Wenn Chrome, Firefox oder Edge "Nicht sicher" neben der Adresse anzeigt, hat das einen konkreten technischen Grund – meist liegt es am TLS-Zertifikat oder der HTTPS-Konfiguration. Die Warnung ist nicht nur kosmetisch: Besucher springen ab, Conversion sinkt, Google rankt die Seite schlechter.
Die häufigsten Ursachen
- Kein TLS-Zertifikat installiert – die Seite läuft nur über http:// statt https://.
- Zertifikat abgelaufen oder ungültig (passiert oft, wenn manuelle Verlängerung vergessen wurde).
- Zertifikat passt nicht zur Domain (z. B. nur für www, aber Aufruf über die Hauptdomain).
- Mixed Content: HTTPS-Seite lädt Bilder, Skripte oder Schriftarten über http:// – Browser markiert das als unsicher.
- Self-Signed Zertifikat (selbst signiertes Zertifikat ohne anerkannte Zertifizierungsstelle).
Behebung für Betreiber
- Let's Encrypt einrichten: Kostenloses, vertrauenswürdiges Zertifikat. Die meisten Hoster bieten One-Click-Aktivierung. Bei Eigenservern hilft Certbot.
- Auto-Renewal aktivieren: Let's Encrypt-Zertifikate laufen alle 90 Tage ab und werden automatisch erneuert. Wenn die Erneuerung scheitert, gibt es nach 90 Tagen plötzlich Warnungen.
- HTTPS für alle Subdomains: Wildcard-Zertifikat oder einzelne Zertifikate pro Subdomain.
- Mixed Content beheben: Alle internen Links und Assets von http auf https umstellen. Tool: Browser-DevTools-Konsole zeigt Mixed-Content-Warnungen direkt an.
- 301-Weiterleitung von http auf https aktivieren – damit Besucher und Suchmaschinen automatisch auf die sichere Variante umgeleitet werden.
Was, wenn Besucher die Warnung sehen
Die Browser-Warnung "Diese Verbindung ist nicht sicher" lässt sich technisch umgehen ("Erweitert → Trotzdem fortfahren"), aber die meisten Nutzer brechen ab. Außerdem: Browser blockieren manche Aktionen (z. B. Eingaben in Formulare auf nicht-HTTPS-Seiten) komplett.
Erweiterte Maßnahmen
- HSTS-Header (Strict-Transport-Security) aktivieren – zwingt Browser, die Seite immer über HTTPS aufzurufen.
- TLS-Version mindestens 1.2, besser 1.3.
- SSL Labs Server Test laufen lassen – kostenlos, zeigt Schwächen in der TLS-Konfiguration.
- Content-Security-Policy (CSP) Header setzen, um zusätzliche Angriffsvektoren zu reduzieren.