HTTPS: Browser warnen vor Websites ohne SSL-Zertifikat
Erstmals erschienen im Februar 2016, im Oktober 2026 neu geschrieben.
Im Februar 2016 war dieser Beitrag eine Ankündigung: Google wolle Websites ohne Verschlüsselung im Browser Chrome bald ausdrücklich kennzeichnen. Das ist längst geschehen. Seit Juli 2018 zeigt Chrome bei jeder Seite ohne HTTPS den Hinweis «Nicht sicher» in der Adresszeile, andere Browser warnen ähnlich. Verschlüsselung ist heute Standard, und es fällt auf, wenn sie fehlt.
Was HTTPS macht
HTTPS verschlüsselt die Verbindung zwischen dem Browser und dem Server. Was jemand in ein Formular tippt, kann unterwegs niemand mitlesen oder verändern, weder im WLAN des Cafés noch beim Internetanbieter. Das Zertifikat bestätigt ausserdem, dass der Browser wirklich mit der Domain spricht, die in der Adresszeile steht.
Über den Betreiber sagt es nichts. Auch eine betrügerische Website kann ein gültiges Zertifikat haben. HTTPS sagt nur, dass die Leitung dicht ist, nicht, ob der Absender seriös ist.
SSL, TLS und das Zertifikat
Alle sagen «SSL-Zertifikat», technisch ist SSL seit Jahren abgelöst. Das Verfahren heisst heute TLS, der alte Name ist geblieben. Für dich als Betreiber ändert das nichts: Du brauchst ein Zertifikat für deine Domain, und der Server muss es ausliefern.
Dieses Zertifikat kostet in der Regel nichts mehr. Die gemeinnützige Zertifizierungsstelle Let’s Encrypt stellt seit Ende 2015 kostenlose Zertifikate aus, und die meisten Hoster richten sie auf Knopfdruck ein und erneuern sie automatisch. Bezahlte Zertifikate, bei denen auch die Firma geprüft wird, gibt es weiterhin. Im Browser sieht man den Unterschied kaum noch, seit Chrome und Firefox 2019 den Firmennamen aus der Adresszeile entfernt haben.
Was Google daraus gemacht hat
- 2014: HTTPS wird ein Signal für die Platzierung in der Suche. Ein leichtes, es entscheidet höchstens zwischen sonst gleichwertigen Seiten.
- 2017: Chrome warnt bei Seiten ohne HTTPS, die ein Passwort oder Kreditkartendaten abfragen.
- 2018: Chrome kennzeichnet alle Seiten ohne HTTPS als «Nicht sicher».
- 2023: Chrome ersetzt das Schloss in der Adresszeile durch ein neutrales Symbol. Die verschlüsselte Verbindung ist der Normalfall, und das Schloss wurde zu oft als Gütesiegel für die ganze Website verstanden.
Woran die Umstellung oft hängt
Das Zertifikat ist meist in Minuten eingerichtet. Die Arbeit steckt in den Resten der alten Adresse:
- Gemischte Inhalte. Die Seite kommt verschlüsselt, ein Bild oder ein Skript darin wird noch über die alte Adresse geladen. Browser blockieren solche Teile oder zeigen eine Warnung.
- Fehlende Weiterleitung. Die unverschlüsselte Adresse muss dauerhaft auf die verschlüsselte weiterleiten. Sonst bleibt die Seite unter beiden erreichbar.
- Alte Adressen im System. In WordPress stehen die Adresse der Website in den Einstellungen und alte Links in den Inhalten. Beides muss angepasst werden.
- Abgelaufenes Zertifikat. Das ist schlimmer als gar keines: Der Browser zeigt statt der Seite eine ganzseitige Warnung. Prüfe, ob die automatische Erneuerung läuft.
So prüfst du deine Website
Tippe deine Domain ohne das «s» in die Adresszeile, also mit «http» am Anfang. Du solltest automatisch auf der verschlüsselten Adresse landen. Klick dann auf das Symbol links neben der Adresse: Dort steht, ob die Verbindung sicher ist. Das Ablaufdatum findest du einen Klick weiter in den Angaben zum Zertifikat.
Öffne danach zwei oder drei Unterseiten mit vielen Bildern und ein Formular. Meldet der Browser nirgends etwas, ist die Umstellung sauber. Verschlüsselung ist einer von mehreren Punkten, an denen Besucher Vertrauen fassen. Die anderen stehen im Beitrag Das macht Websites erfolgreich.