaktionen zur Infrastruktur übergeht.

Nehmen Sie Kasachstan. Es zeigt eine sehr geringe Anzahl aktiver Kunden, aber eine extrem hohe Anzahl aktiver Dienste. Dieses Verhältnis deutet auf Aggregation hin. Eine Handvoll Organisationen betreibt Zertifikate in großem Umfang für:

• Hosting-Plattformen
• Dienstanbieter
• Regionale Infrastrukturknotenpunkte
• Verwaltete Sicherheit oder IT-Betrieb

So sieht der zentralisierte Besitz von Zertifikaten aus. Nicht Tausende von Käufern, sondern einige wenige Betreiber, die ein riesiges Arbeitspensum zu bewältigen haben.

Moldawien zeigt die gleiche Struktur noch deutlicher. Sehr wenige Kunden, sehr hohes Dienstleistungsvolumen. Zertifikate werden als Infrastrukturebene verwaltet, nicht als einzelne Käufe. Ein Unternehmen kann Dutzende oder Hunderte von nachgelagerten Systemen repräsentieren.

Die Seychellen sehen auf den ersten Blick noch seltsamer aus. Extrem viele aktive Dienste mit fast keinen aktiven Kunden. Aber dieses Muster tritt auf, wenn Zertifikate über zentralisierte Rechts- oder Rechnungseinheiten registriert werden, während die Infrastruktur selbst global ist. Das deutet darauf hin:

• Aggregation von Wiederverkäufern
• Internationale Hosting-Anbieter
• Optimierte Unternehmensstrukturen in Bezug auf Besteuerung oder Regulierung
• Zentraler Zertifikatsbesitz für verteilte Plattformen

Die Ukraine zeigt eine andere Variante desselben Musters. Die Dichte der Dienste ist höher als die Anzahl der Kunden, was darauf hindeutet, dass eine kleinere Anzahl von technischen Betreibern große, zertifikatslastige Infrastrukturen betreibt. Dies ist üblich in Umgebungen mit:

• Starke Hosting-Ökosysteme
• Ausgelagertes Infrastrukturmanagement
• Regionale SaaS- und Plattformanbieter
• Kosteneffizienter zentralisierter Betrieb

Diese Länder zeigen, dass das Volumen der Zertifikate nicht mehr von den Käufern, sondern von den Betreibern stammt, die das Vertrauen in großem Umfang nutzen.

---

Was bedeutet das für Teams, die Zertifikate verwalten?

Hier sind 5 Eindrücke aus dem Inneren der Maschine:

1. Ihr wirkliches SSL-Risiko wird durch die Struktur definiert: Die Gefahrenzone ist nicht, „wie viele Zertifikate Sie haben“, sondern wie zentralisiert diese sind. Wenn eine kleine Anzahl von Systemen oder Teams einen großen Teil Ihrer Zertifikate kontrolliert, hat jeder Ausfall eine mehrfache Auswirkung. In diesem Fall werden Ausfälle systemisch und nicht lokal.
2. Zertifikatsgeschäfte offenbaren versteckte Schwachstellen: Länder wie Kasachstan oder Moldawien zeichnen sich nicht durch ihre Marktgröße aus, sondern dadurch, dass die Kontrolle in die Hände weniger Betreiber fällt. Das Gleiche geschieht innerhalb von Unternehmen. Wenn ein Team, eine Plattform oder eine Automatisierungspipeline die meisten Zertifikate besitzt, besteht ein Konzentrationsrisiko.
3. Der Kauf von Zertifikaten ist einfach. Sie sicher zu verwalten ist die eigentliche Arbeit : Die Diagramme zeigen, dass Kaufvolumen und operativer Druck nicht dasselbe sind.
   Ein Team mit 50 Zertifikaten kann weniger komplex sein als ein Team mit 5, wenn diese 5 auf Load Balancern, Gateways und gemeinsam genutzter Infrastruktur sitzen.
4. Automatisierung ohne Sichtbarkeit ist im großen Maßstab eine Belastung: Sobald die Zahl der aktiven Dienste steigt, ist die Erneuerung kein Kalenderproblem mehr. Wenn Sie nicht in Sekundenschnelle feststellen können, welche Systeme das neue Zertifikat tatsächlich geladen haben, befinden Sie sich im Blindflug.
5. Der Besitz von Zertifikaten wandert immer nach oben: Die Daten zeigen ein einseitiges Muster: von Unternehmen zu Plattformen zu Infrastrukturbetreibern. Die einzige Wahl, die bleibt, ist die, ob Sie diese Ebene kontrollieren oder ob Sie sich auf jemanden verlassen, der das tut. Diese Entscheidung bestimmt, wie viel von Ihrem Trust Stack Ihnen wirklich gehört.

Die Nachfrage nach kostenpflichtigem SSL spiegelt letztlich wider, wer die Vertrauensschicht noch besitzt und betreibt. In einigen Umgebungen bleibt diese Verantwortung intern, in anderen ist sie bereits auf Plattformen und Infrastrukturanbieter übergegangen. Wenn Sie wissen, wo sich Ihr Unternehmen auf dieser Linie befindet, können Sie bestimmen, wie viel Kontrolle, Transparenz und Ausfallsicherheit Sie wirklich über Ihre Sicherheit haben.

Sind Sie neugierig, wie Ihre Vertrauensschicht in der Praxis aussieht? Nutzen Sie unseren kostenlosen SSL-Prüfer um jede beliebige Domain zu überprüfen und zu sehen, welche Zertifikate in der Produktion eingesetzt werden.