Website „Nicht sicher“? HTTPS- und SSL-Fehler erkennen und beheben

Aktuell: Chrome fragt ab Oktober 2026 vor HTTP-Seiten nach

Google hat angekündigt, die Einstellung „Always Use Secure Connections“ in Chrome mit Version 154 im Oktober 2026 standardmäßig zu aktivieren. Chrome fragt dann vor dem ersten Aufruf einer öffentlichen Seite ohne HTTPS um die Erlaubnis der Nutzer. Für Nutzer des erweiterten Schutzes („Enhanced Safe Browsing“) gilt das bereits seit Chrome 147 im April 2026. Private Adressen wie lokale Netzwerke sind ausgenommen.

Für Website-Betreiber heißt das: Wer nur per http:// erreichbar ist oder wessen Weiterleitung auf HTTPS fehlt, riskiert eine Zwischenseite, bevor Besucher den Inhalt sehen. Die Warnung lässt sich umgehen, doch Besucher müssen aktiv bestätigen, und das kostet Vertrauen. In einem Test mit einem kleinen Teil der Nutzer sah der mittlere Nutzer laut Google weniger als eine solche Warnung pro Woche; rund 95 bis 99 % der Seitenaufrufe in Chrome laufen bereits über HTTPS. Eine Website ohne HTTPS gehört damit zu einer kleinen Minderheit.

Drei Ursachen, ein Warnhinweis

Diagnose in fünf Minuten

1. Vier Varianten testenRufen Sie http://ihre-domain.de, http://www.ihre-domain.de, https://ihre-domain.de und https://www.ihre-domain.de auf. Alle vier sollten ohne Warnung bei derselben HTTPS-Adresse landen.
2. Zertifikat ansehenKlicken Sie in der Adresszeile auf das Symbol neben der Adresse und öffnen Sie die Zertifikatsdetails: Für welche Domains gilt es, und bis wann?
3. SSL Server Test ausführenDer SSL Server Test von Qualys SSL Labs prüft Zertifikat, Zertifikatskette und Konfiguration und benennt Fehler.
4. Auf gemischte Inhalte prüfenÖffnen Sie die Entwicklerwerkzeuge (F12) und den Reiter „Konsole“. Meldungen zu „Mixed Content“ nennen die betroffenen Adressen.
5. Weiterleitung prüfenEine http://-Adresse sollte per 301-Weiterleitung auf die HTTPS-Adresse führen. Online-Werkzeuge für HTTP-Header zeigen den Statuscode.

Zertifikat abgelaufen oder ungültig: So beheben Sie es

1. Zertifikat im Hosting-Panel erneuern oder neu ausstellen. Viele Hoster bieten kostenlose Zertifikate (etwa über Let’s Encrypt) mit einem Klick an.
2. Prüfen, ob die Domain auf den richtigen Server zeigt (DNS). Ein Zertifikat wird nur ausgestellt, wenn die Domain den Server erreicht, der es anfordert.
3. Sicherstellen, dass das Zertifikat alle genutzten Namen abdeckt, also die Variante mit und ohne www.
4. Die automatische Erneuerung prüfen: Wurde sie nach einem Umzug, einer DNS-Änderung oder einer Firewall-Regel unterbrochen?
5. Bei kostenpflichtigen Zertifikaten: verlängern und neu installieren, einschließlich der Zwischenzertifikate (Zertifikatskette).
6. Das Ergebnis mit dem SSL Server Test bestätigen. Wenn Sie nicht weiterkommen, fragen Sie den Support Ihres Hosters.

Von HTTP auf HTTPS umstellen: Checkliste

1. Zertifikat einrichten (siehe oben) und die Website unter https:// testen.
2. Datensicherung anlegen.
3. Alle internen Links, Bilder und Skripte auf https:// oder relative Adressen umstellen. Bei WordPress ändern Sie unter „Einstellungen → Allgemein“ die Adressen und tauschen alte http://-Adressen in der Datenbank mit einem Such-und-Ersetzen-Werkzeug aus.
4. Eine 301-Weiterleitung von http auf https einrichten (Beispiele unten).
5. Canonical-Angaben, Sitemap und Verweise in der robots.txt auf die HTTPS-Adressen umstellen.
6. In der Search Console die HTTPS-Variante der Website prüfen (oder eine Domain-Property nutzen) und die Sitemap neu einreichen.
7. Externe Profile (Google-Unternehmensprofil, Verzeichnisse, soziale Netzwerke) auf die HTTPS-Adresse aktualisieren.
8. Erst wenn alles stabil läuft: optional HSTS aktivieren.

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Hinter einem Proxy oder einem CDN kann diese Regel eine Endlosschleife auslösen, weil der Server die Verschlüsselung dort nicht erkennt. Stellen Sie die Weiterleitung dann beim Proxy oder CDN ein.

server {
    listen 80;
    server_name ihre-domain.de www.ihre-domain.de;
    return 301 https://$host$request_uri;
}

Mixed Content beheben

Mixed Content entsteht, wenn eine HTTPS-Seite einzelne Inhalte über http:// lädt. Moderne Browser gehen laut MDN so damit um: Bilder, Audio und Video werden in der Regel automatisch auf HTTPS hochgestuft, Skripte, Stylesheets, Iframes, Schriften und fetch()-Anfragen werden blockiert. Eine HTTPS-Seite kann dadurch unbemerkt Funktionen verlieren, etwa ein Formular, eine Karte oder das Menü.

• Alle Adressen auf https:// oder auf relative Adressen umstellen.
• Inhalte fremder Seiten nur in der HTTPS-Version einbinden. Gibt es keine, den Inhalt ersetzen.
• Auf fest eingetragene http://-Adressen in Theme, Plugins, Seitenbaukästen und in der Fußzeile achten.
• Auch Download-Links auf HTTPS umstellen: Browser sollen laut MDN „gemischte Downloads“ blockieren, also Dateien, die eine HTTPS-Seite über HTTP lädt.

Jede blockierte oder hochgestufte Adresse zeigt die Konsole der Entwicklerwerkzeuge (F12).

Warum HTTPS bei Formularen besonders wichtig ist

Kontaktformulare übertragen Namen, E-Mail-Adressen und Nachrichten. Ohne HTTPS können diese Daten unterwegs mitgelesen werden. Zudem kann ein Formular, dessen Zieladresse (action-Attribut) auf http:// zeigt, trotz HTTPS-Seite unverschlüsselt senden. Prüfen Sie deshalb auch diese Adresse. Mehr zu Formularproblemen: Kontaktformular funktioniert nicht.

Wann Sie Hilfe holen sollten

Hilfe lohnt sich, wenn die Zertifikatserneuerung trotz Versuchen scheitert, wenn nach der Umstellung Weiterleitungsschleifen auftreten, oder wenn Mixed Content aus vielen Quellen stammt.

SSL- und Weiterleitungsprobleme gehören zu unserer Schnellreparatur (149 €, 2 Werktage). Kommen mehrere Probleme zusammen, passt die Website-Reparatur (349 €). Beide Preise verstehen sich netto zzgl. 19 % USt. Welches Paket passt, sagen wir Ihnen nach der kostenlosen Prüfung.

Häufige Fragen

Weiterlesen