Schritt 3: Zertifikat bei Hetzner einrichten und freigeben.

Worum es geht

Sie importieren die vorbereiteten PEM-Inhalte in konsoleH. Anschließend aktivieren Sie das Zertifikat zuerst für eine Testdomain und nach erfolgreicher Kontrolle für die weiteren vorgesehenen Domains. Ein erfolgreicher Import allein schließt die Umstellung noch nicht ab.

Import öffnen

1. AnmeldenMelden Sie sich bei Hetzner konsoleH an.

Wählen Sie den zuständigen Hostingaccount und darin bechtle-events.com. Gleichen Sie die KonsoleHZuordnung wählen.mit Schritt 1 ab. DasÖffnen gewünschteSie Produktlinks auswählenEinstellungen (dedivirt2627.your-server.de)→ SSL Manager. Klicken Sie auf Neues Zertifikat und dortwählen aufSie bechtle-events.comden klicken.Import Aufeines bestehenden Zertifikats. In der linkenbisherigen SeiteOberfläche unterheißt "Einstellungen"der denWeg "SSL Manager" wählen. Nach unten scrollen und "Neues Zertifikat" auswählen. Ganz rechts "Existierendes Zertifikat"Zertifikat =>→ "Hinzufügen"Hinzufügen; die aktuelle Hetzner-Dokumentation nennt Zertifikat importieren.

Die drei Felder richtig befüllen

NunÖffnen öffen wirSie die Datei,vorbereiteten Dateien in einem lokalen Texteditor und übernehmen Sie nur die denvollständigen privatenPEM-Blöcke einschließlich ihrer Anfangs- und Endzeilen. Zusätze wie Bag Attributes, localKeyID, friendlyName, subject= und issuer= gehören nicht in die Formularfelder.

Feld in der bisherigen Oberfläche Bezeichnung in der Hetzner-Dokumentation Inhalt Privater Schlüssel Schlüsselblock Schlüsselblock aus priv-key.pem Öffentlicher Schlüssel Zertifikatsblock Domainzertifikat aus certificate.pem Zwischenzertifikate CA Blöcke CA-Zertifikatsblöcke aus ca-certificates.pem

Privater Schlüssel

Der Schlüssel enthältaus (dem beschriebenen Export beginnt und endet normalerweise so:

-----BEGIN PRIVATE KEY-----
[Schlüsselinhalt aus priv-key.pem)pem]
-----END PRIVATE KEY-----

Bei anderen Schlüsselformaten können die Begrenzungen BEGIN RSA PRIVATE KEY oder BEGIN EC PRIVATE KEY lauten. Übernehmen Sie die vorhandenen Begrenzungen unverändert. Ein Block mit einemBEGIN Text-EditorENCRYPTED undPRIVATE kopierenKEY denist gesamtenfür Inhaltdiesen beginnendImport mit:noch verschlüsselt.

Wichtig: In dieses Feld gehört kein BEGIN CERTIFICATE-Block. Die frühere Anleitung nannte hier versehentlich die Begrenzung eines Zertifikats.

Domainzertifikat

In Öffentlicher Schlüssel / Zertifikatsblock gehört das vollständige Zertifikat:

-----BEGIN CERTIFICATE-----
bis
einschließlich:[Zertifikatsinhalt aus certificate.pem]
-----END CERTIFICATE-----

in

Die Bezeichnung „Öffentlicher Schlüssel“ meint hier das Feld:Domainzertifikat. "PrivaterVerwenden Schlüssel".

Sie

Dann öffnen wirdnicht die in Schritt 2 zur Prüfung erzeugte Datei mit der Zertifikats-Kette (certificates.pem)cert-public.pem mit einem Text-Editor.BEGIN PUBLIC KEY-Block.

CA-Zertifikate

Übernehmen Sie die zur Lieferung gehörenden CA-Blöcke vollständig und untereinander. Beginnen Sie mit dem Zwischenzertifikat, das das Domainzertifikat ausgestellt hat, und folgen Sie der Kette zu den übergeordneten Zertifizierungsstellen. Die Zuordnung erfolgt über Aussteller und Inhaber der Zertifikate, nicht allein über deren Position in der Datei.

HierHetzner finden wird das eigentliche Zertifikatnennt für *.bechtle-events.comCA i.d.R.Blöcke zuausdrücklich oberst, gefolgt von der gesamten Kette der Zertifizierungsstellen.

Das Zertifikat beginnend mit in etwas folgenden Zeilen.

Bag Attributes
    localKeyID: 01 00 00 00 
    friendlyName: *.bechtle-events.com
subject=C=DE, ST=Baden-Württemberg, L=Neckarsulm, O=Bechtle AG, CN=*.bechtle-events.com
issuer=C=US, O=DigiCert Inc, CN=DigiCert Global G2 TLS RSA SHA256 2020 CA1
-----BEGIN CERTIFICATE-----

Hiervon kopieren wird alles, angefangen mit: -----BEGIN CERTIFICATE-----
bis zum Ende: -----END CERTIFICATE-----
in das Feld "Öffentlicher Schlüssel".

Aus dem Rest der Datei entnehmen wir Schritt für Schritt alle weiteren Inhalte beginnend mit -----BEGIN CERTIFICATE----- inklusive -----END CERTIFICATE-----Intermediate- und kopierenRoot-Zertifikate. sieÜbernehmen derSie Reiheeine nachmitgelieferte passende Root-CA daher ebenfalls entsprechend dieser Importvorgabe. Das Domainzertifikat selbst gehört ausschließlich in das Feldseparate "Zwischenzertifikate"Zertifikatsfeld. Bei unklarer Kette vor dem Import die Zertifikatsbetreuung hinzuziehen.

Klicken Sie anschließend auf Zertifikat importieren und kontrollieren Sie die Erfolgsmeldung sowie den neuen Listeneintrag. Die PEM-Anforderungen und aktuellen Feldbezeichnungen stehen in Hetzner: SSL-Zertifikate.

Nun klicken wir auf "Zertifikat importieren" und es sollte oben am Formular

Zuerst eine grüneDomain Bestätigungumstellen

erscheinen,

Kehren Sie zur Übersicht des SSL Managers zurück. Suchen Sie die unsvorgesehene mitteilt,Testdomain, dassmöglichst das Zertifikat erfolgreich importiert wurde.

Wir verlassen nun die Seite und gehen zurück zum SSL Manger.

Hier finden wir alle Domains und rechts daneben das aktuell eingestellte Zertifikate.

Hier suchen wir uns eine Domain, die aktuell keineohne laufende Online-RegistrierungRegistrierung.

bietetNotieren undSie wählendie ausbisherige derZertifikatszuordnung, Listefalls dernoch Zertifikatenicht geschehen. Wählen Sie in dieser Domainzeile das neu hinzugefügteimportierte ausZertifikat (Erkennbaraus. amAchten Ablaufdatum, welches neben der *.bechtle-events.com steht und klickenSie auf den Zertifikatsnamen und das neue Ablaufdatum. Klicken Sie auf das Aktualisieren-Symbol mit den runden PfeilPfeilen nebenam dem Mülleimer rechts nebenEnde der Auswahlbox.Zeile. HierdurchPrüfen wird das Zertifikat aktualisiert.

Jetzt rufen wirSie die SeiteErfolgsmeldung https://ssl-trust.com/SSL-Zertifikate/checkbeziehungsweise aufStatusanzeige.

um die

Die ausgewählte Domain zu prüfen. Ist alles korrekt gelaufen, dann sind alle Zertifikatsangaben grünAuswahl und wiranschließende erkennenAktualisierung am Ablaufdatum des ersten Eintrags, dass wir das richtige Zertifikat ausgewählt haben.

Wenn dem so ist, können wiraktivieren das Zertifikat für allediesen SSL-Account. Siehe Hetzner: SSL-Guide.

Tatsächlich ausgeliefertes Zertifikat prüfen

Öffnen Sie die umgestellte Domain mit https:// in einer neuen Browser-Verbindung. Prüfen Sie:

Die Seite öffnet sich ohne Zertifikatswarnung. Die Zertifikatsanzeige des Browsers zeigt das erwartete neue Ablaufdatum und den passenden Domainnamen. Die Veranstaltungsseite und das benötigte Formular werden korrekt geladen.

Kontrollieren Sie zusätzlich die Zertifikatskette mit dem im bisherigen Ablauf verwendeten SSL-Check. Geben Sie dort ausschließlich den öffentlichen Domainnamen ein. Prüfen Sie Domainabdeckung, Gültigkeit und vollständige Vertrauenskette; vergleichen Sie das angezeigte Ablaufdatum mit der aktuellen Lieferung. Laden Sie keine PFX-Datei und keinen privaten Schlüssel hoch.

Wenn die Domain hinter einem Proxy oder CDN liegt, kann der Browser dessen Zertifikat statt des Zertifikats bei Hetzner anzeigen. Lassen Sie in diesem Fall zusätzlich das Zertifikat am tatsächlichen Hetzner-Ziel prüfen.

Weitere Domains aktivieren

Erst nach erfolgreicher Kontrolle stellen Sie die weiteren vorgesehenen Domains auswähleneinzeln um:

Domain aus der vorbereiteten Liste auswählen. Neues Zertifikat zuordnen und durchdie KlickÄnderung über das Aktualisieren-Symbol anwenden. Domain per HTTPS prüfen und das neue Ablaufdatum bestätigen. Ergebnis in Ihrer Liste vermerken.

Ein Wildcard-Zertifikat erspart diese Zuordnung nicht. Prüfen Sie auch, ob alle umzustellenden Namen tatsächlich vom Zertifikat abgedeckt sind.

Fehler erkennen und beheben

Problem Was Sie prüfen sollten Import wird abgelehnt PEM-Begrenzungen vollständig, Felder richtig zugeordnet, Schlüssel unverschlüsselt und Schlüsselvergleich aus Schritt 2 erfolgreich? Zertifikat importiert, aber weiterhin altes Ablaufdatum sichtbar Für die konkrete Domain ausgewählt und Aktualisieren-Symbol betätigt? Neue Verbindung herstellen und gegebenenfalls Proxy/CDN berücksichtigen. Browser meldet unpassenden Domainnamen Tatsächliche Domain gegen die Zertifikatsnamen prüfen. Hauptdomain und mehrstufige Subdomains sind nicht automatisch vom Wildcard-Eintrag abgedeckt. Browser oder SSL-Check meldet eine unvollständige Kette Passende Zwischenzertifikate und vollständige PEM-Blöcke prüfen. Keine Kette aus einer anderen Lieferung verwenden. Zertifikat noch nicht oder nicht mehr gültig notBefore, notAfter, aktuelle Lieferung und Systemzeit prüfen. Nach der Umstellung treten TLS-Probleme auf denWeitere rundenDomains Pfeilvorerst aktualisieren.nicht umstellen. Für die betroffene Domain gegebenenfalls das zuvor dokumentierte, weiterhin gültige und nicht widerrufene Zertifikat erneut zuordnen und aktivieren. Danach HTTPS prüfen.

Abschluss

Alle vorgesehenen Domains liefern das neue Zertifikat aus. HTTPS und die benötigten Veranstaltungsseiten funktionieren. Neues Ablaufdatum und erfolgte Umstellung sind dokumentiert; die nächste Erneuerung ist eingeplant. Die Original-PFX-Datei ist nach der internen Ablageregel geschützt archiviert. Temporäre unverschlüsselte Schlüsselkopien werden nach erfolgreichem Abschluss aus dem Arbeitsordner entfernt; die Zwischenablage wird geleert.

Das war's.alte Zertifikat erst aus der Verwaltung entfernen, wenn keine Domain es mehr benötigt und die Umstellung abgeschlossen ist.

Zurück: Schritt 2: Zertifikate extrahieren.
Zum Einstieg: Schritt 1: Grundlage.

Dokumentationsabgleich mit Hetzner und OpenSSL: 18.09.2026. Kontospezifische Produktnamen und Oberflächenbezeichnungen stammen aus dem bisherigen Ablauf und sind vor der Durchführung zu prüfen.