Für alle mit eigener Website
Warum warnt der Browser vor meiner Website?
Fast immer wegen der Verschlüsselung: Entweder läuft die Seite ohne HTTPS, das Zertifikat ist abgelaufen oder passt nicht zur Adresse, oder eine verschlüsselte Seite lädt einzelne Bilder und Skripte noch unverschlüsselt nach. Alle drei lassen sich beheben, meist beim Hosting-Anbieter.
Juli 2018seit Chrome 68 werden alle Seiten ohne HTTPS in der Adresszeile als „Nicht sicher“ markiertGoogle Chrome, Ankündigung „A milestone for Chrome security: marking HTTP as not secure“
Die drei Ursachen und woran du sie erkennst
- „Nicht sicher“ links in der Adresszeile: Die Seite wird ohne HTTPS ausgeliefert, also unverschlüsselt. Chrome markiert das seit Version 68, erschienen im Juli 2018, bei jeder solchen Seite
- Eine ganzseitige Warnung vor dem Laden, etwa „Dies ist keine sichere Verbindung“: Das Zertifikat ist abgelaufen, gehört zu einer anderen Adresse oder wurde falsch eingerichtet. Häufig betrifft es nur die Variante mit oder ohne www
- Ein Schloss mit Warnhinweis oder fehlende Bilder: Die Seite selbst ist verschlüsselt, lädt aber einzelne Inhalte über unverschlüsselte Adressen. Das nennt sich gemischter Inhalt, und Browser blockieren ihn teilweise
Was die Warnung bei Besuchern auslöst
Ein Eigentümer, der gerade Adresse, Wohnfläche und Telefonnummer in deine Wertermittlung eintragen soll, sieht daneben „Nicht sicher“. Er muss nicht wissen, was HTTPS bedeutet, um aufzuhören. Ein Kreditnehmer, der Angaben zu Einkommen und Eigenkapital macht, erst recht nicht.
Die ganzseitige Warnung ist noch deutlicher: Die meisten Besucher kommen gar nicht auf die Seite, sondern schließen den Tab. Sie melden sich auch nicht, um dir Bescheid zu sagen — du erfährst es meist zufällig.
Wie du es behebst
Fehlendes HTTPS und abgelaufene Zertifikate sind heute fast immer eine Einstellung beim Hosting-Anbieter. Die meisten stellen Zertifikate kostenlos aus und verlängern sie automatisch; man muss es nur einschalten. Danach gehört eine dauerhafte Weiterleitung von der unverschlüsselten auf die verschlüsselte Adresse dazu, damit alte Links und Lesezeichen nicht auf der ungeschützten Variante landen.
Gemischte Inhalte stecken im Inhalt selbst: ein Bild, das mit fester http-Adresse eingebunden ist, ein alter Kartenausschnitt, ein eingebettetes Formular eines Drittanbieters. Die Entwicklerwerkzeuge des Browsers zeigen jede einzelne dieser Adressen in der Konsole an.
Wann du nachsehen solltest
Einmal im Quartal die eigene Seite mit und ohne www, am Handy und am Rechner aufrufen und auf das Schloss achten. Zusätzlich nach jedem Wechsel des Hosting-Anbieters oder der Domain — dort entstehen die meisten Zertifikatsfehler. Seit August 2014 nutzt Google HTTPS außerdem als Signal für das Ranking, auch wenn der Besucher, der wegen der Warnung geht, der deutlich größere Verlust ist.
Wenn die Warnung von Google selbst kommt
Es gibt eine vierte, seltenere Ursache: eine rote Seite mit dem Hinweis, die Website sei gefährlich oder täuschend. Die stammt nicht vom Zertifikat, sondern von Googles Safe-Browsing-Dienst, und sie bedeutet meist, dass die Seite gehackt wurde und Schadcode oder fremde Werbeseiten ausliefert. Betroffen sind vor allem Seiten mit veralteten Erweiterungen, die seit Jahren niemand aktualisiert hat.
Den Befund siehst du in der Search Console unter den Sicherheitsproblemen, samt der betroffenen Adressen. Nach der Bereinigung beantragst du dort die Überprüfung. Das ist der Moment, in dem sich zeigt, ob jemand Zugang zu deiner Website, deinem Hosting und deiner Search Console hat — und ob du selbst ihn hast.
