Website nicht sicher? So findest du die Ursache und behebst HTTPS-Probleme

Was bedeutet die Warnung „Nicht sicher“?

Die Warnung heißt: Die Verbindung zwischen dem Browser, deiner Besucher und deinem Webserver ist nicht oder nicht vollständig verschlüsselt, oder der Browser kann nicht prüfen, ob er tatsächlich mit deinem Server spricht. Daten aus einem Kontaktformular, einem Login oder einer Bestellung könnten dann unterwegs mitgelesen oder verändert werden, zum Beispiel in einem offenen WLAN.

Browser unterscheiden dabei zwei Stufen. Beim Hinweis in der Adressleiste wird deine Seite über unverschlüsseltes HTTP geladen oder bindet einzelne unsichere Elemente ein. Chrome und Edge schreiben dann „Nicht sicher“ neben die Adresse, Firefox zeigt ein durchgestrichenes Schloss. Bei einer ganzseitigen Warnseite ist das Zertifikat selbst fehlerhaft: abgelaufen, für eine andere Adresse ausgestellt oder nicht vertrauenswürdig. Besucher sehen dann statt deiner Seite eine Meldung wie „Dies ist keine sichere Verbindung“ (Chrome) oder „Warnung: Mögliches Sicherheitsrisiko erkannt“ (Firefox) und müssen aktiv weiterklicken.

Neu mit Chrome 154: Warnung schon vor dem Laden

Google hat angekündigt, mit Chrome 154 im Oktober 2026 die Einstellung „Immer sichere Verbindungen verwenden“ standardmäßig zu aktivieren. Chrome versucht dann, jede öffentliche Website zuerst über HTTPS zu laden. Klappt das nicht, erscheint vor dem ersten Aufruf eine Warnung, die Besucher bestätigen müssen. Bei Seiten, die jemand regelmäßig besucht, verzichtet Chrome auf wiederholte Hinweise. Für neue Besucher, also genau die, die dich über Google finden, wird eine reine HTTP-Website damit zur echten Hürde.

HTTP vs. HTTPS: Welche Rolle spielt das SSL-Zertifikat?

HTTP überträgt Inhalte im Klartext. HTTPS ist dasselbe Protokoll, abgesichert durch eine Verschlüsselungsschicht namens TLS. Umgangssprachlich ist meist noch von SSL die Rede. SSL ist der veraltete Vorgänger von TLS, der Begriff „SSL-Zertifikat“ hat sich trotzdem gehalten.

Das Zertifikat erfüllt zwei Aufgaben. Erstens weist es nach, dass der Server zu deiner Domain gehört: Eine anerkannte Zertifizierungsstelle hat geprüft, dass du die Domain kontrollierst, und das Zertifikat signiert. Der Browser vertraut dieser Stelle und damit deinem Zertifikat. Zweitens ermöglicht es einen sicheren Verbindungsaufbau: Browser und Server handeln beim Aufruf einen gemeinsamen Sitzungsschlüssel aus, mit dem anschließend alle Daten verschlüsselt werden. Wer die Verbindung abhört, sieht nur Zeichensalat.

Fehlt einer dieser Bausteine, kann der Browser die Verbindung nicht als sicher einstufen.

DV, OV oder EV: Welches Zertifikat brauchst du?

Für die meisten Websites reicht ein domainvalidiertes Zertifikat (DV). Es wird automatisch ausgestellt und verschlüsselt genauso stark wie aufwendiger geprüfte Varianten. Organisationsvalidierte (OV) und Extended-Validation-Zertifikate (EV) prüfen zusätzlich dein Unternehmen und tragen den Firmennamen ins Zertifikat ein. Die Verschlüsselung wird dadurch nicht besser, und die früher grün hervorgehobene Firmenanzeige in der Adressleiste zeigen aktuelle Browser nicht mehr an. Ein Wildcard-Zertifikat lohnt sich, wenn du viele Subdomains absichern willst.

Die häufigsten Ursachen für „Nicht sicher“

Kein Zertifikat: Deine Website läuft noch über HTTP

Der Klassiker bei älteren Seiten oder frisch eingerichteten Domains: Es ist kein Zertifikat installiert, oder es wurde für die Domain noch nicht aktiviert. Die Seite ist dann nur über http:// erreichbar.

Abgelaufenes Zertifikat

Zertifikate gelten nur für einen begrenzten Zeitraum, und die Laufzeiten werden kürzer. Seit dem 15. März 2026 dürfen öffentlich vertrauenswürdige Zertifikate höchstens 200 Tage gültig sein. Ab dem 15. März 2027 sind es 100 Tage, ab dem 15. März 2029 noch 47 Tage. Das hat das CA/Browser Forum beschlossen, ein Gremium aus Zertifizierungsstellen und Browserherstellern. Let’s Encrypt stellt aktuell 90-Tage-Zertifikate aus und verkürzt auf 64 Tage ab Februar 2027 und auf 45 Tage ab Februar 2028.

Für dich heißt das: Einmal im Jahr von Hand erneuern funktioniert nicht mehr. Ohne automatische Verlängerung läuft ein Zertifikat früher oder später unbemerkt ab, und deine Besucher landen auf der Warnseite.

Zertifikat passt nicht zur Adresse

Das Zertifikat muss genau die Adresse abdecken, die aufgerufen wird. Ein häufiger Stolperstein: Das Zertifikat gilt für deinedomain.de, Besucher kommen aber über www.deinedomain.de, oder umgekehrt. Dasselbe passiert bei Subdomains wie shop.deinedomain.de. Ebenfalls problematisch sind selbstsignierte Zertifikate, die keine anerkannte Stelle ausgestellt hat, und fehlende Zwischenzertifikate. Letztere fallen nicht in jedem Browser auf, was die Fehlersuche erschwert.

Mixed Content: HTTPS-Seite mit HTTP-Inhalten

Das Zertifikat ist in Ordnung, die Seite lädt über HTTPS, aber einzelne Bilder, Skripte, Stylesheets, Schriften oder eingebettete Inhalte kommen noch über http://. Diesen Mix nennt man Mixed Content. Er entsteht typischerweise nach der Umstellung auf HTTPS, weil in alten Beiträgen, im Theme oder in Plugin-Einstellungen noch fest eingetragene HTTP-Adressen stehen.

Skripte, Stylesheets und iFrames über HTTP blockieren Browser komplett, sodass Funktionen oder das Layout kaputtgehen können. Bilder, Videos und Audio versucht Chrome automatisch über HTTPS nachzuladen und blockiert sie, wenn das nicht klappt. In beiden Fällen gilt die Seite nicht mehr als vollständig sicher.

Fehlerhafte HTTPS-Weiterleitungen

Ist HTTPS eingerichtet, die Seite aber weiterhin auch über http:// erreichbar, landen Besucher über alte Links oder Lesezeichen auf der unsicheren Version. Umgekehrt kann eine falsch konfigurierte Weiterleitung eine Endlosschleife erzeugen. Der Browser meldet dann „Zu viele Weiterleitungen“ (ERR_TOO_MANY_REDIRECTS). Das passiert oft, wenn Hosting, CMS-Plugin und .htaccess gleichzeitig umleiten. Auch Ketten wie http://deinedomain.de → http://www.deinedomain.de → https://www.deinedomain.de sind unnötig und kosten Ladezeit.

Schritt für Schritt: So findest und behebst du den Fehler

Schritt 1: Fehlermeldung genau lesen

Öffne deine Website in einem privaten Fenster und klick auf das Symbol links neben der Adresse. Je nach Browser ist das ein Schloss, ein durchgestrichenes Schloss oder ein Einstellungssymbol. Dort siehst du, ob die Verbindung sicher ist und welches Zertifikat verwendet wird. Bei einer Warnseite hilft dir der Fehlercode weiter:

• NET::ERR_CERT_DATE_INVALID: Zertifikat abgelaufen (oder falsche Uhrzeit auf dem Gerät)
• NET::ERR_CERT_COMMON_NAME_INVALID: Zertifikat passt nicht zur aufgerufenen Domain
• NET::ERR_CERT_AUTHORITY_INVALID: Zertifikat nicht vertrauenswürdig, etwa selbstsigniert oder mit unvollständiger Kette
• ERR_TOO_MANY_REDIRECTS: Weiterleitungsschleife

Schritt 2: Zertifikat extern prüfen

Ein kostenloser Test wie SSL Labs von Qualys zeigt dir in wenigen Minuten, für welche Domains dein Zertifikat gilt, wann es abläuft und ob die Zertifikatskette vollständig ist. Teste dabei beide Varianten deiner Adresse, mit und ohne www.

Schritt 3: Zertifikat aktivieren oder erneuern

Beim Webhosting erledigst du das in der Regel in der Verwaltungsoberfläche deines Hosters: Domain auswählen, SSL aktivieren. Achte darauf, dass die Variante mit und ohne www abgedeckt ist. Im Webhosting von dogado ist ein SSL-Zertifikat in allen Paketen enthalten.

Betreibst du deine Website auf einem eigenen VPS, bist du selbst zuständig. Mit einem ACME-Client wie Certbot holst du dir Zertifikate von Let’s Encrypt und lässt sie automatisch erneuern. Prüf nach der Einrichtung mit certbot renew --dry-run, ob die Verlängerung funktioniert, und richte eine Benachrichtigung für den Fehlerfall ein.

Schritt 4: Website-Adresse auf HTTPS umstellen

Dein CMS muss wissen, dass es unter https:// läuft. In WordPress änderst du unter Einstellungen → Allgemein die WordPress-Adresse und die Website-Adresse auf https://. Unter Werkzeuge → Website-Zustand bietet WordPress außerdem eine Umstellung auf HTTPS an, sobald ein gültiges Zertifikat erkannt wird. Leg vorher ein Backup an. Passt eine Einstellung nicht, sperrst du dich sonst schnell aus dem Backend aus.

Schritt 5: Mixed Content aufspüren und ersetzen

Öffne die Entwicklertools deines Browsers mit <kbd>F12</kbd> oder per Rechtsklick → „Untersuchen“ und wechsle zur Konsole. Mixed-Content-Warnungen nennen dir die betroffene Datei samt Adresse. Online-Tools wie „Why No Padlock“ listen unsichere Elemente einer Seite ebenfalls auf.

Ersetze die gefundenen http://-Adressen durch https://. In WordPress geht das für die gesamte Datenbank mit einem Suchen-und-Ersetzen-Plugin oder per WP-CLI:

wp search-replace 'http://deinedomain.de' 'https://deinedomain.de' --dry-run

Mit --dry-run siehst du zuerst, was geändert würde. Passt alles, führst du den Befehl ohne diesen Zusatz aus. Prüf außerdem Theme-Dateien, Widgets und externe Einbindungen wie Karten, Videos oder Schriften. Plugins wie Really Simple Security (früher Really Simple SSL) können Mixed Content beim Ausliefern der Seite korrigieren. Dauerhaft sauberer ist es, die Adressen direkt an der Quelle zu ändern.

Schritt 6: Weiterleitung von HTTP auf HTTPS einrichten

Alle Aufrufe über http:// sollten mit einer dauerhaften Weiterleitung (Statuscode 301) auf die passende https://-Adresse führen. Viele Hosting-Oberflächen bieten dafür einen eigenen Schalter, den du bevorzugt nutzen solltest. Auf Apache-Servern geht es alternativ über die .htaccess-Datei:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Richte die Weiterleitung nur an einer Stelle ein, sonst entstehen Schleifen. Teste danach alle vier Varianten: http://, http://www., https:// und https://www. Jede sollte mit möglichst wenigen Weiterleitungen auf deiner Hauptadresse ankommen.

Läuft alles stabil, kannst du zusätzlich HSTS aktivieren. Damit merkt sich der Browser, dass deine Seite nur noch über HTTPS aufgerufen werden darf. Schalte HSTS erst ein, wenn alle Subdomains zuverlässig HTTPS liefern, denn Browser speichern die Vorgabe für die festgelegte Dauer und du kannst sie nicht kurzfristig zurücknehmen.

Schritt 7: Google über die Umstellung informieren

Stell interne Links, Canonical-Tags und deine XML-Sitemap auf https:// um. In der Google Search Console prüfst du anschließend, ob die HTTPS-Version erfasst wird. Mit einer Domain-Property siehst du HTTP und HTTPS gemeinsam. Reiche die aktualisierte Sitemap ein und behalte in den folgenden Wochen den Bericht zur Seitenindexierung im Blick. Saubere 301-Weiterleitungen sorgen dafür, dass Signale wie Backlinks auf die neue Adresse übergehen.

Checkliste: Ist deine Website korrekt abgesichert?

• Alle Varianten (http/https, mit/ohne www) landen per 301 auf derselben HTTPS-Adresse.
• Das Zertifikat deckt alle genutzten Domains und Subdomains ab.
• Die automatische Verlängerung ist aktiv, und du weißt, wer bei einem Fehler benachrichtigt wird.
• Der SSL-Labs-Test zeigt eine vollständige Zertifikatskette.
• Die Browser-Konsole zeigt auf Startseite, Formularen, Login und Checkout keine Mixed-Content-Warnungen.
• Im CMS ist die Website-Adresse auf https:// eingestellt.
• Sitemap, Canonical-Tags und interne Links verwenden https://.
• Externe Einbindungen wie Karten, Videos, Schriften und Tracking laden über HTTPS.
• Ein aktuelles Backup liegt bereit.

Was die Warnung für dein Business bedeutet

Eine Sicherheitswarnung trifft Besucher im ungünstigsten Moment, nämlich beim ersten Eindruck. Wer auf einer Warnseite landet, muss aktiv bestätigen, dass er trotzdem weiter will, und viele kehren stattdessen zu den Suchergebnissen zurück. Besonders heikel ist das bei Kontaktformularen, Logins und im Checkout: Genau dort, wo Besucher Daten eingeben sollen, wirkt ein „Nicht sicher“ am stärksten abschreckend. Zahlungsanbieter und Shop-Systeme setzen HTTPS ohnehin voraus.

Fazit: Meist reichen wenige Handgriffe

Hinter „Nicht sicher“ steckt fast immer eine von fünf Ursachen: kein Zertifikat, ein abgelaufenes oder unpassendes Zertifikat, Mixed Content oder fehlerhafte Weiterleitungen. Wenn du die Fehlermeldung liest, das Zertifikat prüfst und die Schritte oben der Reihe nach abarbeitest, bekommst du die Warnung in den meisten Fällen selbst in den Griff. Wegen der kürzeren Zertifikatslaufzeiten zählt danach vor allem eins: dass die Erneuerung automatisch läuft und du merkst, falls sie einmal hakt.

So unterstützt dich dogado

Im Webhosting von dogado ist ein SSL-Zertifikat in allen Paketen enthalten. Läuft deine Seite mit WordPress, bekommst du mit dem WordPress Hosting eine auf WordPress abgestimmte Umgebung. Wenn du Updates und Pflege lieber abgibst, kümmert sich der WordPress Wartung & Service darum. Brauchst du ein Zertifikat für viele Subdomains oder mit geprüftem Firmennamen, findest du passende SSL-Zertifikate. Planst du einen Umzug, übernehmen die Premium Services auf Wunsch die Website-Migration. Und wenn du nach der Umstellung wissen willst, wie deine Seite bei Google dasteht, unterstützt dich unsere SEO-Betreuung.