So installieren Sie ein SSL-Zertifikat unter Linux

In diesem Tutorial lernen Sie, wie man ein SSL-Zertifikat auf Linux mit dem Apache-Webserver (httpd) installiert.

Die Beispiele verwenden Red Hat Enterprise Linux (RHEL) und dessen enge Verwandte (Rocky Linux, AlmaLinux, CentOS, Fedora), bei denen Apache das httpd-Paket ist und die Konfiguration unter /etc/httpd/ liegt. Der letzte Abschnitt enthält Kaufempfehlungen für SSL-Zertifikate für Red Hat Linux Server.

CSR unter Linux erzeugen

Wenn Sie Ihren CSR bereits erstellt und Ihr Zertifikat erhalten haben, springen Sie direkt zum Installationsabschnitt.

Ein CSR (Certificate Signing Request) ist ein kleiner codierter Textblock, der Informationen über Ihre Domain und, bei Business-Zertifikaten, über Ihre Organisation enthält. Das Erzeugen eines CSR ist ein erforderlicher Teil des SSL-Bestellprozesses; jede kommerzielle Zertifizierungsstelle verlangt einen, bevor sie Ihr Zertifikat ausstellt. Sie haben zwei Möglichkeiten:

• Erzeugen Sie den CSR automatisch mit unserem CSR-Generator.
• Folgen Sie unserer Schritt-für-Schritt-Anleitung zum Erzeugen eines CSR auf Red Hat Linux.

Übermitteln Sie den CSR während des Bestellvorgangs an die Zertifizierungsstelle. Sobald die CA ihn validiert und Ihr SSL-Zertifikat ausgestellt hat, fahren Sie mit der unten beschriebenen Installation fort.

SSL-Zertifikat auf Linux installieren (Red Hat / Apache)

Nach der Validierung sendet Ihnen Ihre Zertifizierungsstelle per E-Mail ein ZIP-Archiv mit den Installationsdateien. Laden Sie es herunter und entpacken Sie es. Sie sollten folgende Dateien haben:

• yourdomain.crt, Ihr primäres SSL-Zertifikat (das Leaf-Zertifikat).
• yourdomain.ca-bundle, die Zwischenzertifikate, auch als CA-Bundle bezeichnet.
• yourdomain.key, der private Schlüssel, den Sie zusammen mit dem CSR erzeugt haben.

Wenn Ihre CA das Zertifikat als Text und nicht als Dateien gesendet hat, öffnen Sie das primäre Zertifikat, kopieren Sie alles einschließlich der Zeilen —–BEGIN CERTIFICATE—– und —–END CERTIFICATE—– und speichern Sie es als yourdomain.crt. Gehen Sie beim CA-Bundle genauso vor. Folgen Sie den nachstehenden Schritten, um die Installation abzuschließen.

Schritt 1: SSL-Modul installieren (mod_ssl)

Auf Red Hat-basierten Systemen stammt die HTTPS-Unterstützung vom Paket mod_ssl. Installieren Sie es (auf RHEL 8/9 und Fedora verwenden Sie dnf; auf älteren Versionen yum):

sudo dnf install mod_ssl

Die Installation des Pakets erstellt außerdem die Standard-SSL-Konfigurationsdatei unter /etc/httpd/conf.d/ssl.conf, in der Sie Ihre Zertifikatsdirektiven eintragen werden.

Schritt 2: Zertifikatsdateien auf den Server hochladen

Kopieren Sie Ihre Dateien an die Standard-Speicherorte für Zertifikate unter Red Hat. Zertifikate gehören in /etc/pki/tls/certs/ und der private Schlüssel in /etc/pki/tls/private/:

sudo cp yourdomain.crt /etc/pki/tls/certs/
sudo cp yourdomain.ca-bundle /etc/pki/tls/certs/
sudo cp yourdomain.key /etc/pki/tls/private/

Schränken Sie die Zugriffsrechte des privaten Schlüssels so ein, dass nur root ihn lesen kann:

sudo chmod 600 /etc/pki/tls/private/yourdomain.key

Bei Apache 2.4.8 und neuer, was auf jede unterstützte RHEL-Version zutrifft, kombinieren Sie Ihr Zertifikat und das CA-Bundle in einer einzigen Full-Chain-Datei (zuerst das Leaf-Zertifikat, danach die Zwischenzertifikate). Diese einzige Datei ist alles, was die Direktive SSLCertificateFile benötigt:

cat yourdomain.crt yourdomain.ca-bundle > yourdomain_fullchain.crt
sudo cp yourdomain_fullchain.crt /etc/pki/tls/certs/

Schritt 3: Den HTTPS-VirtualHost konfigurieren

Öffnen Sie die SSL-Konfigurationsdatei mit einem Texteditor:

sudo nano /etc/httpd/conf.d/ssl.conf

Richten Sie innerhalb des VirtualHost-Blocks für Port 443 eine vollständige, moderne Konfiguration wie die folgende ein. Passen Sie die Pfade und die Domain an Ihre Dateien an:

<VirtualHost *:443>
    ServerName  www.yourdomain.com
    DocumentRoot /var/www/html

    SSLEngine on

    # Apache 2.4.8+ : certificate + CA bundle in one full-chain file
    SSLCertificateFile    /etc/pki/tls/certs/yourdomain_fullchain.crt
    SSLCertificateKeyFile /etc/pki/tls/private/yourdomain.key

    # Recommended TLS hardening (2026)
    SSLProtocol         -all +TLSv1.2 +TLSv1.3
    SSLHonorCipherOrder off

    # Enable HSTS only after you confirm HTTPS works
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
</VirtualHost>

• SSLCertificateFile: Ihre Full-Chain-Datei (Zertifikat gefolgt von den Zwischenzertifikaten). Ab Apache 2.4.8+ ersetzt diese einzelne Direktive das veraltete SSLCertificateChainFile.
• SSLCertificateKeyFile: der private Schlüssel, den Sie zusammen mit dem CSR erstellt haben.

Veraltetes Apache (älter als 2.4.8): Falls Sie auf einem sehr alten Server festsitzen, halten Sie Zertifikat und Kette getrennt, verweisen Sie SSLCertificateFile auf yourdomain.crt und fügen Sie SSLCertificateChainFile /etc/pki/tls/certs/yourdomain.ca-bundle hinzu, wobei dies auf das CA-Bundle verweisen muss, nicht auf Ihr eigenes Zertifikat.

Schritt 4: HTTP auf HTTPS umleiten

Damit Besucher immer die sichere Version Ihrer Website erreichen, fügen Sie einen VirtualHost für Port 80 hinzu (in Ihrer Hauptkonfigurationsdatei der Website, zum Beispiel /etc/httpd/conf.d/yourdomain.conf), der auf HTTPS umleitet:

<VirtualHost *:80>
    ServerName www.yourdomain.com
    ServerAlias yourdomain.com
    Redirect permanent / https://www.yourdomain.com/
</VirtualHost>

Schritt 5: Die Konfiguration testen

Testen Sie immer die Syntax, bevor Sie neu laden; ein Tippfehler in der Konfiguration kann verhindern, dass Apache startet:

sudo apachectl configtest

Sie sollten Syntax OK sehen. Falls eine Fehlermeldung erscheint, überprüfen Sie die vorherigen Schritte, bevor Sie fortfahren.

Schritt 6: Apache neu laden

Übernehmen Sie die Änderungen, indem Sie den httpd-Dienst neu laden. Ein Reload aktiviert die neue Konfiguration, ohne bestehende Verbindungen zu trennen:

sudo systemctl reload httpd
sudo systemctl start httpd
sudo systemctl enable httpd

Eine Sache noch: Stellen Sie sicher, dass die Firewall HTTPS-Datenverkehr über Port 443 zulässt:

sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

Herzlichen Glückwunsch. Ihr SSL-Zertifikat ist jetzt auf Ihrem Red Hat Linux Apache-Server installiert.

Um zu bestätigen, dass alles funktioniert, und einen sofortigen Statusbericht zu erhalten, prüfen Sie Ihre Domain mit unserem SSL Checker. Die Scans zeigen alle Fehler in der Kette oder Konfiguration auf, die sich darauf auswirken könnten, wie Browser Ihrem Zertifikat vertrauen.