Warum steht "Nicht sicher" in der Adressleiste neben meiner Website?

Sie öffnen Ihre eigene Website, und direkt neben der Adresse zeigt der Browser "Nicht sicher" an oder ein durchgestrichenes Vorhängeschloss. Es ist verständlich, dass man erschrickt: Es wirkt, als hätte jemand die Website gehackt, oder als würde jeder Besucher eine Warnung erhalten, bevor er überhaupt sieht, was Sie anbieten. Die gute Nachricht: In den meisten Fällen handelt es sich nicht um einen Angriff, sondern um ein Konfigurationsproblem, das sich beheben lässt.

In diesem Artikel erkläre ich verständlich, was diese Meldung genau bedeutet, warum sie auftritt (manchmal sogar mit vorhandenem SSL-Zertifikat) und wie Sie sie beseitigen. Sie erfahren den Unterschied zwischen HTTP und HTTPS, was "gemischter Inhalt" (Mixed Content) ist und warum er der Hauptschuldige ist, sowie was Sie konkret prüfen sollten, bevor Sie jemandem Geld für eine "dringende Reparatur" zahlen.

Was "Nicht sicher" tatsächlich bedeutet

Der Browser sagt nicht, dass die Website infiziert oder gefährlich ist. Er sagt etwas Einfacheres: Die Verbindung zwischen dem Besucher und Ihrer Website ist nicht verschlüsselt, oder nicht vollständig verschlüsselt.

Es gibt zwei Protokolle, über die ein Browser eine Seite laden kann:

• HTTP — Daten fließen unverschlüsselt. Jeder im gleichen Netzwerk (z. B. einem öffentlichen WLAN) kann theoretisch sehen, was gesendet wird.
• HTTPS — dieselben Daten, aber mit einem SSL/TLS-Zertifikat verschlüsselt. Hier erscheint das geschlossene Vorhängeschloss.

Wenn Sie "Nicht sicher" sehen, teilt Ihnen der Browser mit, dass die Seite über HTTP geladen wird, oder dass, obwohl die Adresse mit https:// beginnt, einige Ressourcen der Seite (Bilder, Skripte, Schriftarten) trotzdem über HTTP geladen werden. Es ist keine Strafe von Google, sondern ein Sicherheitshinweis für denjenigen, der die Website besucht.

Warum die Warnung erscheint — die tatsächlichen Ursachen

In der Praxis begegnen mir vor allem vier Situationen:

• Kein SSL-Zertifikat vorhanden. Die Website wird nur über http:// ausgeliefert. Häufig bei alten Websites oder Hostings, bei denen SSL nie aktiviert wurde.
• Zertifikat vorhanden, aber keine Weiterleitung auf HTTPS. Die http://-Adresse bleibt zugänglich, und der Browser markiert sie.
• Gemischter Inhalt (Mixed Content). Die Seite läuft über https://, aber im Code sind noch Bilder, Skripte oder Schriftarten geblieben, die über http:// angefordert werden. Das ist die häufigste Ursache nach einer Migration.
• Abgelaufenes oder falsches Zertifikat. Das SSL-Zertifikat war einmal gültig, ist aber abgelaufen oder wurde für eine andere Domain ausgestellt (z. B. mit www vs. ohne www).

Am häufigsten handelt es sich um gemischten Inhalt: Sie installieren das Zertifikat, die Adresse wird zu https://, aber ein einziges über http:// geladenes Bild reicht aus, damit der Browser die Seite als teilweise unsicher einstuft.

Was "gemischter Inhalt" ist und wie Sie ihn finden

Gemischter Inhalt bedeutet eine gesicherte Seite (https://), die weiterhin Ressourcen über den ungesicherten Kanal (http://) anfordert. Der Browser behandelt diese unterschiedlich:

• Passiver Mixed Content (Bilder, Video) — lädt meist trotzdem, aber das Vorhängeschloss verschwindet.
• Aktiver Mixed Content (Skripte, CSS-Dateien, iFrames) — kann komplett blockiert werden, wodurch die Seite optisch kaputt aussieht.

Wie Sie es selbst erkennen, ohne technisch versiert zu sein: Öffnen Sie die Website, drücken Sie F12 (Entwicklertools) und schauen Sie im Tab Konsole nach. Meldungen wie "Mixed Content: ... was loaded over HTTPS, but requested an insecure resource..." zeigen genau, welche Datei das Problem ist.

Die häufigsten Ursachen: manuell mit http:// geschriebene Links in Artikeln, Bilder, die vor der SSL-Einrichtung hochgeladen wurden, Themes oder Plugins, die fest einprogrammierte http://-Adressen erzeugen, oder ein externes Widget/Banner, das kein HTTPS unterstützt.

Wie Sie es Schritt für Schritt beheben

Die richtige Reihenfolge ist wichtig:

• 1. Stellen Sie sicher, dass Sie ein gültiges SSL-Zertifikat haben. Fast jedes seriöse Hosting bietet eines kostenlos an (Let's Encrypt). Prüfen Sie, dass es sowohl die Version mit www als auch ohne www abdeckt.
• 2. Erzwingen Sie die Weiterleitung von HTTP auf HTTPS, damit alle auf der gesicherten Version landen.
• 3. Ersetzen Sie interne http://-Adressen durch https:// (oder durch relative Adressen). Bei WordPress löst ein kostenloses Plugin wie "Really Simple SSL" die meisten Fälle automatisch.
• 4. Beseitigen Sie den verbleibenden gemischten Inhalt anhand der Liste aus der Konsole vom vorherigen Schritt.
• 5. Leeren Sie den Cache (der Website und des Browsers) und testen Sie erneut.

Wenn es nur ein falsch geschriebener Link ist, kann das fünf Minuten Arbeit bedeuten. Wenn ein Theme überall http://-Adressen erzeugt, kann technische Unterstützung nötig sein. So oder so ist es kein Notfall nach dem Motto "jetzt bezahlen oder die Website verlieren" — Sie haben Zeit, das Problem zu verstehen.

Ist das wichtig für Google und für Kunden?

Ja, für beide, aber mit Augenmaß — ohne Dramatisierung.

Für Besucher zählt es am meisten: Das Wort "Nicht sicher" direkt neben der Adresse schreckt Menschen ab, besonders diejenigen, die eine Telefonnummer hinterlassen oder bestellen wollten. Der Eindruck einer "vernachlässigten Website" kostet echte Leads.

Für Google ist HTTPS längst ein Rankingfaktor, aber ein kleiner — es bringt Sie nicht magisch auf Platz 1 und stürzt Sie auch nicht über Nacht ab. Seien Sie skeptisch gegenüber jedem, der Ihnen "garantiert Platz 1 mit SSL" verspricht. SSL ist Grundhygiene, kein Zauberstab.

Bei MPO Web Studio liefern wir Websites von Anfang an mit korrekt konfiguriertem HTTPS (Zertifikat + Weiterleitung + ohne gemischten Inhalt), arbeiten remote im ganzen Land und sagen Ihnen transparent, was zu tun ist. Wenn Sie bei Ihrer Website "Nicht sicher" sehen und nicht wissen, woran es liegt, schreiben Sie uns auf WhatsApp — wir schauen uns das an und sagen Ihnen ehrlich, ob es eine Sache von fünf Minuten ist oder mehr.