Let's-Encrypt-SSL im netcup Webhosting (WCP/Plesk) einrichten und automatisch erneuern

Wer ein Webhosting-Paket bei netcup betreibt, bekommt kostenloses HTTPS gleich mitgeliefert – ohne Aufpreis und ohne Certbot-Kenntnisse. Das Webhosting Control Panel (WCP), das intern auf Plesk läuft, enthält eine direkte Let's-Encrypt-Integration: Zertifikat beantragen, www-Subdomain mit absichern, HTTP-zu-HTTPS-Redirect per Slider aktivieren – fertig. Diese Anleitung zeigt den gesamten Prozess Schritt für Schritt, erklärt die typischen Fallstricke und beleuchtet den Sonderfall Wildcard-Zertifikat, das nicht automatisch erneuert wird.

Voraussetzungen

1. Aktives netcup Webhosting-Paket (WH-Basis oder höher)
2. Eine eigene Domain, die auf die netcup-Nameserver zeigt oder für die netcup-DNS aktiv ist
3. Gültige E-Mail-Adresse für das Let's-Encrypt-Konto
4. CCP-Zugangsdaten (Kundennummer + Passwort) für den WCP-Auto-Login
5. Nur bei Wildcard: Zugang zum CCP-DNS-Editor und Geduld für bis zu 48 Stunden DNS-Propagation

Schritt 1: WCP öffnen

Melden Sie sich im netcup Customer Control Panel (CCP) an:

https://www.customercontrolpanel.de

Klicken Sie dort auf Ihr Webhosting-Paket und dann auf den Button „WCP Auto-Login“. Das WCP (Plesk) öffnet sich im Browser, ohne dass Sie ein separates Plesk-Passwort benötigen.

Verifizieren: Im neuen Browser-Tab ist das WCP geöffnet, und in der linken Seitenleiste steht der Eintrag Websites & Domains.

Schritt 2: Domain auswählen und SSL/TLS-Bereich öffnen

Im WCP wechseln Sie in der linken Seitenleiste zu Websites & Domains. Klicken Sie dort auf die Domain, für die Sie das Zertifikat beantragen möchten. Auf der Domain-Übersichtsseite (Tab Dashboard) finden Sie die Kachel SSL/TLS Certificates. Klicken Sie sie an.

Verifizieren: Sie sehen nun eine Übersichtsseite, auf der alle vorhandenen Zertifikate aufgelistet sind. Wenn noch kein Zertifikat vorhanden ist, bleibt die Liste leer oder zeigt ein selbst-signiertes Zertifikat.

Schritt 3: Let's-Encrypt-Prozess starten

Suchen Sie den Abschnitt „Install a free basic certificate provided by Let's Encrypt“ und klicken Sie auf den Button Install. Das Let's-Encrypt-Formular öffnet sich.

Verifizieren: Das Formular zeigt ein vorausgefülltes E-Mail-Feld sowie die Checkboxen für die www-Subdomain und die Wildcard-Domain.

Schritt 4: Formular ausfüllen und Zertifikat beantragen

Im Formular nehmen Sie folgende Einstellungen vor:

1. E-Mail-Adresse: Prüfen Sie, ob die vorausgefüllte Adresse korrekt ist. Let's Encrypt verschickt seit Juni 2025 keine Ablaufwarnungen mehr per E-Mail. Den Zertifikatsstatus prüfen Sie deshalb selbst im WCP oder mit einem externen Monitoring.
2. Checkbox „Include a 'www' subdomain for the domain and each selected alias“: Aktivieren Sie diese Option; netcup empfiehlt sie ausdrücklich. Ohne sie wird nur domain.tld, nicht aber www.domain.tld gesichert.
3. Checkbox „Secure the wildcard domain“: Diese Option nicht aktivieren, sofern Sie nicht viele Subdomains mit einem Zertifikat absichern müssen. Wildcard-Zertifikate werden nicht automatisch erneuert (Details weiter unten).

Klicken Sie anschließend auf „Get it free“.

Verifizieren: Nach wenigen Sekunden erscheint die Meldung „Encryption with Let's Encrypt is complete.“ Das Zertifikat ist jetzt aktiv. Wenn Sie im Browser https://ihredomain.tld aufrufen, sehen Sie das Schloss-Symbol. Per Klick darauf bestätigen Sie, dass der Aussteller „Let's Encrypt“ ist und das Zertifikat auf Ihre Domain sowie www.ihredomain.tld lautet.

Schritt 5: HTTP-zu-HTTPS-Redirect aktivieren

Nach der Zertifikatserstellung bleiben Sie auf der Seite SSL/TLS Certificates der Domain. Im linken Bereich finden Sie den Abschnitt Options. Dort gibt es den Slider „Redirect from http to https“. Stellen Sie ihn auf ON.

Wichtig: Aktivieren Sie den Redirect erst nach der Zertifikatserstellung. In bestimmten Konfigurationen kann ein bereits aktiver HTTP-Redirect die ACME-Challenge-Validierung stören, weil Let's Encrypt die Challengedatei per HTTP erreichen muss.

Der Redirect ist ein permanenter 301-Redirect – das ist SEO-konform und signalisiert Suchmaschinen, dass Ihre Inhalte dauerhaft unter HTTPS zu finden sind.

Verifizieren: Rufen Sie http://ihredomain.tld im Browser auf. Sie werden sofort auf https://ihredomain.tld weitergeleitet. Mit den Browser-Entwicklertools (F12 → Netzwerk) oder curl -I http://ihredomain.tld bestätigen Sie den 301-Statuscode der ersten Anfrage bestätigen.

Schritt 6 (optional): HSTS aktivieren

Unter Options gibt es einen weiteren Slider für HSTS (HTTP Strict Transport Security). HSTS weist Browser an, Ihre Domain ausnahmslos per HTTPS aufzurufen – ohne vorherige HTTP-Anfrage.

Der Trade-off: Einmal aktiviert, erzwingen Browser HTTPS für die gesamte Max-Age-Dauer (typisch sechs Monate bis ein Jahr). Wenn in dieser Zeit HTTPS aus irgendeinem Grund nicht funktioniert, ist Ihre Domain für Besucher nicht mehr erreichbar. Eine Deaktivierung im Panel hilft nicht, weil der HSTS-Header bereits im Browser-Cache liegt. Aktivieren Sie HSTS deshalb nur, wenn HTTPS auf Ihrer Domain dauerhaft stabil läuft und Sie nicht vorhaben, zurück zu HTTP zu wechseln.

Verifizieren: curl -sI https://ihredomain.tld | grep -i strict-transport-security gibt eine Zeile mit max-age= aus. Ohne aktivierten Slider bleibt die Ausgabe leer.

Automatische Erneuerung: Was Sie wissen müssen

Let's-Encrypt-Zertifikate laufen nach 90 Tagen ab. Für Standard-Zertifikate (ohne Wildcard-Option) übernimmt Plesk/WCP die Erneuerung vollautomatisch, Sie müssen nichts weiter tun.

Häufigste Ausnahme, bei der die Automatik versagen kann: Ihr Webhosting-Paket ist deaktiviert oder gesperrt. Prüfen Sie in diesem Fall den Zertifikatsstatus im WCP manuell unter SSL/TLS Certificates.

Sonderfall: Wildcard-Zertifikat manuell einrichten

Ein Wildcard-Zertifikat (*.domain.tld) sichert alle Subdomains auf einmal – praktisch, wenn Sie viele Subdomains betreiben. Der Nachteil: Die Einrichtung erfordert einen manuellen DNS-TXT-Eintrag, und die Erneuerung muss alle ~90 Tage wiederholt werden.

Wildcard-Zertifikat beantragen

Öffnen Sie im WCP: Websites & Domains > [Domain] > Dashboard > SSL/TLS Certificates > Install. Aktivieren Sie diesmal die Checkbox „Secure the wildcard domain“ und klicken Sie auf „Get it free“. Notieren Sie den angezeigten DNS-Challenge-Wert. Klicken Sie jetzt noch nicht auf Reload und lassen Sie den Tab geöffnet.

DNS-TXT-Eintrag im CCP setzen

Wechseln Sie zum CCP, öffnen Sie Domains und klicken Sie auf das Lupen-Symbol neben Ihrer Domain. Im DNS-Tab legen Sie einen neuen Eintrag an:

Host:  _acme-challenge
Typ:   TXT
Ziel:  [Wert von der WCP-Bestätigungsseite]

Klicken Sie auf „Save DNS records“ und warten Sie auf die DNS-Propagation. Das kann bis zu 48 Stunden dauern. Drücken Sie den Reload-Button im WCP erst dann, wenn der TXT-Eintrag sichtbar ist. Prüfen können Sie das mit:

nslookup -type=TXT _acme-challenge.ihredomain.tld 8.8.8.8

Manuelle Erneuerung beim Wildcard

Vor Ablauf des Zertifikats wiederholen Sie den gesamten Prozess: WCP > SSL/TLS Certificates > Reissue Certificate, neuen Challenge-Wert notieren, TXT-Eintrag im CCP aktualisieren, warten, Reload klicken.

Zertifikat nachträglich um www erweitern

Haben Sie beim ersten Einrichten die www-Option vergessen, ist das kein Problem. Öffnen Sie im WCP unter SSL/TLS Certificates die Option „Reissue Certificate“. Im Formular aktivieren Sie die Checkbox „Include a 'www' subdomain“ und klicken erneut auf „Get it free“. Das Zertifikat wird neu ausgestellt und ersetzt das bisherige automatisch.

Let's-Encrypt-Rate-Limits im Überblick

Rate-Limits spielen beim normalen Betrieb keine Rolle, können aber relevant werden, wenn Sie innerhalb kurzer Zeit viele Zertifikate neu ausstellst – etwa beim Testen oder nach Konfigurationsfehlern.

Hinweis für *.netcup.net-Domains: Diese Subdomains teilen sich die registrierte Domain netcup.net mit allen Webhosting-Kunden und damit das Limit von 50 Zertifikaten pro 7 Tage; ob ein Zertifikat ausgestellt wird, ist Glückssache. Für produktive Websites empfiehlt sich grundsätzlich eine eigene registrierte Domain.

Troubleshooting / Typische Fehler

Browser zeigt trotz aktiviertem Zertifikat kein HTTPS

Leeren Sie den Browser-Cache und warten Sie einige Minuten. Plesk benötigt nach der Zertifikatsausstellung kurz Zeit, um die Webserver-Konfiguration zu übernehmen. Alternativ testen Sie mit einem Inkognito-Fenster oder einem anderen Browser.

„Reissue Certificate“ schlägt immer wieder fehl

Prüfen Sie zunächst, ob versehentlich die Wildcard-Option aktiv ist – in diesem Fall ist eine DNS-Validierung nötig. Außerdem kann ein bereits aktiver HTTP-zu-HTTPS-Redirect die ACME-HTTP-01-Challenge blockieren: Deaktivieren Sie den Redirect kurz, stellen Sie das Zertifikat neu aus und aktivieren Sie den Redirect danach wieder.

Fehlgeschlagene Autorisierungen – temporäre Sperre

Wenn die Validierung fünfmal innerhalb einer Stunde scheitert, sperrt Let's Encrypt weitere Versuche für diesen Identifier vorübergehend. Warten Sie eine Stunde, beheben Sie die Ursache (z. B. DNS-Problem oder falscher Challenge-Wert beim Wildcard) und versuchen Sie es erneut.

Wildcard: DNS-TXT-Eintrag wird nicht erkannt

Drücken Sie den Reload-Button im WCP erst, wenn der TXT-Eintrag tatsächlich propagiert ist. Eine vorzeitige Bestätigung führt zum Validierungsfehler. Prüfen Sie die Propagation mit nslookup -type=TXT _acme-challenge.ihredomain.tld 8.8.8.8.

Automatische Erneuerung schlägt fehl

Mögliche Ursachen: (a) Wildcard-Option war aktiv – nur Standard-Zertifikate werden automatisch erneuert. (b) Das Webhosting-Paket ist deaktiviert oder gesperrt. (c) Ein HTTP-Redirect blockiert die ACME-Challenge. Öffnen Sie SSL/TLS Certificates > Reissue Certificate und stellen Sie das Zertifikat manuell neu aus.

HSTS lässt sich nicht mehr deaktivieren

Ist HSTS einmal gesetzt, speichern Browser den Header für die eingetragene Max-Age-Dauer. Eine Deaktivierung im Panel hilft erst bei Browsern, die danach erstmals die Seite besuchen. Für Nutzer mit gecachtem HSTS-Header ist die Seite bis zum Ablauf ohne HTTPS nicht erreichbar. Lassen Sie HSTS deshalb aus, wenn Sie sich nicht sicher sind.

Häufige Fragen

Wird Let's Encrypt automatisch erneuert?

Ja – Standard-Zertifikate (ohne Wildcard-Option) werden vollautomatisch von Plesk im WCP erneuert. Kein manueller Eingriff und kein Certbot nötig. Wildcard-Zertifikate sind ausgenommen und müssen manuell alle ~90 Tage erneuert werden.

Wie sichere ich auch die www-Subdomain?

Im Formular unter SSL/TLS Certificates > Install die Checkbox „Include a 'www' subdomain for the domain and each selected alias“ aktivieren, bevor Sie auf „Get it free“ klicken. Wurde sie vergessen, kann das Zertifikat per „Reissue Certificate“ mit dieser Option neu ausgestellt werden.

Kostet Let's Encrypt bei netcup etwas?

Nein. Let's Encrypt ist im netcup Webhosting kostenlos und bereits im Paket enthalten. Es fallen keine zusätzlichen Gebühren an – weder einmalig noch monatlich.

Wann sollte ich HSTS aktivieren?

Erst dann, wenn HTTPS auf Ihrer Domain stabil läuft und Sie langfristig nicht mehr zu HTTP wechseln wirst. Einmal gesetzt, erzwingen Browser HTTPS für die gesamte Max-Age-Dauer. Bei einem HTTPS-Ausfall ist die Domain für Besucher nicht mehr erreichbar.

Kann ich mehrere Subdomains absichern?

Ja – für jede Subdomain (z. B. shop.domain.tld, blog.domain.tld) beantragen Sie im WCP unter der jeweiligen Subdomain ein eigenes Let's-Encrypt-Zertifikat. Alternativ deckt ein Wildcard-Zertifikat alle Subdomains ab, erfordert aber manuelle Pflege bei jeder Erneuerung.

Was tun, wenn die automatische Erneuerung fehlschlägt?

Prüfen Sie, ob: (a) die Wildcard-Option versehentlich aktiv ist, (b) ein HTTP-Redirect die ACME-Challenge blockiert, (c) das Webhosting-Paket aktiv und nicht gesperrt ist. Öffnen Sie anschließend SSL/TLS Certificates > Reissue Certificate und stellen Sie das Zertifikat manuell neu aus.

Fazit

Let's Encrypt im netcup Webhosting ist ein einfacher Weg, eine Domain auf HTTPS umzustellen: kein Certbot, keine Kommandozeile, keine Kosten. Der gesamte Standardprozess – Zertifikat beantragen, www-Subdomain einschließen, HTTP-Redirect aktivieren – dauert unter zehn Minuten. Wer auf Wildcard-Zertifikate verzichtet, profitiert zusätzlich von der vollautomatischen Erneuerung. HSTS sollten Sie nur aktivieren, wenn Sie die Konsequenzen kennen und HTTPS dauerhaft betreiben. Für alle anderen ist der Slider besser ausgelassen, die Sicherheit des HTTPS-Zertifikats selbst ist davon unberührt.

Weiterführende Anleitungen und Quellen

1. WordPress mit einem Klick im netcup Webhosting installieren (WordPress Toolkit in Plesk)
2. DNS-Records bei netcup im CCP verwalten: A, AAAA, CNAME, MX und TXT richtig setzen
3. VPS absichern und härten: Anleitung mit UFW, SSH-Keys und Fail2Ban (Hetzner/Netcup)
4. Let's Encrypt mit Certbot – TLS-Zertifikate ohne Reverse-Proxy
5. netcup Helpcenter: SSL-Verschlüsselung mit Let's Encrypt (offizielle Dokumentation)
6. Let's Encrypt: Rate Limits (offizielle Dokumentation)