Zertifikat abgelaufen — ganzseitige Warnung statt Startseite.

Was der Browser da meldet.

Ein Zertifikat bestätigt, dass die Verbindung zu deiner Domain verschlüsselt ist und wirklich zu dir gehört. Läuft es ab, kann der Browser das nicht mehr prüfen — und geht auf Nummer sicher, indem er eine ganzseitige Warnung zeigt. Das ist kein WordPress-Problem: Die Website selbst funktioniert einwandfrei, sie ist nur nicht mehr erreichbar, ohne dass der Besucher eine bewusste Warnung wegklickt. Auch Suchmaschinen und Dienste, die deine Seite abrufen, stolpern darüber.

Zur Abgrenzung: Fehlt das Zertifikat ganz oder ist es vorhanden, aber die Seite lädt unsichere Inhalte nach, sind das andere Fälle („Nicht sicher“-Warnung, Mixed Content).

In fünf Minuten prüfen.

1. Warnung lesen: Der Browser nennt den Grund — abgelaufen, falscher Name, Aussteller unbekannt. Das sind drei verschiedene Probleme.
2. Details ansehen: Über das Schloss- oder Warnsymbol lässt sich das Zertifikat anzeigen, mit Gültigkeitszeitraum und für welche Namen es ausgestellt ist.
3. Beide Varianten testen: Einmal mit www, einmal ohne. Oft ist nur eine betroffen.
4. Kundenbereich öffnen: Dort steht der Status des Zertifikats für jede Domain.

Schon Schritt eins spart Zeit: Steht dort ein falscher Name statt eines Ablaufdatums, ist nicht die Laufzeit das Problem, sondern der Geltungsbereich.

Warum es abgelaufen ist.

Zertifikat erneuern.

Bei nahezu allen deutschen Hostern läuft das über den Kundenbereich und kostet nichts. Der Ablauf ist überall ähnlich: Domain auswählen, den Bereich für SSL öffnen, ein kostenloses Zertifikat neu ausstellen oder die Verlängerung erneut anstoßen. Nach der Ausstellung dauert es einige Minuten, bis es aktiv ist. Funktioniert das nicht oder fehlt die Option, ist der Support die richtige Adresse — formuliere konkret, für welche Domain das Zertifikat abgelaufen ist und ob es mit und ohne www gelten soll.

Auf einem eigenen Server läuft die Erneuerung über das jeweilige Werkzeug beziehungsweise die Verwaltungsoberfläche. Dort lohnt zusätzlich der Blick ins Protokoll der Automatik — sie sagt meistens selbst, warum sie gescheitert ist.

Warum die Automatik scheitert.

Kostenlose Zertifikate verlängern sich alle paar Wochen automatisch. Damit das gelingt, muss der Aussteller prüfen können, dass die Domain wirklich dir gehört — meist, indem er eine Datei unter einer bestimmten Adresse abruft. Genau das wird überraschend oft blockiert:

• Weiterleitungsregel: Eine Umleitung greift auch für den Prüfpfad, der Aussteller findet die Datei nicht.
• Wartungsmodus oder ein Passwortschutz vor dem ganzen Verzeichnis (Wartungsmodus).
• Sicherheits-Plugin, das Zugriffe auf versteckte Pfade blockiert.
• Webspace voll, die Prüfdatei kann nicht abgelegt werden (Webspace voll).
• Domain zeigt woanders hin: Nach einem Wechsel der Nameserver prüft der Aussteller am falschen Ort.

Deshalb lohnt es sich, nach jeder Änderung an Weiterleitungen oder Sicherheitsregeln einmal zu kontrollieren, ob die nächste Verlängerung durchgelaufen ist — nicht erst, wenn die Warnseite erscheint (Kaputte .htaccess).

Alle Varianten abdecken.

Deine Website ist über mehrere Namen erreichbar: mit www und ohne, dazu jede Subdomain. Ein Zertifikat gilt nur für die Namen, für die es ausgestellt wurde. Fehlt einer, sehen Besucher die Warnung genau dann, wenn sie die andere Schreibweise eintippen — und du merkst es nicht, weil du immer dieselbe nutzt. Prüfe deshalb immer beide Varianten und alle Subdomains, die tatsächlich verwendet werden. Für Subdomains, die aus Google herausgehalten werden sollen, gilt das genauso: Auch ein Testsystem braucht ein gültiges Zertifikat, sonst scheitern Dienste, die darauf zugreifen.

Danach prüfen.

• Startseite mit und ohne www, jeweils mit https.
• Aufruf mit http landet per Weiterleitung auf https.
• Eine Unterseite und eine Datei aus der Mediathek.
• Bei einem Shop: Produktseite, Warenkorb, Kasse.
• Backend-Anmeldung.
• Im privaten Fenster gegenprüfen — der Browser merkt sich Warnungen.

Bleibt die Warnung im gewohnten Browser stehen, obwohl das Zertifikat erneuert wurde, hilft meist ein Leeren des Browser-Zwischenspeichers oder ein Neustart.

Welches Zertifikat brauchst du.

Für eine normale Unternehmenswebsite und auch für die meisten Shops reicht ein kostenloses Zertifikat vollkommen aus. Die Verschlüsselung ist dieselbe wie bei kostenpflichtigen; der Unterschied liegt in der Prüftiefe des Ausstellers und in Haftungszusagen, die im Alltag keine Rolle spielen. Kostenpflichtige Varianten mit erweiterter Prüfung lohnen allenfalls bei Banken und vergleichbaren Anbietern. Wer dir zu einem teuren Zertifikat rät, weil deine Seite sonst „unsicher“ sei, argumentiert am Sachverhalt vorbei.

Vorbeugen.

• Überwachung einrichten: Ein kostenloser Dienst, der dich vor dem Ablauf warnt, ist in fünf Minuten eingerichtet.
• Nach jeder Änderung an Weiterleitungen, Wartungsmodus oder Sicherheitsregeln die Verlängerung im Blick behalten.
• Bei kostenpflichtigen Zertifikaten eine Erinnerung vier Wochen vor Ablauf.
• Nach einem Umzug das Zertifikat als festen Punkt auf die Prüfliste (WordPress-Umzug).
• Kontaktadresse beim Hoster aktuell halten — Warnmails gehen sonst ins Leere.

Wenn du nicht weiterkommst.

Wenn die Verlängerung wiederholt scheitert und du nicht findest, was sie blockiert, schaue ich mir Weiterleitungen und Serverregeln an. Ich finde die Ursache, behebe sie und erkläre dir, was passiert ist: WordPress-Hilfe, bei einem Totalausfall der Notfall-Support. Damit es gar nicht erst so weit kommt: WordPress-Wartung.

Orientierungswerte, keine Fixpreise — nach einem kurzen Gespräch bekommst du ein Festpreisangebot.

Wer hilft.

Ich bin Manuel Killert, WordPress-Entwickler aus Quakenbrück. Seit 2020 baue und betreue ich WordPress-Websites — für Handwerksbetriebe, Industrie, Gastronomie, Start-ups und Vereine —, entwickle eigene Plugins und unterrichte WordPress als Dozent an der KW Design Akademie. Das heißt: Ich kenne die typischen Fehler nicht nur aus Foren, sondern aus eigenen Projekten, und ich kann sie so erklären, dass du sie beim nächsten Mal selbst erkennst. Du erreichst mich direkt, ohne Ticketsystem.