„Nicht sicher“ neben der Adresse oder gleich eine ganze Warnseite statt der eigenen Website: Für Besucher sieht das nach Alarm aus. Für Sie als Betreiber steckt dahinter eines von zwei Einrichtungsproblemen. Entweder kommt die Seite ganz oder teilweise ohne Verschlüsselung, also über HTTP, oder sie ist verschlüsselt, aber das Zertifikat passt nicht — abgelaufen oder für den falschen Namen ausgestellt.
Die Lösung kostet in aller Regel nichts: ein kostenloses Zertifikat, das sich selbst erneuert, und eine Umleitung von HTTP auf HTTPS. Entscheidend ist, dass die Erneuerung zuverlässig automatisch läuft, denn Zertifikate gelten in den nächsten Jahren immer kürzer.
Zwei Arten von Warnung
„Nicht sicher“ in der Adressleiste bedeutet laut Chrome-Hilfe, dass die Website keine private Verbindung nutzt: Was Besucher senden und empfangen, kann unterwegs eingesehen oder verändert werden. Seit Chrome 68 (Juli 2018) kennzeichnet Chrome alle HTTP-Seiten so. Safari zeigt je nach Fall „Nicht sicher“, „Website nicht sicher“ oder „Diese Verbindung ist nicht sicher“ und nennt als Gründe unter anderem HTTP statt HTTPS, ein abgelaufenes oder unzulässiges Zertifikat und eine veraltete TLS-Version (1.1 oder älter).
Eine ganzseitige Warnung mit Fehlercode kommt, wenn die Seite zwar verschlüsselt ist, der Browser dem Zertifikat aber nicht traut. Chrome schreibt dann zum Beispiel „Dies ist keine sichere Verbindung“. Welche Ursache dahintersteckt, verrät der Fehlercode auf der Warnseite, bei Firefox nach einem Klick auf „Erweitert“:
| Fehlercode | Browser | Bedeutung |
|---|---|---|
NET::ERR_CERT_DATE_INVALID | Chrome | Zertifikat abgelaufen oder noch nicht gültig — oder die Uhr des Geräts geht falsch |
SEC_ERROR_EXPIRED_CERTIFICATE | Firefox | Zertifikat abgelaufen |
ERR_CERT_COMMON_NAME_INVALID | Chrome | Zertifikat gilt für einen anderen Namen als den aufgerufenen |
SSL_ERROR_BAD_CERT_DOMAIN | Firefox | Zertifikat gilt nur für einen anderen Namen |
Seit Chrome 154: eine Rückfrage vor HTTP-Seiten
Lange war „Nicht sicher“ ein kleiner Hinweis, den man übersehen konnte. Im Oktober 2025 hat Google angekündigt, mit Chrome 154 die Einstellung „Immer verschlüsselte Verbindungen verwenden“ standardmäßig einzuschalten. Laut den Versionshinweisen zu Chrome 154, stabil seit dem 22. September 2026, fragt Chrome nun standardmäßig nach, bevor es eine Seite über eine unverschlüsselte HTTP-Verbindung öffnet. Laut Googles Übersicht Chrome Platform Status gilt das ab Version 154 für Chrome auf dem Computer, und zwar für alle Nutzer; unter Android folgt die Umstellung mit Chrome 155.
Nach Googles Ankündigung gilt das für öffentliche Seiten, nicht für Adressen im eigenen Netz wie die des Routers, und wer eine HTTP-Seite regelmäßig besucht, wird nicht jedes Mal gefragt. Neue Besucher einer Website ohne HTTPS sehen in Chrome auf dem Computer aber zuerst die Warnung „Die Verbindung zu dieser Website ist nicht sicher“ und müssen sich aktiv entscheiden weiterzugehen. Eine Website nur über HTTP ist damit kein Schönheitsfehler mehr.
Die Ursachen im Einzelnen
- Kein HTTPS. Die Seite ist nur über
http://erreichbar, oder ein Teil der Adressen leitet nicht aufhttps://um. - Abgelaufenes Zertifikat. Die automatische Erneuerung ist fehlgeschlagen, oder ein von Hand eingespieltes Zertifikat wurde vergessen. Auf eine Erinnerung per E-Mail können Sie sich bei Let's Encrypt nicht mehr verlassen: Den Versand hat Let's Encrypt am 4. Juni 2025 eingestellt.
- Falscher Name. Ein Zertifikat gilt nur für die Namen, die darin stehen.
ihre-domain.deundwww.ihre-domain.desind zwei Namen; ein Zertifikat kann beide enthalten, muss es dann aber auch. Das geht leicht nach einem Domainumzug schief oder wennwwwim DNS auf einen anderen Server zeigt als die Domain ohne — siehe DNS-Einträge verstehen. - Gemischte Inhalte. Die Seite selbst kommt über HTTPS, einzelne Bestandteile wie Bilder oder Skripte aber noch über
http://, etwa weil ihre Adressen fest im Inhalt stehen. Nach der Mixed-Content-Spezifikation des W3C sollen Browser Bilder, Audio und Video dann automatisch über HTTPS anfordern und anderes, etwa Skripte, blockieren. Auf der Seite fehlt dann ein Bild, das es unterhttps://nicht gibt, oder eine Funktion geht nicht mehr. Abhilfe: die altenhttp://-Adressen im Inhalt und in den Einstellungen aufhttps://umstellen.
Die Lösung: ein kostenloses Zertifikat, das sich selbst erneuert
Ein Zertifikat für eine gewöhnliche Website muss nichts kosten. Let's Encrypt stellt Zertifikate kostenlos aus, derzeit standardmäßig mit 90 Tagen Laufzeit. Erneuert wird nach etwa zwei Dritteln der Laufzeit, bei 90 Tagen also nach 60, und zwar automatisch über das Protokoll ACME — von Hand zu erneuern, empfiehlt Let's Encrypt ausdrücklich nicht.
- Beim Hoster: Viele Hoster holen und verwalten Let's-Encrypt-Zertifikate selbst. Suchen Sie im Kundenmenü nach SSL oder TLS, schalten Sie es für die Domain und für
wwwein und prüfen Sie, ob die automatische Verlängerung aktiv ist. - Auf dem eigenen Server: Let's Encrypt empfiehlt für die meisten Fälle das Programm Certbot. Die meisten Certbot-Installationen bringen die automatische Erneuerung laut Dokumentation gleich mit.
Danach gehört jede Anfrage auf HTTPS: eine dauerhafte Weiterleitung (Statuscode 301) von http:// auf https:// und zugleich von der einen Namensform auf die andere, etwa von ohne www auf mit. Am besten in einem Schritt statt über eine Kette, denn jede zusätzliche Weiterleitung kostet Ladezeit.
Der nächste Schritt heißt HSTS: Mit dem Header Strict-Transport-Security weist die Website den Browser an, sie für eine festgelegte Zeit nur noch über HTTPS aufzurufen. Das hat eine Kehrseite. Gibt es in dieser Zeit ein Problem mit dem Zertifikat, darf der Browser Besucher laut der zugrunde liegenden Norm (RFC 6797) nicht mehr an der Warnung vorbeilassen.
Beginnen Sie mit einer kurzen Gültigkeit und steigern Sie sie schrittweise; hstspreload.org nennt als Stufen fünf Minuten, eine Woche und einen Monat. Der Zusatz includeSubDomains gilt für alle Unterdomains — prüfen Sie vorher, dass keine davon noch ohne HTTPS gebraucht wird. Und lassen Sie die Domain nur in die Preload-Liste der Browser eintragen, wenn Sie sicher sind: Laut hstspreload.org lässt sich das nicht einfach rückgängig machen, und eine Streichung braucht Monate, bis sie bei den Nutzern ankommt.
Warum Zertifikate bald alle paar Wochen neu kommen
Im CA/Browser Forum legen Zertifizierungsstellen und Browserhersteller gemeinsam die Regeln für Zertifikate fest. Mit dem Beschluss SC-081 vom April 2025 verkürzt es die Höchstlaufzeit von Zertifikaten für Websites in Stufen:
| Zertifikat ausgestellt | Höchstlaufzeit |
|---|---|
| vor dem 15. März 2026 | 398 Tage |
| ab 15. März 2026 | 200 Tage |
| ab 15. März 2027 | 100 Tage |
| ab 15. März 2029 | 47 Tage |
Zugleich schrumpft die Frist, in der eine Zertifizierungsstelle eine frühere Prüfung der Domain wiederverwenden darf, bis 2029 auf zehn Tage. Let's Encrypt geht einen eigenen Weg dorthin: 64 Tage ab dem 10. Februar 2027, 45 Tage ab dem 16. Februar 2028.
Ein Zertifikat einmal im Jahr von Hand einzuspielen, geht damit schon seit März 2026 nicht mehr. Ab 2029 wäre es etwa alle sechs Wochen fällig, mit neuer Domainprüfung bei jeder Ausstellung. Automatische Erneuerung ist deshalb keine Bequemlichkeit mehr, sondern Voraussetzung. Fragen Sie Ihren Hoster, ob das Zertifikat automatisch erneuert wird und für welche Namen, und lassen Sie das Ablaufdatum von einem Überwachungsdienst im Blick behalten. Auch das empfiehlt Let's Encrypt.
Wenn Sie die Warnung auf einer fremden Seite sehen
- Erscheint die Warnung auf vielen Seiten zugleich, prüfen Sie Datum und Uhrzeit Ihres Geräts. Laut Chrome-Hilfe kommt
NET::ERR_CERT_DATE_INVALIDauch, wenn die Uhr falsch geht. - Geben Sie auf einer Seite mit „Nicht sicher“ weder Passwörter noch Kreditkartendaten ein. Apple rät das für Safari ausdrücklich.
- Klicken Sie eine Zertifikatswarnung nicht einfach weg. Mozilla schreibt dazu, seriöse öffentliche Websites würden Sie nicht bitten, eine Ausnahme für ihr Zertifikat hinzuzufügen.
- Umgekehrt sagt eine verschlüsselte Verbindung nichts darüber, wer am anderen Ende sitzt. Chrome rät auch auf sicheren Seiten, den Namen in der Adressleiste zu prüfen — mehr dazu unter Phishing erkennen.
Stand: 2026-09-29. Die Angaben habe ich zu diesem Zeitpunkt anhand der Dokumentation der jeweiligen Hersteller geprüft. Anbieter ändern Adressen, Bezeichnungen und Menüwege ohne Ankündigung; prüfen Sie im Zweifel die Angaben Ihres Anbieters. Wer an fremden Systemen arbeitet, braucht die Erlaubnis des Betreibers.