Ratgeber · Sicherheit & HTTPS
Website „nicht sicher“? Ursachen erkennen und dauerhaft beheben.
Statt eines unauffälligen Symbols steht neben Ihrer Adresse „Nicht sicher“ – oder Besucher sehen gleich eine ganzseitige Warnung. Das wirkt alarmierend, hat aber fast immer eine überschaubare technische Ursache. Dieser Ratgeber erklärt, was die Warnung bedeutet, woher sie kommt und wie Sie sie dauerhaft loswerden.
- Ursachen verständlich erklärt
- Lösung Schritt für Schritt
- Zertifikat dauerhaft im Blick
- Stand: Oktober 2026
Was die Warnung „Nicht sicher“ bedeutet.
Die Meldung sagt nichts darüber aus, ob Ihre Website gehackt ist. Sie betrifft die Verbindung zwischen Browser und Server: Läuft diese nicht verschlüsselt über HTTPS, könnten Dritte – etwa in einem offenen WLAN – mitlesen oder Inhalte verändern. Wie die Warnung aussieht, hängt vom Browser ab:
- Chrome zeigt bei Seiten ohne HTTPS „Nicht sicher“ neben der Adresse. Google hat angekündigt, mit Chrome 154 für alle Nutzer standardmäßig nur noch sichere Verbindungen vorzusehen: Vor dem ersten Aufruf einer öffentlichen Seite ohne HTTPS fragt Chrome dann nach.
- Firefox markiert unverschlüsselte Seiten mit einem rot durchgestrichenen Schloss.
- Safari zeigt bei unverschlüsselten Verbindungen in der Regel „Nicht sicher“ in der Adressleiste.
Davon zu unterscheiden ist die ganzseitige Warnung, die Verbindung sei nicht privat. Sie erscheint, wenn das Zertifikat nicht stimmt – etwa weil es abgelaufen ist oder nicht zur Adresse passt. Besucher müssen sie aktiv übergehen, um überhaupt auf Ihre Seite zu kommen. Details zu den Anzeigen erklärt die Chrome-Hilfe von Google.
Die fünf häufigsten Ursachen.
Hinter der Warnung steckt fast immer eine dieser Ursachen, manchmal mehrere gleichzeitig. Übrigens: „SSL“ ist der ältere Name, technisch ist heute TLS gemeint.
1. Kein SSL/TLS-Zertifikat: Die Website ist nur über http:// erreichbar – typisch für ältere Seiten, die lange niemand angefasst hat.
2. Abgelaufenes Zertifikat: Zertifikate gelten nur begrenzt. Scheitert die automatische Verlängerung, etwa nach einem Hosterwechsel oder geänderten DNS-Einstellungen, sehen Besucher die ganzseitige Warnung.
3. Zertifikat passt nicht zur Domain: Es gilt nur für „ihrefirma.de“, Besucher kommen aber über „www.ihrefirma.de“ – oder umgekehrt. Dasselbe gilt für Subdomains und Zusatzdomains.
4. Mixed Content: Die Seite lädt über HTTPS, bindet aber einzelne Bilder, Skripte oder Schriften noch über http:// ein. Unsichere Skripte blockieren Browser in der Regel, Bilder werden je nach Browser umgestellt oder nicht geladen. Typisch nach einer Umstellung, bei der fest eingetragene Adressen übersehen wurden.
5. Fehlende Weiterleitung: Das Zertifikat ist da, aber die http-Adresse funktioniert weiter ohne Umleitung. Wer über ein altes Lesezeichen oder einen fremden Link kommt, landet auf der unsicheren Variante.
Warum die Warnung Ihnen schadet.
Vertrauen: Viele Besucher können „Nicht sicher“ nicht einordnen – sie sehen nur, dass ihr Browser warnt. Wer gerade mehrere Betriebe vergleicht, klickt im Zweifel weiter.
Formulare und Datenschutz: Kontaktformulare, Logins oder Bestellungen übertragen personenbezogene Daten, ohne HTTPS unverschlüsselt. Die DSGVO verlangt angemessene technische Schutzmaßnahmen (Art. 32) – damit ist das kaum vereinbar.
Google: Google hat HTTPS 2014 als ausdrücklich leichtes Rankingsignal eingeführt und fragt in seinen Hinweisen zur Nutzerfreundlichkeit, ob Seiten sicher ausgeliefert werden. HTTPS allein bringt Sie nicht nach oben – fehlende Verschlüsselung ist aber ein vermeidbarer Nachteil.
So beheben Sie das Problem – Schritt für Schritt.
Die Reihenfolge zählt: erst das Zertifikat, dann die Weiterleitung, dann das Aufräumen.
1. Zertifikat beim Hoster aktivieren. Viele Hoster bieten kostenlose Let’s-Encrypt-Zertifikate an, die sich im Kundenmenü einschalten lassen und automatisch verlängert werden. Das Zertifikat muss alle genutzten Varianten abdecken – mit und ohne „www“.
2. 301-Weiterleitung einrichten. Jede http-Adresse leitet dauerhaft auf die passende https-Adresse um – Seite für Seite, nicht pauschal auf die Startseite. Legen Sie eine Hauptvariante fest (mit oder ohne „www“) und leiten Sie die andere dorthin um.
3. Mixed Content beheben. Die Konsole in den Entwicklertools Ihres Browsers zeigt, welche Inhalte noch über http:// laden. Im CMS die Website-Adresse auf https umstellen und fest eingetragene Links in Inhalten, Theme und Plugins ersetzen. Hintergründe erklärt web.dev zu Mixed Content.
4. Interne Verweise aktualisieren. Interne Links, Canonical-Tags, hreflang-Angaben und die XML-Sitemap sollten direkt auf https-Adressen zeigen. Auch Ihr Google-Unternehmensprofil und Social-Media-Profile gehören angepasst.
5. Search Console aktualisieren. Eine Domain-Property erfasst http und https gemeinsam; alternativ legen Sie die https-Variante als eigene Property an und reichen die Sitemap neu ein. Das Tool zur Adressänderung brauchen Sie dafür laut Googles Anleitung zu Website-Umzügen nicht.
6. Gegenprobe machen. Rufen Sie alle vier Varianten auf – http und https, je mit und ohne „www“. Alle müssen auf derselben https-Adresse landen, ohne Warnung. Testen Sie danach Ihr Kontaktformular.
Den Ablauf des Zertifikats im Blick behalten.
Seit dem 15. März 2026 dürfen öffentlich vertrauenswürdige Zertifikate höchstens 200 Tage gültig sein. Nach einem Beschluss des CA/Browser Forums sinkt die Grenze ab März 2027 auf 100 und ab März 2029 auf 47 Tage. Let’s Encrypt stellt derzeit standardmäßig 90-Tage-Zertifikate aus und hat ebenfalls kürzere Laufzeiten angekündigt. Manuelles Erneuern ist damit keine Option mehr. Was Sie brauchen:
- Eine automatische Verlängerung – erneut geprüft nach jeder Änderung an Domain oder DNS
- Ein Monitoring, das warnt, bevor ein Zertifikat abläuft oder wenn eine Verlängerung scheitert
- Eine klare Zuständigkeit: Wer bekommt die Warnung, und wer reagiert?
- Einen regelmäßigen Blick auf alle Domains und Subdomains, auch selten genutzte
Wann Sie sich Hilfe holen sollten.
Bietet Ihr Hoster das Zertifikat per Klick an, schaffen Sie die Umstellung oft selbst. Hilfe lohnt sich, wenn die Warnung trotz Zertifikat bleibt, Mixed Content tief in Theme oder Datenbank steckt, Ihnen der Zugang zu Hosting oder Domain fehlt – oder über Ihre Website Anfragen und Bestellungen laufen.
Im kostenlosen Website-Check sehe ich mir Ihre Website persönlich an und sage Ihnen ehrlich, was zu tun ist. Wer das Thema dauerhaft abgeben möchte: Bei der Website-Betreuung übernehme ich den laufenden technischen Betrieb – auf Wunsch mit Monitoring –, damit ein abgelaufenes Zertifikat nicht erst Ihren Kunden auffällt.
Häufige Fragen.
Kostet ein SSL-Zertifikat Geld?
Nicht zwingend. Viele Hoster bieten kostenlose Let’s-Encrypt-Zertifikate mit automatischer Verlängerung an. Für eine normale Unternehmens-Website reichen diese aus. Kostenpflichtige Zertifikate unterscheiden sich vor allem bei der Prüfung des Unternehmens und beim Service, nicht bei der Verschlüsselung.
Ich habe ein Zertifikat – warum zeigt der Browser trotzdem „Nicht sicher“?
Meist liegt es an Mixed Content, also Bildern oder Skripten, die noch über http:// laden, oder an einer fehlenden Weiterleitung auf https. Auch ein Zertifikat, das nur die Variante ohne „www“ abdeckt, löst Warnungen aus. Die Browser-Konsole zeigt in der Regel, woran es liegt.
Verliere ich Google-Rankings, wenn ich auf HTTPS umstelle?
Bei sauberer Umsetzung in der Regel nicht. Google behandelt den Wechsel als Website-Umzug; dauerhafte 301-Weiterleitungen führen laut Google nicht zu einem Verlust an PageRank. Vorübergehende Schwankungen sind möglich, während Google die neuen Adressen erfasst.
Heißt „Nicht sicher“, dass meine Website gehackt wurde?
Nein. Die Warnung betrifft nur die Verbindung. Erkennt Google dagegen Schadsoftware oder Phishing, stuft Chrome die Seite als gefährlich ein und zeigt eine rote, ganzseitige Warnung – ein anderes Problem, das sofort behoben werden muss.
Wie oft muss das Zertifikat erneuert werden?
Öffentliche Zertifikate sind seit März 2026 höchstens 200 Tage gültig, ab März 2027 höchstens 100 und ab März 2029 höchstens 47 Tage. Entscheidend ist deshalb eine automatische Verlängerung mit Überwachung, nicht der genaue Rhythmus.
Die Warnung soll verschwinden – und zwar dauerhaft?
Ich sehe mir Ihre Website persönlich an und sage Ihnen ehrlich, wo es hakt und was zu tun ist. Kostenlos und unverbindlich.
