Welche Warnung was bedeutet
Browser zeigen unterschiedliche Warnungen, und jede hat eine andere Ursache. Diese Übersicht hilft bei der Einordnung:
| Meldung | Bedeutung | Typische Ursache |
|---|---|---|
| „Nicht sicher“ neben der Adresse | Die Verbindung ist nicht verschlüsselt | Die Seite läuft über http statt https |
| „Dies ist keine sichere Verbindung“ als Warnseite | Das Zertifikat ist ungültig | Abgelaufen, falsche Domain oder unvollständig eingerichtet |
| Schloss mit Warnhinweis oder fehlendes Schloss | Die Seite ist verschlüsselt, lädt aber unsichere Inhalte | Mixed Content: Bilder oder Skripte über http |
| Rote Seite „Gefährliche Website“ | Google stuft die Seite als gefährlich ein | Malware, Phishing oder gehackte Inhalte |
Die häufigsten Ursachen
Kein HTTPS
Läuft eine Website noch über http, werden alle Daten unverschlüsselt übertragen. Browser markieren solche Seiten seit Jahren als „Nicht sicher“, bei Formularen besonders deutlich. Für Google ist HTTPS zudem ein Rankingfaktor.
Abgelaufenes Zertifikat
Ein TLS-Zertifikat, umgangssprachlich oft noch SSL-Zertifikat genannt, ist nur begrenzt gültig. Wird es nicht rechtzeitig erneuert, zeigt der Browser eine Warnseite, und kaum ein Besucher klickt sich durch. Die Laufzeiten werden zudem immer kürzer: Seit März 2026 dürfen öffentliche Zertifikate höchstens 200 Tage gültig sein, bis 2029 sinkt die Grenze schrittweise auf 47 Tage. Ohne automatische Erneuerung ist das kaum noch zu handhaben.
Zertifikat passt nicht zur Adresse
Das Zertifikat gilt für „beispiel.de“, aufgerufen wird aber „www.beispiel.de“, oder umgekehrt. Auch nach einem Umzug zu einem neuen Hoster fehlt oft ein Zertifikat für eine der Varianten.
Mixed Content
Die Seite selbst ist verschlüsselt, lädt aber einzelne Bilder, Schriften oder Skripte noch über http, etwa weil sie fest im Inhalt verlinkt sind. Der Browser entfernt dann das Schloss oder blockiert die Inhalte.
Veraltete Verschlüsselung
Alte Server unterstützen nur veraltete TLS-Versionen, die moderne Browser nicht mehr akzeptieren. Heute sollten TLS 1.2 und TLS 1.3 aktiv sein.
Malware oder Phishing
Wird eine Website gehackt, etwa über ein veraltetes Plugin, schleusen Angreifer Schadcode oder Phishing-Seiten ein. Google erkennt das und warnt Besucher mit einer roten Seite. Das ist der ernsteste Fall, weil er Besucher gefährdet und den Ruf schädigt.
Ursachen beim Besucher
Manchmal liegt es nicht an der Website: Eine falsch eingestellte Uhrzeit am Gerät, sehr alte Betriebssysteme oder Virenschutzprogramme, die verschlüsselte Verbindungen prüfen, können ebenfalls Warnungen auslösen. Tritt die Meldung nur bei einzelnen Besuchern auf, ist das ein Hinweis darauf.
So beheben Sie das Problem
- Zertifikat einrichten: Viele Hoster bieten kostenlose Zertifikate mit automatischer Erneuerung an. Das Zertifikat sollte die Domain mit und ohne www abdecken.
- Auf HTTPS umleiten: Alle Aufrufe über http werden dauerhaft mit einer 301-Weiterleitung auf https umgeleitet, damit Besucher und Google nur noch die sichere Version sehen.
- Mixed Content beseitigen: Im Browser zeigen die Entwicklertools in der Konsole, welche Dateien noch über http geladen werden. Diese Verweise werden auf https umgestellt.
- HSTS aktivieren: Ein Sicherheits-Header weist Browser an, die Seite künftig nur noch verschlüsselt aufzurufen.
- Laufzeit überwachen: Eine Überwachung meldet rechtzeitig, wenn ein Zertifikat abzulaufen droht oder die Erneuerung fehlschlägt.
Wenn die Seite als gefährlich markiert ist
Bei einer Warnung wegen Malware oder Phishing hilft kein Zertifikat. In der Google Search Console zeigt der Bereich „Sicherheitsprobleme“, was gefunden wurde. Die Website muss bereinigt, die Ursache geschlossen und anschließend eine Überprüfung bei Google beantragt werden. Wichtig ist, nicht nur den Schadcode zu entfernen, sondern auch die Lücke, über die er hineingekommen ist, etwa ein veraltetes Plugin oder ein schwaches Kennwort.
So beugen Sie vor
- Updates für System, Themes und Plugins zeitnah einspielen
- Administratorzugänge mit starken Kennwörtern und Zwei-Faktor-Anmeldung schützen
- Regelmäßige Backups außerhalb des Webservers
- Überwachung von Erreichbarkeit und Zertifikatslaufzeit
- Nicht benötigte Plugins und Zugänge entfernen
Statisch ausgelieferte Websites ohne Datenbank und ohne Administrationsoberfläche auf dem Server bieten Angreifern deutlich weniger Angriffsfläche. Für viele Firmenwebsites ist das eine sinnvolle Alternative.
Fazit
„Nicht sicher“ ist in den meisten Fällen ein Konfigurationsproblem, das sich mit einem automatisch erneuerten Zertifikat, sauberen Weiterleitungen und ein wenig Aufräumen dauerhaft lösen lässt. Ernst wird es bei Malware-Warnungen, dort zählt schnelles und gründliches Handeln. Wie wir Websites sicher betreiben, lesen Sie unter Webdesign.