Was ist SSL und warum steht bei meiner Website „nicht sicher“?
Die Meldung „Nicht sicher“ erscheint, wenn die Verbindung zwischen dem Browser und Ihrer Website nicht oder nicht vollständig verschlüsselt ist. Dafür gibt es fünf mögliche Ursachen: Es gibt kein Zertifikat, es ist abgelaufen, es wurde für einen anderen Hostnamen ausgestellt, die Seite lädt Bestandteile über http, oder der Besucher landet auf der http-Version, weil es keine Weiterleitung auf https gibt.
Was ein SSL-Zertifikat tut
Ein SSL-Zertifikat verschlüsselt den Verkehr zwischen dem Besucher und Ihrem Server und belegt, dass der Browser mit dem richtigen Server spricht. Das ist auch auf einer Website ohne Formulare nötig: Browser markieren jede http-Seite als unsicher, und Suchmaschinen werten https als Signal.
Zuerst nachsehen: Welche Meldung sehen Sie genau?
Chrome und Edge zeigen unter einer bildschirmfüllenden Warnung einen Code an. Er weist auf die Ursache hin.
- „Nicht sicher“ in der Adressleiste, aber die Seite lädt ganz normal — Sie sind auf der http-Adresse. Ursache 1 oder 5.
- NET::ERR_CERT_DATE_INVALID — das Zertifikat ist abgelaufen, oder die Uhr Ihres Geräts geht falsch. Ursache 2.
- NET::ERR_CERT_COMMON_NAME_INVALID — das Zertifikat gehört zu einem anderen Namen. Ursache 3.
- NET::ERR_CERT_AUTHORITY_INVALID — das Zertifikat stammt nicht von einer anerkannten Zertifizierungsstelle. Behandeln Sie das wie Ursache 1.
- Die Warnung kommt nur auf manchen Seiten, oder Bilder und Layout fallen weg — gemischte Inhalte. Ursache 4.
1. Es gibt kein Zertifikat
Ohne Zertifikat existiert die https-Version Ihrer Website nicht. Zu unseren Hostingpaketen gehört ein kostenloses Let's-Encrypt-Zertifikat, das automatisch erneuert wird. Ein solches Zertifikat kann erst ausgestellt werden, wenn der Domainname auf das Hosting zeigt, denn die Zertifizierungsstelle prüft zuerst, ob der Name wirklich bei diesem Server ankommt. Haben Sie das DNS gerade erst geändert, kann das Zertifikat noch fehlen. Warum das etwas dauert, lesen Sie in warum eine DNS-Änderung manchmal so lange dauert. Bleibt das Zertifikat danach aus, nehmen Sie Kontakt mit uns auf.
2. Das Zertifikat ist abgelaufen
Jedes Zertifikat hat ein Ablaufdatum. Let's-Encrypt-Zertifikate sind bewusst nur kurz gültig und werden deshalb automatisch erneuert. Die Erneuerung scheitert, wenn der Domainname nicht mehr auf den Server zeigt, zum Beispiel weil das DNS zu einem anderen Anbieter umgezogen ist. Sehen nur Sie die Warnung und andere nicht, prüfen Sie Datum und Uhrzeit Ihres eigenen Geräts: Geht die Uhr falsch, wirkt jedes Zertifikat ungültig.
3. Das Zertifikat passt nicht zum Hostnamen
Ein Zertifikat gilt nur für die Namen, die darin stehen. Steht nur www.ihredomain.be darin und jemand ruft ihredomain.be auf, folgt eine Warnung. Dasselbe passiert bei einer Subdomain, die nicht im Zertifikat steht, oder kurz nach einem Umzug, wenn der Domainname noch auf den alten Server zeigt. Klicken Sie im Browser auf die Warnung und sehen Sie sich das Zertifikat an: In den Details steht, für welche Namen es gilt. Die Varianten mit und ohne www gehören beide hinein.
4. Gemischte Inhalte
Die häufigste Ursache, wenn ein gültiges Zertifikat vorhanden ist. Die Seite selbst kommt über https, aber im Quelltext stehen noch Adressen, die mit http beginnen: ein Bild, ein Skript, eine Schriftart. Skripte und Stylesheets mit einer solchen Adresse blockiert der Browser; Bilder versucht er selbst über https abzurufen und lässt sie weg, wenn das misslingt. Sie sehen dann eine Warnung oder eine Seite, auf der Teile fehlen.
- Öffnen Sie die Seite, drücken Sie F12 und sehen Sie im Tab Konsole nach. Bei jeder http-Adresse steht dort Mixed Content.
- WordPress: Stellen Sie unter Einstellungen, Allgemein sowohl die WordPress-Adresse als auch die Website-Adresse auf https um.
- Ersetzen Sie in der Datenbank die alten http-Adressen Ihrer eigenen Domain durch https. Nutzen Sie dafür ein Plugin zum Suchen und Ersetzen, und erstellen Sie vorher ein Backup.
- Prüfen Sie Theme-Einstellungen, Widgets und eigenes CSS auf fest eingetragene Adressen.
- Leeren Sie danach den Cache Ihrer Website und Ihres Browsers, sonst sehen Sie weiter den alten Quelltext. Siehe was ist Caching.
5. Keine Weiterleitung von http auf https
Ein Zertifikat zu installieren ändert nichts an der http-Adresse: Sie funktioniert weiter, und wer einem alten Link oder Lesezeichen folgt, bekommt „Nicht sicher“ zu sehen. Leiten Sie deshalb jede http-Anfrage mit einer 301 auf https weiter. Auf den meisten Hostings geschieht das mit einer Rewrite-Regel in .htaccess; was diese Datei tut, lesen Sie in was können Sie mit einer .htaccess-Datei machen. Testen Sie danach vier Adressen: http und https, jeweils mit und ohne www. Alle vier müssen auf derselben https-Adresse ankommen, ohne Schleife.
Kostenloses oder bezahltes Zertifikat
Die Verschlüsselung ist dieselbe. Für eine gewöhnliche Website reicht das kostenlose Zertifikat vollkommen aus. Ein bezahltes Zertifikat fügt eine Prüfung Ihrer Organisation hinzu, keine stärkere Verschlüsselung. Die Stufen stehen unter SSL-Zertifikate.
Häufige Fragen
Wurde meine Website gehackt, wenn dort „Nicht sicher“ steht?
Nein. Die Meldung sagt etwas über die Verbindung aus, nicht über den Inhalt Ihrer Website. Auch eine gehackte Website kann ein gültiges Zertifikat haben.
Warum sehe ich die Meldung auf meinem Telefon und nicht auf meinem Computer?
Meist öffnet das eine Gerät die http-Adresse aus einem alten Lesezeichen und das andere die https-Adresse. Auch ein falsches Datum auf dem Gerät ergibt dieses Bild.
Darf ich die Warnung wegklicken?
Auf Ihrer eigenen Website, um die Ursache zu suchen, geht das. Verlangen Sie es nie von Ihren Besuchern: Die meisten springen ab.
Klappt es nicht?
Schicken Sie uns über Kontakt Ihren Domainnamen und die genaue Meldung oder den Code aus dem Browser. Wir prüfen, welches Zertifikat Ihre Website ausliefert.