Website zeigt „Nicht sicher“? 4 Schritte zur Lösung

Als Website-Betreiber ist das Letzte, was du brauchst, eine „Nicht sicher“-Warnung in der Adressleiste deines Browsers. Das wirkt nicht nur unprofessionell. Es bedeutet auch, dass deine Website potenziell ein Risiko für deine Besucher darstellt.

Warum steht bei deiner Website „Nicht sicher“? Wir zeigen dir einen einfachen 4-Schritte-Prozess, mit dem du die Ursache findest und das Problem behebst.

Warum steht bei meiner Website „Nicht sicher“?

Ein „Nicht sicher“ in der Adressleiste deines Browsers bedeutet im Grunde: „Achtung! Du gibst Daten auf dieser Webseite auf eigenes Risiko ein!“

Ohne ein SSL/TLS-Zertifikat verwendet deine Website das veraltete HTTP-Protokoll statt das verschlüsselte HTTPS. Das heißt, Hacker könnten theoretisch alle Daten lesen, die zwischen Website und Besuchern übertragen werden.

Die „Nicht sicher“-Warnung sieht in der Browserleiste der Nutzer so aus:

Diese Warnung sorgt ganz sicher nicht für Vertrauen – besonders nicht aus Sicht eines Kunden. Browser-Warnungen lassen deine Website schnell unseriös wirken. Dadurch könnten potenzielle Kunden abgeschreckt werden und deine Website entweder gar nicht besuchen oder keine Transaktionen abschließen.

Weniger Besucher führen zu weniger Verkäufen. Auf Dauer kann das dein Geschäft ernsthaft belasten.

HTTPS vs HTTP

Um die Risiken einer ungesicherten Website besser zu verstehen, lohnt es sich zuerst, den Unterschied zwischen HTTP und HTTPS zu erklären.

HTTP steht für „Hypertext Transfer Protocol“. Es ist das grundlegende Protokoll, das regelt, wie Webbrowser und Server miteinander kommunizieren. Wenn du eine Website über HTTP aufrufst, werden alle Daten zwischen deinem Computer und dem Server im Klartext übertragen.

HTTPS steht für „Hypertext Transfer Protocol Secure“. Der einzige Unterschied liegt darin, dass ein SSL/TLS-Zertifikat den Datenfluss verschlüsselt. So wird verhindert, dass Hacker sensible Informationen wie Benutzernamen, Passwörter oder Kreditkartendaten auslesen.

Kurz gesagt: HTTPS-Websites sind sicher, HTTP-Websites sind es nicht.

Wenn du genauer wissen möchtest, wie SSL/TLS- und TLS-Verschlüsselung funktionieren, schau dir unseren Beitrag zu SSL/TLS vs TLS an.

Wie behebe ich den „Nicht sicher“-Verbindungsindikator?

Falls du auf deiner Website auf den „Nicht sicher“-Indikator gestoßen bist und das Problem lösen möchtest, folge diesen Schritt-für-Schritt-Anleitungen:

Schritt 1: Installiere ein SSL/TLS-Zertifikat

Der Hauptgrund für die „Nicht sicher“-Warnung ist fehlende Verschlüsselung. Die Installation eines SSL/TLS-Zertifikats ist also der erste Schritt zur Behebung des Problems.

Es gibt verschiedene Wege, um ein SSL/TLS-Zertifikat zu bekommen:

Über deinen Webhoster

Am einfachsten bekommst du ein SSL/TLS-Zertifikat direkt bei deinem Webhosting-Anbieter. Viele Hoster bieten kostenlose SSL/TLS-Zertifikate in ihren kostenpflichtigen Hosting-Tarifen an. (In unserer Liste der besten Webhosting-Services für Funktionen erfährst du, welche das sind.)

Die Installation ist meist so einfach wie den Support-Chat zu kontaktieren und die Aktivierung für dein Konto zu beantragen. Der gesamte Vorgang dauert in der Regel nur wenige Minuten.

Über einen Drittanbieter

Du kannst SSL/TLS-Zertifikate auch bei vertrauenswürdigen Drittanbietern (Certificate Authorities, kurz CAs) kaufen. Einige bekannte Namen in diesem Bereich sind Symantec, GeoTrust und Sectigo (früher Comodo).

Die Installation dieser Zertifikate kann etwas knifflig sein. Der Ablauf unterscheidet sich je nach Webhoster, aber die meisten Anbieter stellen dir Anleitungen zur Verfügung. Oft musst du ein Formular mit den Infos deiner Website ausfüllen und ein paar Codezeilen in die .htaccess-Datei deiner Website einfügen.

Wenn du dich mit Code oder den Einstellungen deiner Website nicht wohlfühlst, bitte einfach einen Entwickler oder deinen Hosting-Anbieter um Unterstützung.

Mit einem WordPress-Plugin

Falls du deine Website mit WordPress erstellt hast, kannst du für die Installation und Verwaltung eines SSL/TLS-Zertifikats Plugins nutzen. Ein Beispiel ist das Plugin Really Simple SSL, das deine Seite auf HTTPS umstellt und Weiterleitungen richtig einrichtet. Wenn du ein kostenloses Zertifikat von Let’s Encrypt verwendest, brauchst du dazu am besten ein Tool wie Certbot oder einen Hosting-Anbieter, der Ausstellung und automatische Erneuerung des Zertifikats übernimmt.

1. Geh in dein WordPress-Dashboard.
2. Klick auf den Tab „Plugins“.
3. Such nach dem Plugin, das du verwenden willst (z.B. Really Simple SSL).
4. Klick auf „Installieren“.
5. Nach der Installation klick auf „Aktivieren“.

Schritt 2: Stelle sicher, dass alle internen und externen Links HTTPS nutzen

Nach der Installation deines SSL/TLS-Zertifikats sollte der Großteil deiner Website sicher sein. Es kann jedoch sein, dass einige Links, Bilder, Videos, Stylesheets oder Skripte – besonders auf älteren Seiten – noch HTTP verwenden. Das nennt man Mixed Content, was die komplette Sicherheit der Seite abschwächen kann.

Moderne Browser blockieren oder stufen unsichere HTTP-Anfragen meist herab, um die Nutzer zu schützen. So stellst du sicher, dass alle internen und externen Links auf HTTPS umgestellt sind:

Typische Bereiche für HTTP-Links

1. HTML-Dateien: Links im Seiteninhalt, wie <a>, <img> oder <script>-Tags.
2. Stylesheets (CSS): Überprüfe, ob alle @import-Regeln oder externen CSS-Dateien per HTTPS geladen werden.
3. Skripte und Bibliotheken: Kontrolliere, ob JavaScript-Dateien oder externe Bibliotheken (z.B. jQuery) HTTPS nutzen.
4. Eingebettete Inhalte: Schau bei iframe-Einbindungen oder Integrationen von Drittanbietern nach.
5. CMS-Konfiguration: Für WordPress oder andere CMS-Plattformen:
   • Passe die „Website-URL“ und „Homepage-URL“-Einstellungen auf HTTPS an (meist in den CMS-Einstellungen).
   • Achte darauf, dass Sitemaps und robots.txt-Dateien auf HTTPS-URLs aktualisiert werden.

Tools, die den Prozess automatisieren

1. Mit Suchen-und-Ersetzen-Tools kannst du alle HTTP-Links zu HTTPS ändern. Für WordPress gibt es Plugins wie Better Search Replace oder Really Simple SSL, die das automatisch machen.
2. Mit einem SSL/TLS-Prüfer findest du unsichere Links oder Ressourcen.
3. Nutze SEO-Software oder Website-Audit-Tools, um nach Mixed-Content-Problemen zu filtern. Viele Tools erstellen dir Berichte, in denen unsichere Ressourcen hervorgehoben werden.

Weiterleitungen und Server-Konfiguration

Du solltest Weiterleitungen einrichten, damit Nutzer und Suchmaschinen automatisch auf die sichere Version deiner Seite weitergeleitet werden. Das geht bei den meisten Webhostern per .htaccess (für Apache-Server) oder per Server-Block-Konfiguration (bei Nginx-Servern).

Folgenden Code kannst du in die Konfigurationsdateien einfügen:

Für Apache (.htaccess):

<br>RewriteEngine On
<br>RewriteCond %{HTTPS} !=on
<br>RewriteCond %{HTTPS} !=on
<br>RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

Für Nginx:

server {
<br>   listen 80;
<br>   listen 80;
<br>    server_name yourdomain.com www.yourdomain.com;
<br>    return 301 https://$host$request_uri;
<br>}

Laufende Wartung

Es kann immer wieder vorkommen, dass gemischte Inhalte auftauchen. Deshalb solltest du deine Website nach Updates oder neuem Content regelmäßig auf Mixed-Content-Probleme überprüfen. Diesen Schritt kannst du auch ganz einfach in deinen Website-Wartungsplan aufnehmen, um sicherzustellen, dass auch zukünftig alle Links und Ressourcen geschützt bleiben.

Schritt 3: Überprüfe, ob du HTTPS in der Google Search Console verfolgst

Google behandelt HTTP- und HTTPS-Seiten als eigenständige Einheiten. Du musst also deine HTTPS-Version als neue Property hinzufügen in der Search Console. Achte danach darauf, dass alle Canonical-Tags und Sitemaps die HTTPS-URLs verwenden, damit es keine Probleme bei der Indexierung gibt.

Nachdem alles eingerichtet ist, prüfe, ob keine HTTP-Seiten mehr indexiert sind. Du findest hierzu den HTTP-Bericht im Menü „Erfahrung“ unter „HTTPS“. Vergewissere dich, dass alle Canonical-Tags auf die HTTPS-Version deiner Seite zeigen und dass deine Sitemap ausschließlich HTTPS-Links enthält. So stellst du sicher, dass Suchmaschinen immer die sichere Version deiner Website bevorzugen und Indexierungsprobleme vermieden werden.

Schritt 4: Neue XML-Sitemap erstellen

Zum Schluss brauchst du eventuell eine neue XML-Sitemap, die alle aktualisierten HTTPS-URLs enthält. Wie bereits erwähnt, behandelt Google HTTP- und HTTPS-Versionen als getrennte Properties. Deshalb solltest du sicherstellen, dass die Datei auf dem neuesten Stand ist.

Du kannst die Online-Tools deines Webhosters oder WordPress-Plugins nutzen, um eine neue XML-Sitemap zu generieren. Nachdem du die Sitemap erstellt hast, reichst du sie in der Google Search Console über das Sitemaps-Menü ein. So kann Googlebot die neue, sichere Seite finden, crawlen und indexieren. Falls du in der Search Console noch eine alte HTTP-Sitemap hast und alle Seiten weitergeleitet wurden, kannst du sie bedenkenlos entfernen.

Halte deine Website sicher

Wenn bei deiner Website „Nicht sicher“ angezeigt wird, liegt das meistens daran, dass kein SSL-Zertifikat vorhanden ist. Zu den wichtigsten Webhosting-Features, die du unbedingt brauchst, gehört ein SSL/TLS-Zertifikat. Die gute Nachricht: Viele Anbieter stellen dieses Zertifikat kostenlos mit ihren Hosting-Paketen bereit – inklusive Anleitung für eine sichere Einrichtung.

Wenn du einen Hoster suchst, der kostenlose SSL/TLS-Zertifikate bietet und alle anderen Anforderungen erfüllt, dann schau dir Softaileds Best Picks für Webhosting an. Wir haben die Recherche übernommen, damit du schnell und unkompliziert den perfekten Hoster findest.