Website nicht sicher: So beheben Sie die Chrome-Warnung

„Nicht sicher“ steht in der Adressleiste, wenn Ihre Seite ohne gültige HTTPS-Verschlüsselung ausgeliefert wird. Dafür gibt es meist drei Ursachen: Es ist kein SSL-Zertifikat aktiviert, das Zertifikat ist abgelaufen, oder die Seite läuft noch über http beziehungsweise lädt einzelne Inhalte unverschlüsselt nach. Alle drei lassen sich beheben, meist ohne Zusatzkosten.

Warum zeigt mein Browser „Nicht sicher“ an?

Chrome markiert seit Version 68 (Juli 2018) jede Seite, die nur über http erreichbar ist, als „Nicht sicher“. Mit Chrome 154, seit dem 22. September 2026 im Stable-Kanal, geht Google einen Schritt weiter: Laut der Ankündigung schaltet Chrome die Einstellung „Immer sichere Verbindungen verwenden“ für öffentliche Seiten standardmäßig ein (Google nennt dafür Oktober 2026) und warnt dann vor dem ersten Besuch einer Seite ohne HTTPS. Besucher bekommen also nicht nur einen Hinweis in der Adressleiste, sondern eine Zwischenseite, bevor Ihre Seite überhaupt lädt. Nutzer können die Funktion abschalten, sich darauf verlassen sollten Sie nicht.

Hinter der Meldung stecken diese drei Ursachen:

• Kein oder nicht aktiviertes SSL-Zertifikat: Der Server kann keine verschlüsselte Verbindung aufbauen.
• Abgelaufenes Zertifikat: Es war da, ist aber nicht mehr gültig. Besucher sehen dann eine Vollbildwarnung („Dies ist keine sichere Verbindung“, Fehlercode NET::ERR_CERT_DATE_INVALID).
• Seite läuft über http oder lädt Inhalte unverschlüsselt (Mixed Content): Das Zertifikat ist vorhanden, WordPress und die Inhalte nutzen aber noch http-Adressen.

Was tun, wenn gar kein SSL-Zertifikat aktiv ist?

Schauen Sie zuerst in Ihr Hosting-Paket. Bei vielen Anbietern ist das Zertifikat bereits enthalten und muss nur der Domain zugewiesen werden. IONOS schreibt auf seiner Hosting-Seite, ein SSL-Zertifikat sei in allen Paketen kostenlos enthalten. Bei STRATO erhalten Kunden mit Hosting-, Mail-, Webshop- oder Homepage-Baukasten-Auftrag ein kostenfreies Zertifikat, das Sie im Kunden-Login unter „SSL verwalten“ über „Zuweisen“ der Domain zuordnen; die Zuordnung kann etwas dauern.

Das gilt nicht überall gleich. Suchen Sie bei Ihrem Anbieter im Kundenbereich nach „SSL“ oder „Zertifikat“. Gibt es dort keine Option, ist ein kostenloses Zertifikat von Let’s Encrypt der übliche Weg, den viele Hoster per Klick anbieten. Für eine normale Unternehmensseite reicht das in der Regel aus.

Was tun, wenn das Zertifikat abgelaufen ist?

Erneuern Sie das Zertifikat beim Hoster und schalten Sie dort die automatische Verlängerung ein. Das ist wichtiger als früher, denn Zertifikate gelten immer kürzer. Die Browser-Hersteller und Zertifizierungsstellen haben im CA/Browser Forum (Beschluss SC-081v3) diese Höchstlaufzeiten für neu ausgestellte Zertifikate festgelegt:

Let’s Encrypt stellt aktuell Zertifikate für 90 Tage aus. Ab dem 10. Februar 2027 sollen es im Standardprofil 64 Tage sein, ab dem 16. Februar 2028 dann 45 Tage. Wer Zertifikate von Hand erneuert, vergisst es irgendwann. Automatik ist deshalb keine Komfortfunktion mehr, sondern Pflicht.

Meine Faustregel: Schalten Sie die automatische Verlängerung ein und tragen Sie sich trotzdem einmalig einen Kalendertermin zwei Wochen vor dem angezeigten Ablaufdatum ein – so sehen Sie beim ersten Mal selbst, ob die Verlängerung wirklich durchgelaufen ist.

Wie stelle ich meine WordPress-Seite auf HTTPS um?

Sobald das Zertifikat aktiv ist, müssen WordPress und die Adresse Ihrer Seite auf https zeigen. Machen Sie vorher ein Backup, wie in Backup einer WordPress-Seite beschrieben. Dann gibt es zwei Wege:

• Per Knopf im Website-Zustand: Gehen Sie zu Werkzeuge › Website-Zustand. Dort erscheint seit WordPress 5.7 eine Aktion zum Umstellen auf HTTPS, aber nur unter vier Bedingungen: Die Seite nutzt noch kein HTTPS, der Server unterstützt HTTPS bereits (das Zertifikat ist also aktiv), WP_HOME und WP_SITEURL sind nicht in der wp-config.php festgelegt, und Sie sind Administrator.
• Manuell: Fehlt der Knopf, tragen Sie unter Einstellungen › Allgemein bei „WordPress-Adresse (URL)“ und „Website-Adresse (URL)“ jeweils die https-Adresse ein. Sind WP_HOME oder WP_SITEURL in der wp-config.php gesetzt, ändern Sie die Adresse dort.

Läuft die Seite schon auf HTTPS, steht der Test im Website-Zustand unter „Bestandene Tests“. Dann liegt das Problem an Weiterleitungen oder an Mixed Content.

Wie leite ich alte http-Adressen auf https um?

Richten Sie eine 301-Weiterleitung ein, damit jede alte http-Adresse dauerhaft auf die passende https-Adresse führt. Am einfachsten geht das beim Hoster, oft als Schalter „HTTPS erzwingen“ oder „SSL-Weiterleitung“. Auf Apache-Servern funktioniert alternativ die .htaccess im Hauptverzeichnis. Dieses Beispiel basiert auf den Rewrite-Rezepten der Apache-Dokumentation und gehört vor den WordPress-Block:

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Sichern Sie die .htaccess vorher. Lädt die Seite danach nicht mehr, stellen Sie die alte Datei wieder her und fragen Sie Ihren Hoster, wie dort die Weiterleitung vorgesehen ist.

Wie finde ich Mixed Content und behebe ihn?

Mixed Content bedeutet: Die Seite selbst lädt per HTTPS, einzelne Bilder, Skripte oder Schriften aber über http. Laut MDN laden Browser manche Inhalte wie normale Bilder automatisch per https nach, blockieren aber Skripte, Stylesheets und iFrames. Die Folge sind kaputte Layouts oder fehlende Funktionen. So gehen Sie vor:

1. Öffnen Sie die Seite, drücken Sie F12 und wechseln Sie in die Konsole. Laden Sie die Seite neu: Dort stehen Warnungen mit den betroffenen http-Adressen.
2. Ersetzen Sie die Adressen, meist per Suchen-und-Ersetzen in der Datenbank von „http://ihredomain.de“ durch „https://ihredomain.de“. Machen Sie vorher unbedingt ein Backup und nutzen Sie dafür ein Plugin, das serialisierte Daten korrekt behandelt.
3. Prüfen Sie Theme-Einstellungen, eingebettete Skripte und Elementor- oder Page-Builder-Inhalte auf fest eingetragene http-Adressen.
4. Laden Sie die Seite erneut und prüfen Sie, ob die Konsole leer ist.

Bleibt die Meldung bestehen, obwohl alles auf https steht, und haben Sie Inhalte, die Sie nicht selbst angelegt haben, lesen Sie WordPress gehackt – was tun?.

Gilt das in Österreich genauso?

Ja. Die Warnungen kommen aus dem Browser und den Zertifikatsregeln der Branche, nicht aus nationalem Recht. Sie sind in Deutschland und Österreich identisch. Auch die Schritte bei Hoster und WordPress sind dieselben. Rechtlich gilt in beiden Ländern die DSGVO: Artikel 32 nennt Verschlüsselung personenbezogener Daten ausdrücklich als mögliche Schutzmaßnahme. Wer ein Kontaktformular betreibt, sollte es deshalb nicht über http ausliefern. Eine Vorschrift, die „SSL“ als solches verlangt, steht dort nicht. Das ist keine Rechtsberatung, Stand Oktober 2026; bei konkreten Fragen wenden Sie sich an eine Fachperson.

Häufige Fragen

Kostet ein SSL-Zertifikat Geld?

In der Regel nicht. Viele Hosting-Pakete enthalten eines, und Let’s Encrypt stellt Zertifikate für jeden Domaininhaber kostenlos aus. Prüfen Sie zuerst, was Ihr Paket bereits mitbringt.

Bedeutet „Nicht sicher“, dass meine Website gehackt wurde?

Nein. Die Meldung sagt nur, dass die Verbindung nicht verschlüsselt oder das Zertifikat ungültig ist. Der Inhalt Ihrer Seite wird dadurch nicht bewertet. Unerklärliche neue Seiten oder Weiterleitungen sind ein anderes Thema und gehören in die Hacking-Prüfung.

Warum zeigt meine Seite trotz Zertifikat noch eine Warnung?

Meist ist es Mixed Content oder die WordPress-Adresse steht noch auf http. Prüfen Sie die Adressen unter Einstellungen › Allgemein und die Browser-Konsole.

Muss ich nach der Umstellung bei Google etwas tun?

Google empfiehlt bei einem Wechsel von http auf https serverseitige 301-Weiterleitungen, die Einrichtung der https-Variante in der Search Console und eine Sitemap mit den neuen Adressen. Eine Adressänderung ist dort laut Google nicht nötig. Falls die Seite danach schlechter auffindbar ist, hilft Website nicht bei Google zu finden.

Kann ich das nicht einfach jemand machen lassen?

Ja. Wenn Zertifikat, Weiterleitung und Mixed Content bei Ihnen zusammenkommen, übernehme ich das im Rahmen meiner Webdesign-Leistungen, ortsunabhängig. Schreiben Sie mir über die Kontaktseite.