„Nicht sicher“ im Browser — Zertifikat und Mixed Content beheben.
Chrome schreibt „Nicht sicher“ neben deine Adresse, das Schloss fehlt oder ist durchgestrichen, manche Besucher sehen eine rote Warnseite. Das kostet Vertrauen und Rankings — und ist fast immer eine von drei Ursachen: kein Zertifikat, abgelaufenes Zertifikat oder Mixed Content.
Rote Warnseite: Zertifikat fehlt, abgelaufen oder passt nicht zur Domain — beim Hoster aktivieren oder erneuern. Seite lädt, aber „Nicht sicher“: Seite wird über http aufgerufen — WordPress-Adresse auf https, Weiterleitung einrichten. Schloss mit Warnung / Info-Symbol: Mixed Content — einzelne Bilder, Skripte oder Schriften laden noch über http; URLs in der Datenbank ersetzen.
Welche Warnung siehst du?
| Anzeige | Bedeutung | Lösung |
|---|---|---|
| Rote Vollbild-Warnung „Verbindung nicht privat“ | Zertifikat fehlt, abgelaufen oder für andere Domain | 1 |
| „Nicht sicher“ neben der Adresse, Seite lädt normal | Aufruf über http, kein HTTPS erzwungen | 2, 3 |
| Schloss mit Warnsymbol oder Info-Symbol | Mixed Content: einzelne Inhalte über http | 4 |
| Nur mit www oder nur ohne funktioniert | Zertifikat deckt nur eine Variante ab | 1, 5 |
| Nur Subdomain betroffen | Zertifikat gilt nicht für die Subdomain | 5 |
1. Zertifikat einrichten oder erneuern.
Bei fast allen Hostern gibt es kostenlose Let's-Encrypt-Zertifikate mit einem Klick im Panel, automatisch verlängert. Prüfen: Ist das Zertifikat für die Domain aktiviert — mit und ohne www? Ist die automatische Verlängerung an? Ein abgelaufenes Zertifikat ist meist eine gescheiterte Verlängerung, etwa weil DNS-Einträge geändert wurden oder die Domain zwischenzeitlich woanders zeigte. Nach der Aktivierung kann es einige Minuten dauern.
2. WordPress auf HTTPS umstellen.
Unter Einstellungen → Allgemein beide Adressen auf https:// ändern. Danach abmelden und neu anmelden. Kommst du nicht mehr ins Backend, die Adressen in der wp-config.php fest setzen (siehe Login-Ratgeber). Neuere WordPress-Versionen bieten unter Website-Zustand einen Button „Auf HTTPS umstellen“, der das inklusive Datenbank-URLs erledigt.
3. Weiterleitung http → https.
Damit niemand mehr über http landet, leitet der Server alle Aufrufe um — viele Hoster bieten das als Schalter („HTTPS erzwingen“). Sonst in der .htaccess oberhalb des WordPress-Blocks:
<IfModule mod_rewrite.c>
RewriteEngine On
# http -> https
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
# www -> ohne www (oder umgekehrt, je nach eingestellter WordPress-Adresse)
RewriteCond %{HTTP_HOST} ^www\.(.+)$ [NC]
RewriteRule ^(.*)$ https://%1%{REQUEST_URI} [L,R=301]
</IfModule>Hinter Proxy oder CDN kann %{HTTPS} immer off sein — dann stattdessen auf %{HTTP:X-Forwarded-Proto} prüfen, sonst entsteht eine Endlosschleife. Immer erst testen, bevor die Regel live bleibt.
4. Mixed Content finden und beheben.
Die Seite ist HTTPS, aber ein Bild aus einem alten Beitrag, ein Skript eines Plugins oder eine Schrift wird über http eingebunden. Der Browser blockiert oder warnt. Finden: Entwicklertools → Konsole zeigt jede http-Ressource. Beheben:
- URLs in der Datenbank ersetzen:
http://deine-domain.de→https://deine-domain.de, mit einem Werkzeug, das Serialisierung versteht (Anleitung im Umzugs-Ratgeber). - Theme und Widgets: Fest eingetragene http-Adressen in Customizer, Widgets, Page-Builder-Einstellungen und Theme-Optionen.
- Externe Einbettungen: Karten, Videos, Schriften, Skripte — auf https-Varianten umstellen oder ersetzen.
- Cache leeren — auch CDN und Optimierungs-Plugin.
Plugins wie „Really Simple SSL“ kaschieren Mixed Content zur Laufzeit. Das hilft kurzfristig, ersetzt aber nicht die Bereinigung — und kostet bei jedem Aufruf Rechenzeit.
Zertifikatsfehler nach Umzug oder bei Subdomains.
Nach einem Hoster-Wechsel muss das Zertifikat beim neuen Hoster ausgestellt werden — das alte zieht nicht mit. Dazwischen liegt manchmal eine Lücke von Minuten bis Stunden; DNS-Umstellung und Zertifikatsausstellung sollten deshalb abgestimmt werden. Subdomains brauchen ein eigenes Zertifikat oder ein Wildcard-Zertifikat; Let's Encrypt deckt bei den meisten Hostern jede eingerichtete Subdomain einzeln ab, muss aber je Subdomain aktiviert werden. Mehr zum Ablauf: WordPress-Umzug.
HSTS und Feinschliff.
Läuft alles über HTTPS, sagt der Header Strict-Transport-Security dem Browser, künftig gar nicht mehr über http anzufragen. Das erhöht Sicherheit und spart die Weiterleitung — aber erst aktivieren, wenn alle Subdomains sicher HTTPS können, sonst sperrt man sich aus. Abschließend: Search Console und Analytics auf die https-Adresse, Sitemap prüfen, externe Verlinkungen und Google-Unternehmensprofil aktualisieren.
Zertifikat, Umstellung und Mixed-Content-Bereinigung sind meist in einer Stunde erledigt: WordPress-Hilfe.
Wer hilft.
Ich bin Manuel Killert, WordPress-Entwickler aus Quakenbrück. Seit 2020 baue und betreue ich WordPress-Websites — für Handwerksbetriebe, Industrie, Gastronomie, Start-ups und Vereine —, entwickle eigene Plugins und unterrichte WordPress als Dozent an der KW Design Akademie. Das heißt: Ich kenne die typischen Fehler nicht nur aus Foren, sondern aus eigenen Projekten, und ich kann sie so erklären, dass du sie beim nächsten Mal selbst erkennst. Du erreichst mich direkt, ohne Ticketsystem.
Echte Projekte — live ansehen.
WordPress-Websites, die ich gebaut habe oder laufend betreue.
KT Bodenteam
Professioneller Auftritt für einen Bodenleger — Vorher-Nachher-Slider und regionale SEO.
Website ansehen ↗
Babas Grill
Webauftritt für einen Schnellimbiss — warmes Branding, Speisekarte, direkte Bestellmöglichkeit.
Website ansehen ↗
Potassco Solutions
Klare Website für ein KI-Unternehmen, die komplexe Technologie verständlich macht.
Website ansehen ↗FAQ — „Nicht sicher“-Warnung beheben.
Warum zeigt der Browser bei meiner WordPress-Seite „Nicht sicher“?
Entweder fehlt ein gültiges SSL-Zertifikat, die Seite wird über http statt https aufgerufen, oder einzelne Inhalte wie Bilder und Skripte werden über http geladen, sogenannter Mixed Content. Die Art der Warnung im Browser zeigt, welcher Fall vorliegt.
Wie bekomme ich ein SSL-Zertifikat für WordPress?
Fast alle Hoster bieten kostenlose Let's-Encrypt-Zertifikate im Panel mit einem Klick, inklusive automatischer Verlängerung. Wichtig ist, das Zertifikat für die Domain mit und ohne www zu aktivieren und danach WordPress auf https umzustellen.
Was ist Mixed Content und wie behebe ich ihn?
Die Seite läuft über https, lädt aber einzelne Ressourcen über http. Die Browser-Konsole zeigt sie an. Behoben wird das durch Ersetzen der URLs in der Datenbank mit einem serialisierungssicheren Werkzeug, Prüfen fest eingetragener Adressen in Theme und Widgets, Umstellen externer Einbettungen und Leeren aller Caches.
Warum ist mein Zertifikat abgelaufen?
Meist ist die automatische Verlängerung gescheitert, etwa weil DNS-Einträge geändert wurden oder die Domain zeitweise auf einen anderen Server zeigte. Im Hosting-Panel lässt sich das Zertifikat neu ausstellen und die Verlängerung prüfen.
Reicht ein Plugin wie Really Simple SSL?
Es kaschiert Mixed Content zur Laufzeit und richtet Weiterleitungen ein, was kurzfristig hilft. Die Bereinigung der URLs in der Datenbank und eine serverseitige Weiterleitung sind sauberer und kosten keine Rechenzeit bei jedem Aufruf.
Warum funktioniert HTTPS nur mit oder nur ohne www?
Das Zertifikat deckt nur eine Variante ab. Beim Hoster muss es für beide Varianten ausgestellt werden, und eine Weiterleitung sorgt dafür, dass alle Aufrufe auf der eingestellten WordPress-Adresse landen.
Das bin ich – rechts im BildErzähl mir von deiner neuen Website.
Beschreib kurz, was du vorhast — du bekommst eine ehrliche Einschätzung zu Umfang, Zeit und Kosten.
Antwort meist innerhalb von 24 Stunden · hallo@manuelkillert.de