Ihre Website zeigt „Nicht sicher“: HTTP, abgelaufene Zertifikate und kürzere Zertifikatslaufzeiten.

Die Browserwarnung „Nicht sicher“ oder „Dies ist keine sichere Verbindung“ zeigt, dass die Website entweder kein HTTPS anbietet oder ein Zertifikat vorlegt, das abgelaufen ist, zu einem anderen Namen gehört oder nicht von einer Stelle signiert wurde, der der Browser vertraut.

Warum zeigt der Browser „Nicht sicher“?

Die Warnung gibt es in zwei Familien, und jede hat eine andere Lösung. In der ersten bietet die Website kein HTTPS an: Die Verbindung ist unverschlüsselt, und der Browser zeigt in der Adressleiste „Nicht sicher“. In der zweiten bietet die Website HTTPS an, aber ihr Zertifikat hat ein Problem: Der Browser öffnet die Seite gar nicht, zeigt ganzseitig „Dies ist keine sichere Verbindung“ und darunter einen Fehlercode.

• NET::ERR_CERT_DATE_INVALID — das Zertifikat ist abgelaufen. Selten stimmt die Uhr des Geräts nicht; tritt es auf mehreren Geräten auf, liegt das Problem bei der Website.
• NET::ERR_CERT_COMMON_NAME_INVALID — das Zertifikat gehört zu einem anderen Namen. Häufigste Ursache: Die Adresse mit oder ohne www fehlt im Zertifikat.
• NET::ERR_CERT_AUTHORITY_INVALID — das Zertifikat wurde nicht von einer Stelle signiert, der der Browser vertraut: ein selbst signiertes Zertifikat oder ein auf dem Server fehlendes Zwischenzertifikat.
• Gemischte Inhalte — die Seite öffnet über HTTPS, aber ein Bild oder Skript darin kommt über HTTP. Der Browser stuft es entweder auf HTTPS hoch oder blockiert es; die Seite kann defekt aussehen.

Für Besucher bedeuten beide Familien dasselbe: Hinterlassen Sie auf dieser Website keine Daten. Eine Angebotsanfrage oder der erste Besuch eines ausländischen Käufers endet auf diesem Bildschirm.

Was hat Chrome 154 für HTTP-Websites geändert?

Chrome 154 erschien am 22. September 2026 in der stabilen Version und schaltete die Einstellung „Immer sichere Verbindungen verwenden“ standardmäßig ein. Laut Google fragt Chrome jetzt vor dem ersten Aufruf einer öffentlichen Website ohne HTTPS nach der Erlaubnis des Nutzers. Der Mechanismus besteht seit 2023: Chrome versucht eine http-Adresse zunächst selbst über https zu öffnen und fällt auf http zurück, wenn HTTPS nicht funktioniert (das Zertifikat ungültig ist oder der Server kein HTTPS anbietet); Chrome 154 hat vor diesen Rückfall die Erlaubnisfrage gesetzt. Nutzer können fortfahren; auf einer regelmäßig besuchten Website wiederholt sich die Warnung nicht, sie erscheint bei neuen oder länger nicht besuchten Websites. Adressen im lokalen Netz und einteilige interne Namen sind ausgenommen; Organisationen können das Verhalten per Richtlinie ändern.

Für Websitebetreiber heißt das: Eine Website, deren HTTPS gar nicht funktioniert oder deren Zertifikat ungültig ist, empfängt jeden neuen Besucher mit einem Warnbildschirm. Gerade neue Besucher kann sich eine Website am wenigsten leisten zu verlieren: den Käufer vor der Angebotsanfrage, den Kunden, der Sie zum ersten Mal sucht.

Warum werden Zertifikatslaufzeiten kürzer?

Das CA/Browser Forum, das gemeinsame Gremium der Browserhersteller und Zertifizierungsstellen, hat im April 2025 eine Regel beschlossen, die die maximale Gültigkeit eines TLS-Zertifikats schrittweise verkürzt. Der Fahrplan richtet sich nach dem Ausstellungsdatum des Zertifikats:

• Vor dem 15. März 2026 ausgestellt — höchstens 398 Tage (etwa 13 Monate).
• Ab dem 15. März 2026 — höchstens 200 Tage.
• Ab dem 15. März 2027 — höchstens 100 Tage.
• Ab dem 15. März 2029 — höchstens 47 Tage.

Maximale Gültigkeit eines TLS-Zertifikats

1. 01Vor dem 15. März 2026 · 398 Tage
2. 0215. März 2026 · 200 Tage
3. 0315. März 2027 · 100 Tage
4. 0415. März 2029 · 47 Tage
5. LEStandard bei Let’s Encrypt: heute 90 · ab 10. Februar 2027 64 · ab 16. Februar 2028 45 Tage

Dieselbe Regel verkürzt, wie lange die Prüfung, die beweist, dass die Domain Ihnen gehört, wiederverwendet werden darf; 2029 sinkt diese Frist auf 10 Tage. Erneuern heißt also nicht mehr nur eine Datei austauschen, sondern die Kontrolle über die Domain immer wieder nachweisen. Auch Let’s Encrypt, das kostenlose Zertifikate ausstellt, verkürzt seinen eigenen Standard: Zertifikate, die heute 90 Tage gelten, gelten ab dem 10. Februar 2027 64 Tage und ab dem 16. Februar 2028 45 Tage.

Lohnt sich ein „Jahres-SSL-Zertifikat“ noch?

Ein- oder mehrjährige SSL-Produkte lassen sich weiterhin kaufen; aber seit dem 15. März 2026 gilt ein einzelnes Zertifikat höchstens 200 Tage. Das „Jahresprodukt“ muss pro Jahr mindestens zweimal neu ausgestellt und auf dem Server installiert werden; nach dem 15. März 2027 mindestens viermal, nach 2029 mindestens achtmal im Jahr. Jede manuelle Installation bedeutet an dem Tag, an dem sie vergessen wird, ein abgelaufenes Zertifikat und den Bildschirm „Dies ist keine sichere Verbindung“.

Die eigentliche Frage ist deshalb nicht der Preis des Zertifikats, sondern wer es wie erneuert. Kürzere Laufzeiten machen die manuelle Erneuerung praktisch unmöglich.

Wie richtet man die automatische Erneuerung ein?

Der Standardweg für die automatische Erneuerung ist das ACME-Protokoll: Software auf dem Server fordert das Zertifikat vor Ablauf an, prüft die Domain und installiert das neue. Let’s Encrypt, ZeroSSL und Google Trust Services stellen auf diesem Weg kostenlose Zertifikate aus; viele Hosting-Panels bringen das als automatische Zertifikatsfunktion mit, und Content-Delivery-Netzwerke wie Cloudflare erneuern ihre eigenen Edge-Zertifikate selbst.

• Wer erneuert das Zertifikat? Hoster, Content-Delivery-Netzwerk, die Agentur, die die Website gebaut hat, oder Sie — es sollte eine schriftliche Antwort geben.
• Ist die Erneuerung automatisch? Wenn nicht, bedeutet der Fahrplan 2027 mindestens vier manuelle Einsätze im Jahr.
• Wer wird benachrichtigt, wenn die Erneuerung fehlschlägt? Geht die Warn-E-Mail an eine Adresse, die niemand liest, kann die automatische Erneuerung still stehen bleiben.
• Deckt das Zertifikat alle Namen ab? Die Adresse mit und ohne www sowie genutzte Subdomains müssen im Zertifikat stehen.
• Überwacht jemand das Ablaufdatum von außen? Die verbleibenden Tage regelmäßig zu prüfen ist der einzige Weg, es vor den Besuchern zu bemerken.

Leitet die http-Adresse auf HTTPS weiter?

Auch mit gültigem Zertifikat sollte die http-Adresse der Website in einem Schritt auf die https-Adresse weiterleiten, und die Website sollte den HSTS-Header senden, der dem Browser sagt, sie nur über HTTPS zu öffnen. Chrome versucht eine http-Adresse selbst auf https hochzustufen; für alte Links, andere Browser und Suchmaschinen bleibt die Weiterleitung aber nötig. Wie die Weiterleitung auf dem Server geschrieben wird, steht im Leitfaden zu HTTPS- und www-Weiterleitung.

Wie sieht es bei türkischen Websites aus?

Am 8. November 2026 haben wir die 500 meistbesuchten .tr-Websites der Türkei, die Websites großer Exporteure und zufällig ausgewählte .com.tr-Websites gemessen. Der Anteil der Websites, die Chrome 154 hinter einer Warnung öffnet, liegt in diesen drei Gruppen bei 1 Prozent, 2 Prozent und 8 Prozent; der Anteil, dessen http-Adresse nicht auf https weiterleitet, bei 9 Prozent, 18 Prozent und 22 Prozent. Die eigentliche Arbeit kommt am 15. März 2027: Der Anteil der Websites, die heute ein Zertifikat mit mehr als 100 Tagen Laufzeit nutzen, liegt bei 65 Prozent, 41 Prozent und 13 Prozent. Methode und alle Zahlen im Messartikel.

Was sollte im Angebot und im Vertrag stehen?

Ein Zertifikat ist kein Posten, den man einmal installiert und vergisst, sondern Teil der jährlichen Betriebskosten einer Website (was den Preis einer Website bestimmt). Ein Website-Angebot sollte schriftlich festhalten, wer für die Erneuerung verantwortlich ist, ob sie automatisch läuft und wer vor dem Ablauf benachrichtigt wird (wie man ein Webdesign-Angebot liest). Alle Sicherheitsthemen einer Website im Leitfaden zur Website-Sicherheit.

Checkliste

• Zeigt die Adressleiste „Nicht sicher“? Dann muss zuerst HTTPS eingerichtet werden.
• Welchen Fehlercode zeigt der Bildschirm „Dies ist keine sichere Verbindung“? Datum, Name oder Stelle — die Lösung hängt vom Code ab.
• Wann läuft das Zertifikat ab, und wie lang ist seine Laufzeit? Ist sie länger als 100 Tage, ändert sich die Erneuerung nach dem 15. März 2027.
• Ist die Erneuerung automatisch, wer übernimmt sie, und wer wird bei einem Fehlschlag benachrichtigt?
• Stehen die Adresse mit und ohne www und die Subdomains im Zertifikat?
• Leitet die http-Adresse in einem Schritt auf https weiter, und ist der HSTS-Header vorhanden?

Diese Prüfungen gehören auf die Übergabeliste einer Website; bei Webdesign und Entwicklung werden Zertifikat und Weiterleitungen vor dem Launch gemessen.

Wenn Sie die Antworten auf diese Fragen auf Ihrer eigenen Website sehen möchten: Corporate Webdesign liefert Design, Code und technisches SEO aus einer Hand, mit einem messbaren Budget.