HTTPS und Zertifikate auf türkischen Websites 2026: Wie viele sind bereit für Chromes Warnung und kürzere Zertifikatslaufzeiten?

Kurzfassung

• Anteil der Websites, die Chrome 154 hinter einer Warnung öffnet (HTTPS funktioniert nicht oder der Browser lehnt das Zertifikat ab) — große Websites 1 Prozent · Exporteure 2 Prozent · zufällige .com.tr 8 Prozent.
• Anteil der Websites, deren http-Adresse noch nicht auf https weiterleitet — große Websites 9 Prozent · Exporteure 18 Prozent · zufällige .com.tr 22 Prozent.
• Anteil der Websites mit einem Zertifikat von mehr als 100 Tagen — so lange Zertifikate werden nach dem 15. März 2027 nicht mehr ausgestellt — große Websites 65 Prozent · Exporteure 41 Prozent · zufällige .com.tr 13 Prozent.
• Median der Zertifikatslaufzeit (Tage) — große Websites 199 · Exporteure 90 · zufällige .com.tr 90.
• Anteil der Websites mit HSTS-Header — große Websites 53 Prozent · Exporteure 34 Prozent · zufällige .com.tr 23 Prozent.

Die drei Gruppen teilen sich in zwei verschiedene Risiken. Zufällige .com.tr-Websites haben den höchsten Anteil hinter einer Warnung und den niedrigsten Anteil an Zertifikaten mit mehr als 100 Tagen: Das häufigste Zertifikat dort ist das 90-Tage-Zertifikat von Let’s Encrypt. Bei den meistbesuchten Websites ist es umgekehrt: heute wenige Websites hinter einer Warnung, viele Zertifikate, deren Erneuerung sich am 15. März 2027 ändert.

Stichprobe und Methode

Wir haben drei Listen gemessen. Die erste sind die 500 meistbesuchten .tr-Domains der Türkei: die ersten 500 Namen mit .tr in der Tranco-Liste vom 6. Oktober 2026 (die Liste des Index der Maschinenlesbarkeit). Die zweite sind große türkische Exporteure: 154 Domains, die wir nach Provinz und Branche aus der TİM-Liste „Die 1000 größten Exporteure der Türkei 2025“ ausgewählt und als eigene Website des Unternehmens bestätigt haben. Die dritte sind zufällige .com.tr-Websites: Wir haben zufällige Blöcke aus dem URL-Index des Common-Crawl-Laufs vom Oktober 2026 gewählt und aus den dortigen .com.tr-Domains, die nicht auf den ersten beiden Listen stehen, mit festem Startwert 500 Domains gezogen. Jede Website wurde am 8. November 2026 einmal gemessen.

An jede Website haben wir drei Anfragen geschickt, ohne einen Browser zu öffnen:

• Eine Anfrage an die http-Adresse; wir sind den Weiterleitungen Schritt für Schritt gefolgt, um zu sehen, ob die Kette auf https endet.
• Wir haben das TLS-Zertifikat der Website gelesen: Führt es zu einer Stelle, der Browser vertrauen, passt der Name, ist es abgelaufen, wie viele Tage gilt es und wer hat es ausgestellt.
• Eine Anfrage an die https-Adresse; wir haben den HSTS-Header gesucht, der dem Browser sagt, die Website nur über HTTPS zu öffnen.

Das Ergebnis ist zusammengefasst und anonym; wir nennen keine Website. Grundlage der Anteile sind erreichbare Websites: Domains, die weder auf die http- noch auf die https-Anfrage antworteten, wurden gesondert gezählt.

Ergebnisse

Erreicht haben wir 479 große Websites, 151 Exporteure und 492 zufällige .com.tr-Websites; 21, 3 und 8 Domains antworteten auf keine Anfrage und gehen nicht in die Anteile ein.

Die http-Anfrage. Von den Websites, die auf die http-Anfrage antworteten, endete die Kette auf https bei 402 von 441 großen Websites, 118 von 144 Exporteuren und 368 von 470 zufälligen .com.tr-Websites. Die meisten Websites, die auf http bleiben, haben auch funktionierendes HTTPS — ohne funktionierendes HTTPS sind nur 4, 3 und 31 Websites. Weil Chrome diese Adressen selbst über https öffnet, sehen Besucher meist keine Warnung; andere Browser, alte Links und Bots können aber auf http bleiben.

Websites hinter einer Warnung. Die Zahl der Websites, bei denen HTTPS gar nicht zustande kommt oder deren Zertifikat so ungültig ist, dass der Browser warnt, liegt bei 6 großen Websites, 3 Exporteuren und 40 zufälligen .com.tr-Websites. Ursachen sind abgelaufene Zertifikate, Zertifikate für einen anderen Namen, selbst signierte Zertifikate und Verbindungen, die nie zustande kommen. Chrome 154 fragt Besucher, bevor es die http-Adresse dieser Websites öffnet; wer die https-Adresse aufruft, sieht „Dies ist keine sichere Verbindung“.

Fehlendes Zwischenzertifikat. Ein Mangel wird gesondert gezählt: Der Server sendet das Zwischenzertifikat nicht. Das war bei 13 großen Websites, 5 Exporteuren und 5 zufälligen .com.tr-Websites der Fall. Weil Chrome und Firefox ein fehlendes Zwischenzertifikat meist selbst ergänzen, merken Besucher womöglich nichts; Clients, die das nicht tun — viele Apps, Kommandozeilenwerkzeuge und manche Bots —, bauen aber keine sichere Verbindung auf.

Zertifikatslaufzeit. Ein Zertifikat mit mehr als 100 Tagen Laufzeit nutzen 298 große Websites, 58 Exporteure und 56 zufällige .com.tr-Websites; darunter sind 100, 26 und 21 vor dem 15. März 2026 ausgestellte Zertifikate mit mehr als 200 Tagen. So lange Zertifikate werden nach dem 15. März 2027 nicht mehr ausgestellt: Diese Websites werden die Erneuerung entweder automatisieren oder mindestens viermal im Jahr von Hand erneuern.

Wer das Zertifikat ausstellt. Ein Zertifikat von Let’s Encrypt, das kostenlose 90-Tage-Zertifikate ausstellt, nutzen 59 große Websites, 54 Exporteure und 277 zufällige .com.tr-Websites. Die Zertifikate von 11 großen Websites stammen vom öffentlichen Zertifizierungszentrum der TÜBİTAK (Kamu SM); fast alle davon sind Domains des öffentlichen Sektors.

Kurz vor dem Ablauf. Am Messtag lief das Zertifikat bei 46 großen Websites, 14 Exporteuren und 13 zufälligen .com.tr-Websites in weniger als 30 Tagen ab. Funktioniert die automatische Erneuerung, ist das Routine; wenn nicht, ist es der nächste Bildschirm „Dies ist keine sichere Verbindung“.

HSTS. Der Header, der dem Browser sagt, die Website nur über HTTPS zu öffnen, ist bei 242 der großen Websites, 49 der Exporteure und 100 der zufälligen .com.tr-Websites vorhanden, die auf die https-Anfrage antworteten.

Grenzen der Messung

• Ein einziger Zeitpunkt: Ein Zertifikat kann am nächsten Tag erneuert worden oder abgelaufen sein; die Anteile sind eine Momentaufnahme vom 8. November, keine Verteilung.
• Gemessen wurde von einem Ort aus; manche Websites antworten auf Netzwerkebene je nach Land oder Anfrage anders. Websites ohne Antwort gehen nicht in die Anteile ein.
• Zertifikate hat die TLS-Schicht von Node.js geprüft, nicht ein Browser. Chrome und Firefox ergänzen ein fehlendes Zwischenzertifikat meist selbst; deshalb haben wir eine fehlende Kette nicht als Browserwarnung gezählt, sondern gesondert aufgeführt — für Bots, Apps und Kommandozeilenwerkzeuge ist sie ein echter Mangel.
• Die Laufzeit ergibt sich aus Ausstellungs- und Ablaufdatum; ob die Erneuerung automatisch oder manuell läuft, sehen wir von außen nicht. Ein Zertifikat „mit mehr als 100 Tagen“ heißt nicht, dass es von Hand erneuert wird, sondern dass es in dieser Länge nach dem 15. März 2027 nicht mehr ausgestellt werden kann.
• Die zufällige .com.tr-Stichprobe ist auf Websites beschränkt, die Common Crawl erfasst hat; nie erfasste Websites fehlen. Größe und Branche der einzelnen Websites haben wir nicht geprüft.

Für Ihre eigene Website

Für Ihre eigene Website läuft diese Messung auf fünf Fragen hinaus; Details im Leitfaden zur Warnung „Nicht sicher“.

• Leitet Ihre http-Adresse in einem Schritt auf https weiter?
• Wie viele Tage gilt Ihr Zertifikat, und wann läuft es ab? Bei mehr als 100 Tagen ändert sich die Erneuerung nach dem 15. März 2027.
• Wer erneuert es, läuft das automatisch, und wer wird bei einem Fehlschlag benachrichtigt?
• Sendet Ihr Server auch das Zwischenzertifikat?
• Ist der HSTS-Header vorhanden?