Website wird als „Nicht sicher“ angezeigt? Ursachen und Lösung

Steht links neben der Adresse Ihrer Website „Nicht sicher“, fehlt meistens eine funktionierende verschlüsselte Verbindung: Es gibt kein gültiges SSL-Zertifikat, es ist abgelaufen, oder die Seite wird noch über http:// statt https:// aufgerufen. Das lässt sich fast immer im Kundenbereich Ihres Hosters oder Baukastens beheben, oft kostenlos und in wenigen Minuten.

Unten finden Sie die häufigsten Ursachen, einen Test in sieben Schritten und einen fertigen Text für Ihren Hoster, Ihren Entwickler oder Ihr KI-Werkzeug.

Was „Nicht sicher“ bedeutet

HTTPS ist die verschlüsselte Form der Verbindung zwischen Browser und Website. Was Besucher eingeben – Name, E-Mail, Passwort, Bestellung –, kann unterwegs niemand mitlesen oder verändern.

Damit der Browser einer Website glaubt, dass sie wirklich die ist, für die sie sich ausgibt, braucht sie ein SSL-Zertifikat. Das ist eine Art digitaler Ausweis: ausgestellt für eine bestimmte Adresse und nur eine bestimmte Zeit gültig. Der Browser prüft diesen Ausweis bei jedem Besuch.

Es gibt zwei Arten von Warnungen, und sie bedeuten Verschiedenes:

• „Nicht sicher“ klein in der Adresszeile. Laut Chrome-Hilfe nutzt die Website dann keine private Verbindung, und der Betreiber muss sie mit HTTPS absichern. Meist wird die Seite über http:// aufgerufen.
• Eine ganze Warnseite, etwa „Dies ist keine sichere Verbindung“ in Chrome, „Diese Verbindung ist nicht privat“ in Safari oder „Warnung: Mögliches Sicherheitsrisiko erkannt“ in Firefox. Hier versucht der Browser HTTPS, aber der Ausweis stimmt nicht: abgelaufen, für eine andere Adresse ausgestellt oder nicht vertrauenswürdig.

Für Ihre Besucher ist beides ein Grund, die Seite schnell wieder zu verlassen. Bei der Warnseite kommen die meisten gar nicht erst hinein.

Die häufigsten Ursachen

• HTTPS wurde nie eingeschaltet. Bei vielen Hostern ist ein kostenloses Zertifikat im Paket enthalten, muss aber teils für jede Domain einzeln aktiviert werden.
• Das Zertifikat ist abgelaufen. Zertifikate gelten nur begrenzt – die kostenlosen von Let's Encrypt zum Beispiel derzeit 90 Tage, und die Laufzeiten sollen in den nächsten Jahren weiter sinken. Normalerweise werden sie automatisch verlängert. Diese Verlängerung kann aber still scheitern: nach einem Umzug der Domain, nach geänderten Domain-Einstellungen oder weil beim Hoster eine Zahlung nicht durchging.
• Das Zertifikat passt nicht zur Adresse. Es gilt zum Beispiel für www.ihre-domain.de, aber nicht für ihre-domain.de ohne „www“ – oder umgekehrt.
• Es fehlt die Weiterleitung auf HTTPS. Das Zertifikat ist in Ordnung, aber wer http://ihre-domain.de eintippt oder einem alten Link folgt, bleibt auf der unverschlüsselten Version.
• Gemischte Inhalte. Die Seite selbst kommt über HTTPS, lädt aber Bilder, Schriften oder Skripte noch über http://. Je nach Browser fehlen dann Teile der Seite, ein Formular funktioniert nicht, oder es erscheint eine Warnung.
• Das Problem liegt beim Besucher. Eine falsch eingestellte Uhrzeit am Gerät, ein Firmennetz oder ein Virenscanner können Warnungen auslösen, die sonst niemand sieht.

So finden Sie die Ursache selbst

1. Die Adresse genau ansehen. Klicken Sie in die Adresszeile, damit die ganze Adresse sichtbar wird. Steht dort http:// oder https://? Klicken Sie dann auf das kleine Symbol links neben der Adresse; in Chrome ist das inzwischen ein Regler-Symbol statt eines Schlosses. Über „Verbindung ist sicher“ und „Zertifikat ist gültig“ (je nach Browser-Version heißen die Einträge etwas anders) sehen Sie, für welche Adresse das Zertifikat ausgestellt ist und bis wann es gilt.
2. Ohne „s“ eintippen. Geben Sie http://ihre-domain.de ein, also bewusst ohne „s“. Landen Sie automatisch auf https://? Wenn nicht, fehlt die Weiterleitung.
3. Mit und ohne „www“ testen. Rufen Sie https://www.ihre-domain.de und https://ihre-domain.de auf. Erscheint die Warnseite nur bei einer der beiden, gilt das Zertifikat nur für die andere.
4. Ein anderes Gerät nehmen. Öffnen Sie die Seite auf dem Handy über mobile Daten statt WLAN. Ist dort alles in Ordnung, liegt das Problem wahrscheinlich am ersten Gerät oder Netzwerk, nicht an Ihrer Website.
5. Im Kundenbereich des Hosters nachsehen. Suchen Sie nach „SSL“, „Zertifikat“ oder „Let's Encrypt“. Dort sehen Sie, ob für Ihre Domain ein Zertifikat aktiv ist, ob es abgelaufen ist und ob die automatische Verlängerung eingeschaltet ist. Oft gibt es dort auch einen Schalter wie „HTTPS erzwingen“ oder „Weiterleitung auf HTTPS“.
6. Bei Baukästen und KI-Apps die Domain-Verbindung prüfen. Bei Wix, Jimdo, Squarespace, Lovable, Vercel oder Netlify kümmert sich der Anbieter um das Zertifikat. Haben Sie eine eigene Domain verbunden, zeigt der Bereich für Domains, ob die Verbindung aktiv ist. Steht dort ein Fehler, zeigt die Domain meist nicht mehr dorthin, wo sie soll – dann kann auch kein Zertifikat ausgestellt werden.
7. Nach der Korrektur neu testen. Öffnen Sie die Seite in einem privaten Fenster, in einem zweiten Browser und auf dem Handy. Erst wenn überall https:// ohne Warnung erscheint, ist das Problem gelöst.

Fehlen einzelne Bilder oder reagiert ein Formular nicht, obwohl die Adresszeile in Ordnung aussieht, sind es oft gemischte Inhalte. Die findet man am einfachsten mit Hilfe des Entwicklers (Text unten).

Text für Hoster, Entwickler oder KI

Kommen Sie mit den Schritten oben nicht weiter, schicken Sie diesen Text an den Support Ihres Hosters, an die Person, die Ihre Website betreut, oder fügen Sie ihn in Ihr KI-Werkzeug ein:

Meine Website https://ihre-domain.de wird im Browser als
„Nicht sicher“ angezeigt. Bitte prüfe und behebe:

- Ist für ihre-domain.de und www.ihre-domain.de ein gültiges
  SSL-Zertifikat aktiv? Bis wann gilt es?
- Ist die automatische Verlängerung eingeschaltet, und warum ist
  sie gegebenenfalls gescheitert?
- Leitet http:// dauerhaft (301) auf https:// weiter, für beide
  Adressen, mit und ohne www?
- Lädt die Seite Bilder, Schriften oder Skripte noch über http://?
  Bitte alle auf https:// umstellen.
- Sendet der Server den Header Strict-Transport-Security, damit
  Browser die Seite künftig nur noch über HTTPS aufrufen?

Erkläre mir danach in einfachen Worten, was die Ursache war.

Den letzten Punkt sollten Sie erst angehen, wenn HTTPS überall stabil läuft. Der Header weist Browser an, Ihre Seite für eine festgelegte Zeit nur noch verschlüsselt aufzurufen. Ist in dieser Zeit das Zertifikat kaputt, können Besucher die Warnung nicht einmal mehr auf eigene Gefahr wegklicken, bis es repariert ist.

Wie es um die übrigen Grundlagen steht – Zugänge, Updates, offene Daten –, zeigt der Selbsttest Ist meine Website sicher?.

Damit es nicht wieder passiert

Ein abgelaufenes Zertifikat ist tückisch, weil es sich vorher nicht bemerkbar macht. Die Seite funktioniert bis zum letzten Tag, und am nächsten Morgen sehen alle Besucher die Warnseite. Drei Gewohnheiten helfen:

• Prüfen Sie beim Hoster, dass die automatische Verlängerung eingeschaltet ist und die hinterlegte Zahlungsart noch gilt.
• Sagen Sie Ihrem Entwickler Bescheid, bevor Sie die Domain umziehen oder Domain-Einstellungen ändern.
• Lassen Sie sich warnen, bevor das Zertifikat abläuft, statt es von Kunden zu erfahren.

Für den letzten Punkt gibt es die kostenlose Prüfung von ScanYourSite: ohne Anmeldung, das Ergebnis kommt in etwa einer Minute. Geben Sie Ihre Adresse ein oder öffnen Sie https://scanyoursite.app/de?check=ihre-domain.de mit Ihrer Domain; der Link trägt die Adresse nur ins Feld ein, die Prüfung starten Sie selbst. Sie prüft:

• ob die verschlüsselte Verbindung zu Ihrer Domain zustande kommt – ein abgelaufenes oder nicht passendes Zertifikat fällt hier auf;
• ob das Zertifikat in den nächsten 14 Tagen abläuft;
• ob http:// auf https:// weiterleitet und ob der Header Strict-Transport-Security gesetzt ist;
• ob die Verbindung nur mit einem veralteten Verschlüsselungsverfahren zustande kommt;
• ob die Seite Bilder oder Skripte über http:// einbindet.

Mit einem kostenlosen Konto wird eine Website einmal pro Woche geprüft. Sie bekommen eine Zusammenfassung per E-Mail und eine Warnung, wenn das Zertifikat bald abläuft. Mit Pro (19 € im Monat, drei Websites) wird täglich geprüft und die Erreichbarkeit alle fünf Minuten. Dann erfahren Sie sofort, wenn etwas Neues kaputtgeht oder die Seite ganz ausfällt.