Direkt zum Hauptinhalt

Schritt 3: Zertifikat bei Hetzner einrichten und freigeben.

Worum es geht

Sie importieren die vorbereiteten PEM-Inhalte in konsoleH. Anschließend aktivieren Sie das Zertifikat zuerst für eine Testdomain und nach erfolgreicher Kontrolle für die weiteren vorgesehenen Domains. Ein erfolgreicher Import allein schließt die Umstellung noch nicht ab.

Import öffnen

  1. Melden Sie sich bei Hetzner konsoleH an.
  2. Wählen Sie den zuständigen Hostingaccount und darin bechtle-events.com. Gleichen Sie die Zuordnung mit Schritt 1 ab.
  3. Öffnen Sie links Einstellungen → SSL Manager.
  4. Klicken Sie auf Neues Zertifikat und wählen Sie den Import eines bestehenden Zertifikats. In der bisherigen Oberfläche heißt der Weg Existierendes Zertifikat → Hinzufügen; die aktuelle Hetzner-Dokumentation nennt Zertifikat importieren.

Die drei Felder richtig befüllen

Öffnen Sie die vorbereiteten Dateien in einem lokalen Texteditor und übernehmen Sie nur die vollständigen PEM-Blöcke einschließlich ihrer Anfangs- und Endzeilen. Zusätze wie Bag Attributes, localKeyID, friendlyName, subject= und issuer= gehören nicht in die Formularfelder.

Feld in der bisherigen Oberfläche Bezeichnung in der Hetzner-Dokumentation Inhalt
Privater Schlüssel Schlüsselblock Schlüsselblock aus priv-key.pem
Öffentlicher Schlüssel Zertifikatsblock Domainzertifikat aus certificate.pem
Zwischenzertifikate CA Blöcke CA-Zertifikatsblöcke aus ca-certificates.pem

Privater Schlüssel

Der Schlüssel aus dem beschriebenen Export beginnt und endet normalerweise so:

-----BEGIN PRIVATE KEY-----
[Schlüsselinhalt aus priv-key.pem]
-----END PRIVATE KEY-----

Bei anderen Schlüsselformaten können die Begrenzungen BEGIN RSA PRIVATE KEY oder BEGIN EC PRIVATE KEY lauten. Übernehmen Sie die vorhandenen Begrenzungen unverändert. Ein Block mit BEGIN ENCRYPTED PRIVATE KEY ist für diesen Import noch verschlüsselt.

Wichtig: In dieses Feld gehört kein BEGIN CERTIFICATE-Block. Die frühere Anleitung nannte hier versehentlich die Begrenzung eines Zertifikats.

Domainzertifikat

In Öffentlicher Schlüssel / Zertifikatsblock gehört das vollständige Zertifikat:

-----BEGIN CERTIFICATE-----
[Zertifikatsinhalt aus certificate.pem]
-----END CERTIFICATE-----

Die Bezeichnung „Öffentlicher Schlüssel“ meint hier das Domainzertifikat. Verwenden Sie nicht die in Schritt 2 zur Prüfung erzeugte Datei cert-public.pem mit einem BEGIN PUBLIC KEY-Block.

CA-Zertifikate

Übernehmen Sie die zur Lieferung gehörenden CA-Blöcke vollständig und untereinander. Beginnen Sie mit dem Zwischenzertifikat, das das Domainzertifikat ausgestellt hat, und folgen Sie der Kette zu den übergeordneten Zertifizierungsstellen. Die Zuordnung erfolgt über Aussteller und Inhaber der Zertifikate, nicht allein über deren Position in der Datei.

Hetzner nennt für CA Blöcke ausdrücklich Intermediate- und Root-Zertifikate. Übernehmen Sie eine mitgelieferte passende Root-CA daher ebenfalls entsprechend dieser Importvorgabe. Das Domainzertifikat selbst gehört ausschließlich in das separate Zertifikatsfeld. Bei unklarer Kette vor dem Import die Zertifikatsbetreuung hinzuziehen.

Klicken Sie anschließend auf Zertifikat importieren und kontrollieren Sie die Erfolgsmeldung sowie den neuen Listeneintrag. Die PEM-Anforderungen und aktuellen Feldbezeichnungen stehen in Hetzner: SSL-Zertifikate.

Zuerst eine Domain umstellen

  1. Kehren Sie zur Übersicht des SSL Managers zurück.
  2. Suchen Sie die vorgesehene Testdomain, möglichst ohne laufende Online-Registrierung.
  3. Notieren Sie die bisherige Zertifikatszuordnung, falls noch nicht geschehen.
  4. Wählen Sie in dieser Domainzeile das neu importierte Zertifikat aus. Achten Sie auf den Zertifikatsnamen und das neue Ablaufdatum.
  5. Klicken Sie auf das Aktualisieren-Symbol mit den runden Pfeilen am Ende der Zeile.
  6. Prüfen Sie die Erfolgsmeldung beziehungsweise Statusanzeige.

Die Auswahl und anschließende Aktualisierung aktivieren das Zertifikat für diesen SSL-Account. Siehe Hetzner: SSL-Guide.

Tatsächlich ausgeliefertes Zertifikat prüfen

Öffnen Sie die umgestellte Domain mit https:// in einer neuen Browser-Verbindung. Prüfen Sie:

  • Die Seite öffnet sich ohne Zertifikatswarnung.
  • Die Zertifikatsanzeige des Browsers zeigt das erwartete neue Ablaufdatum und den passenden Domainnamen.
  • Die Veranstaltungsseite und das benötigte Formular werden korrekt geladen.

Kontrollieren Sie zusätzlich die Zertifikatskette mit dem im bisherigen Ablauf verwendeten SSL-Check. Geben Sie dort ausschließlich den öffentlichen Domainnamen ein. Prüfen Sie Domainabdeckung, Gültigkeit und vollständige Vertrauenskette; vergleichen Sie das angezeigte Ablaufdatum mit der aktuellen Lieferung. Laden Sie keine PFX-Datei und keinen privaten Schlüssel hoch.

Wenn die Domain hinter einem Proxy oder CDN liegt, kann der Browser dessen Zertifikat statt des Zertifikats bei Hetzner anzeigen. Lassen Sie in diesem Fall zusätzlich das Zertifikat am tatsächlichen Hetzner-Ziel prüfen.

Weitere Domains aktivieren

Erst nach erfolgreicher Kontrolle stellen Sie die weiteren vorgesehenen Domains einzeln um:

  1. Domain aus der vorbereiteten Liste auswählen.
  2. Neues Zertifikat zuordnen und die Änderung über das Aktualisieren-Symbol anwenden.
  3. Domain per HTTPS prüfen und das neue Ablaufdatum bestätigen.
  4. Ergebnis in Ihrer Liste vermerken.

Ein Wildcard-Zertifikat erspart diese Zuordnung nicht. Prüfen Sie auch, ob alle umzustellenden Namen tatsächlich vom Zertifikat abgedeckt sind.

Fehler erkennen und beheben

Problem Was Sie prüfen sollten
Import wird abgelehnt PEM-Begrenzungen vollständig, Felder richtig zugeordnet, Schlüssel unverschlüsselt und Schlüsselvergleich aus Schritt 2 erfolgreich?
Zertifikat importiert, aber weiterhin altes Ablaufdatum sichtbar Für die konkrete Domain ausgewählt und Aktualisieren-Symbol betätigt? Neue Verbindung herstellen und gegebenenfalls Proxy/CDN berücksichtigen.
Browser meldet unpassenden Domainnamen Tatsächliche Domain gegen die Zertifikatsnamen prüfen. Hauptdomain und mehrstufige Subdomains sind nicht automatisch vom Wildcard-Eintrag abgedeckt.
Browser oder SSL-Check meldet eine unvollständige Kette Passende Zwischenzertifikate und vollständige PEM-Blöcke prüfen. Keine Kette aus einer anderen Lieferung verwenden.
Zertifikat noch nicht oder nicht mehr gültig notBefore, notAfter, aktuelle Lieferung und Systemzeit prüfen.
Nach der Umstellung treten TLS-Probleme auf Weitere Domains vorerst nicht umstellen. Für die betroffene Domain gegebenenfalls das zuvor dokumentierte, weiterhin gültige und nicht widerrufene Zertifikat erneut zuordnen und aktivieren. Danach HTTPS prüfen.

Abschluss

  • Alle vorgesehenen Domains liefern das neue Zertifikat aus.
  • HTTPS und die benötigten Veranstaltungsseiten funktionieren.
  • Neues Ablaufdatum und erfolgte Umstellung sind dokumentiert; die nächste Erneuerung ist eingeplant.
  • Die Original-PFX-Datei ist nach der internen Ablageregel geschützt archiviert. Temporäre unverschlüsselte Schlüsselkopien werden nach erfolgreichem Abschluss aus dem Arbeitsordner entfernt; die Zwischenablage wird geleert.

Das alte Zertifikat erst aus der Verwaltung entfernen, wenn keine Domain es mehr benötigt und die Umstellung abgeschlossen ist.

Zurück: Schritt 2: Zertifikate extrahieren.
Zum Einstieg: Schritt 1: Grundlage.

Dokumentationsabgleich mit Hetzner und OpenSSL: 18.09.2026. Kontospezifische Produktnamen und Oberflächenbezeichnungen stammen aus dem bisherigen Ablauf und sind vor der Durchführung zu prüfen.

nach oben