Chrome fragt jetzt nach, bevor eine Seite ohne HTTPS lädt
Bei einer Website ohne HTTPS zeigte Chrome lange nur den Hinweis „Nicht sicher“ in der Adressleiste. Seit Oktober 2026 fragt Chrome den Besucher vorher, ob er die unverschlüsselte Verbindung erlauben will.
Dieser Beitrag zeigt, woran Sie erkennen, ob Ihre Website betroffen ist, wo alte HTTP-Adressen stecken und in welcher Reihenfolge Sie umstellen.
Was zeigt Chrome bei einer Website ohne HTTPS?
Seit Oktober 2026 warnt Chrome alle Nutzer vor öffentlichen Seiten ohne Hypertext Transfer Protocol Secure (HTTPS) und fragt, bevor es sie zum ersten Mal lädt (Stand November 2026). Für Ihre Website heißt das: Jede Adresse, über die Besucher kommen, braucht HTTPS, auch jeder Zwischenschritt einer Weiterleitung. Prüfen Sie zuerst, ob Chrome beim Aufruf Ihrer Domain mit und ohne www nachfragt.
Die Abfrage vor dem Laden kommt neu dazu: Den Hinweis „Nicht sicher“ in der Adressleiste zeigt Chrome bei Seiten über das unverschlüsselte Hypertext Transfer Protocol (HTTP) schon seit Version 68 vom Juli 2018. Google beschreibt die Abfrage in seiner Meldung vom 21. Oktober 2026 so: Chrome warnt am Computer und auf dem Smartphone, dass die Seite keine sichere Verbindung unterstützt, und der Besucher muss die unverschlüsselte Verbindung erst erlauben. Danach fragt Chrome erst wieder, wenn er die Seite mindestens zwei Wochen nicht besucht hat.
Die Abfrage gehört zur Einstellung „Immer verschlüsselte Verbindungen verwenden“, die Chrome jetzt ab Werk einschaltet. Die Release-Notizen zu Chrome 154 vom 22. September 2026 führen sie als Standard.
Ist meine Website betroffen?
Zwei Prüfungen zeigen, ob Ihre Website betroffen ist: In Chrome sehen Sie, ob eine Adresse auf dem Weg kein HTTPS kann, und das Kommandozeilenwerkzeug curl zeigt, wohin Ihr Server einen Aufruf mit http:// schickt. Prüfen Sie beides für die Domain mit und ohne www.
Chrome allein genügt nicht: Kann eine Adresse HTTPS, stellt Chrome selbst um und verrät dabei nicht, ob Ihr Server weiterleitet. Und wenn Sie die Abfrage für eine Seite schon einmal erlaubt haben, sehen Sie sie erst nach zwei Wochen ohne Besuch wieder. Zum Testen empfiehlt das Chromium-Projekt Betreibern in seiner Anleitung zur neuen Warnung, die Einstellung aus der Ersten Hilfe selbst einzuschalten und jeden Weiterleitungsschritt in den Entwicklertools von Chrome nachzusehen.
| Prüfung | So sieht es richtig aus | Wenn nicht | Nächster Schritt |
|---|---|---|---|
example.com und www.example.com in Chrome eintippen |
Die Seite lädt ohne Abfrage. | Chrome fragt nach. | HTTPS für diese Adresse einschalten (Schritt 1 unten) |
| Entwicklertools von Chrome, Netzwerk-Bereich, Seite neu laden | Jeder Weiterleitungsschritt beginnt mit https://. |
Ein Schritt beginnt mit http://. |
diesen Schritt auf HTTPS umstellen |
curl -sIL http://example.com, danach mit www |
Die erste Antwort ist 301 oder 308, die Zeile location beginnt mit https://. |
Keine Weiterleitung oder ein Ziel mit http:// |
Weiterleitung einrichten (Schritt 2 unten) |
Der Befehl läuft in der Kommandozeile Ihres Rechners, sofern curl installiert ist, und ändert nichts. Laut curl-Handbuch holt -I nur die Kopfzeilen, -L folgt jeder Weiterleitung und zeigt die Kopfzeilen aller Schritte, -s blendet die Fortschrittsanzeige aus. Setzen Sie Ihre Domain statt example.com ein:
curl -sIL http://example.com
curl -sIL http://www.example.com
Führt der Server den Aufruf am Ende zu HTTPS? Bei meiner passiven Prüfung im dritten Quartal 2026 endete der Abruf bei 67.026 von 469.696 geprüften Firmen-Startseiten in Deutschland (14,3 %) nach allen Weiterleitungen auf einer HTTP-Adresse. Je nach Content-Management-System (CMS) lagen die Anteile weit auseinander:
| System (an der Startseite erkannt) | geprüfte Startseiten | davon Ende auf HTTP |
|---|---|---|
| Joomla | 16.499 | 2.681 (16,2 %) |
| WordPress | 169.828 | 10.668 (6,3 %) |
| TYPO3 | 34.163 | 986 (2,9 %) |
| Baukästen Wix und Jimdo | 18.424 | 11 |
Dieselbe Frage stellt sich für jede Adresse, über die Besucher zu Ihnen kommen.
Wo führen Besucher noch auf HTTP-Adressen?
Alte HTTP-Adressen stecken in Weiterleitungen und Links: in der Domain ohne oder mit www, im Weiterleitungsdienst des Domainanbieters, in Tracking-Weiterleitungen für eingehende Links und in Links auf fremden Seiten. Kann ein Schritt einer solchen Kette kein HTTPS, fragt Chrome nach, bei mehreren solchen Schritten auch mehrfach.
Die Anleitung des Chromium-Projekts beschreibt diese Fälle, und so finden Sie sie:
- Domain ohne www: Leitet
http://example.comaufhttp://www.example.comweiter und kann nurwww.example.comHTTPS, fragt Chrome beim Aufruf vonexample.com, obwohl die Seite am Ende verschlüsselt lädt. - Weiterleitungsdienst: Leitet Ihr Domainanbieter eine zweite Domain nur weiter, fragen Sie ihn, ob dieser Dienst HTTPS unterstützt.
- Tracking-Weiterleitungen: Läuft ein eingehender Link erst über eine Weiterleitung, die den Klick erfasst, braucht jeder Schritt dieser Kette HTTPS. Testen Sie einen solchen Link deshalb mit dem curl-Befehl von oben.
- Links auf fremden Seiten: Ein alter
http://-Link in einem Unternehmensprofil, einem Verzeichnis oder einer Mailsignatur löst die Abfrage aus, sobald die Adresse dahinter kein HTTPS kann. In der Search Console sehen Sie unter den Links zu Ihrer Website, welche Seiten auf Sie verlinken.
Wo Sie Zugriff haben, ändern Sie solche Links auf https://. Die Umstellung aus dem nächsten Abschnitt fängt dann alle übrigen ab.
In welcher Reihenfolge stellen Sie auf HTTPS um?
Stellen Sie in dieser Reihenfolge um: erst HTTPS mit gültigem Zertifikat auf jeder Adresse, dann eine dauerhafte Weiterleitung von jeder HTTP-Adresse direkt auf ihr HTTPS-Gegenstück, danach interne Links, Canonical und Sitemap, zuletzt Search Console und Test. Wenn Sie die Weiterleitung vor dem Zertifikat einrichten, führt sie Besucher auf eine Adresse, die noch nicht verschlüsselt antwortet.
Reicht ein neues Zertifikat? Wer nur das Zertifikat erneuert, hat häufig erst einen von zwei Schritten erledigt, die Weiterleitung kommt dazu. Das schließe ich aus meiner Prüfung im dritten Quartal 2026: Bei 16.567 der 469.696 Startseiten (3,5 %) stufte sie das Zertifikat als unbrauchbar ein, und bei 13.192 davon endete der Abruf zugleich auf einer HTTP-Adresse.
Die Schritte 2 bis 5 folgen Googles Anleitung zum Website-Umzug, denn für Google ist der Wechsel von HTTP zu HTTPS ein solcher Umzug.
HTTPS auf jeder Adresse einschalten
Richten Sie ein gültiges SSL-Zertifikat für die Domain mit und ohne www ein, ebenso für jede Domain, die nur weiterleitet. Für öffentliche Seiten bekommen Sie es kostenlos, etwa bei Let's Encrypt; der Beitrag zu Let's Encrypt zeigt, wie die Erneuerung automatisch läuft. Wenn Sie keinen eigenen Server betreiben, schalten Sie HTTPS im Kundenmenü Ihres Hosters ein oder fragen dort nach. Meldet Chrome danach einen Zertifikatsfehler, ist das eine andere Warnung; der Ratgeber zu SSL-Zertifikat-Fehlern erklärt ihre Ursachen.
Jede HTTP-Adresse direkt weiterleiten
Leiten Sie jede HTTP-Adresse dauerhaft auf dieselbe Seite unter HTTPS um, mit Statuscode 301 oder 308 und nicht pauschal auf die Startseite. Meine Regel dafür: Jede alte Adresse braucht eine Weiterleitung auf ihr inhaltliches Gegenstück, ohne Umweg über eine Zwischenstation. Bei HTTPS kommt ein Grund dazu, denn an einer Zwischenstation ohne HTTPS fragt Chrome nach. Die passende Regel steht im Ratgeber zur Weiterleitung per .htaccess.
Interne Links, Canonical und Sitemap umstellen
Ändern Sie interne Links auf HTTPS, lassen Sie die Canonical-Angaben auf die HTTPS-Adressen zeigen und erzeugen Sie die Sitemap mit den neuen Adressen. Lädt eine Seite danach noch Bilder oder Skripte über HTTP, hilft der Beitrag zu Mixed Content.
HTTPS-Adressen in der Search Console bestätigen
Bestätigen Sie in der Google Search Console die HTTPS-Adressen mit und ohne www. Eine Adressänderung brauchen Sie für den Wechsel von HTTP zu HTTPS nicht.
Prüfen und Weiterleitungen stehen lassen
Wiederholen Sie die drei Prüfungen aus der Tabelle oben. Lassen Sie die Weiterleitungen danach mindestens ein Jahr stehen.
Selbst umstellen oder beauftragen?
Sie schaffen die Umstellung selbst, wenn Sie ins Kundenmenü Ihres Hosters oder an die Server-Einstellungen kommen, vorher sichern können und Ihre Domain nur zur Variante mit www weiterleitet. Wenn eine dieser Bedingungen fehlt, stelle ich Ihre Adressen zum Festpreis von 89 € zzgl. 19 % USt. auf HTTPS um und korrigiere eine falsche Weiterleitung zum Festpreis von 69 € zzgl. 19 % USt.
| Bedingung | Selbst machbar | Hilfe sinnvoll |
|---|---|---|
| Zugang | Sie kommen ins Kundenmenü des Hosters oder per SFTP an die .htaccess. |
Der Zugang fehlt oder liegt bei jemand anderem. |
| Sicherung | Sie können Dateien und Einstellungen vorher sichern. | Eine Sicherung ist nicht möglich. |
| Weiterleitungen | Domain mit und ohne www, keine weitere Kette | Weiterleitungsdienst, Tracking-Kette oder eine Redirect-Schleife nach der Umstellung |
Wenn Sie nicht wissen, bei wem Sie HTTPS einschalten lassen müssen, hilft ein Blick in das öffentliche Domain Name System (DNS):
„Wo eine Website liegt, sehe ich an den öffentlichen DNS-Einträgen, bevor ich irgendwen anschreibe: Nameserver, MX-Eintrag und die IP-Adresse der Website führen zum Anbieter. Wer Vertragspartner oder Inhaber ist, steht dort allerdings nicht.“
— Sascha Fix
Der Beitrag zum nicht erreichbaren Webdesigner zeigt, wie Sie diese Einträge abfragen. Auf der Seite Website reparieren lassen steht, was die Reparatur bei einer Warnung „Nicht sicher“ umfasst; die Einschätzung vorab ist kostenlos.
Häufige Fragen zur Chrome-Warnung vor Seiten ohne HTTPS
Warum zeigt Chrome meine Website trotz SSL-Zertifikat als nicht sicher an?
Chrome fragt auch dann nach, wenn das Ziel HTTPS hat, aber ein Zwischenschritt der Weiterleitung nicht, etwa die Domain ohne www. Prüfen Sie deshalb beide Varianten in Chrome und mit curl -sIL http://example.com. Ein abgelaufenes oder falsches Zertifikat löst eine andere Warnung aus, die der Ratgeber zu SSL-Zertifikat-Fehlern erklärt. Lädt die HTTPS-Seite selbst noch Bilder oder Skripte über HTTP, ist das Mixed Content.
Warum ist meine WordPress-Seite nicht sicher?
Chrome fragt nach, sobald eine Adresse kein HTTPS kann, egal mit welchem System die Website gebaut ist. Bei meiner passiven Prüfung im dritten Quartal 2026 endete der Abruf bei 10.668 von 169.828 WordPress-Startseiten (6,3 %) auf einer HTTP-Adresse. Prüfen Sie Ihre Domain mit und ohne www in Chrome und mit curl, und stellen Sie danach in der Reihenfolge aus diesem Beitrag um.
Wie vermeide ich die „Nicht sicher“-Meldung in Chrome?
Schalten Sie HTTPS mit gültigem Zertifikat für jede Adresse ein, über die Besucher kommen, auch für die Domain ohne www und für Domains, die nur weiterleiten. Danach leiten Sie jede HTTP-Adresse dauerhaft mit 301 oder 308 auf ihr HTTPS-Gegenstück um und stellen interne Links, Canonical-Angaben und Sitemap auf HTTPS. Zum Schluss bestätigen Sie die HTTPS-Adressen in der Search Console und prüfen alles erneut.
Kann ich die Warnung in Chrome abschalten?
Als Besucher ja: Unter chrome://settings/security können Sie „Immer verschlüsselte Verbindungen verwenden“ ausschalten. Wer die Einstellung schon früher selbst gewählt hat, behält seine Wahl auch nach der Umstellung in Chrome 154. Als Betreiber hilft Ihnen das nicht, denn Ihre Besucher sehen die Abfrage trotzdem. Dagegen hilft HTTPS auf jeder Adresse, über die Besucher zu Ihrer Website kommen.
Blockiert Chrome jetzt alle HTTP-Seiten?
Nein. Chrome versucht jede Verbindung zuerst über HTTPS und fragt nur dann nach, wenn das nicht klappt (Stand November 2026). Der Besucher kann die unverschlüsselte Verbindung erlauben und kommt dann auf die Seite; Chrome fragt erst wieder, wenn er sie mindestens zwei Wochen nicht besucht hat. Adressen im eigenen Netz, etwa die Oberfläche eines Routers, und localhost sind ausgenommen.
Schadet die Umstellung auf HTTPS meinem Google-Ranking?
Laut Google haben 301- und andere dauerhafte Weiterleitungen keine negativen Auswirkungen auf den PageRank. Für den Wechsel von HTTP zu HTTPS brauchen Sie in der Search Console auch keine Adressänderung. Leiten Sie dafür jede alte Adresse direkt auf ihr HTTPS-Gegenstück weiter statt pauschal auf die Startseite, und lassen Sie die Weiterleitungen mindestens ein Jahr stehen.
Ist „Gefährliche Website“ dieselbe Warnung?
Nein. Chrome zeigt die rote Warnung „Gefährliche Website“, wenn es auf einer Seite Phishing, Malware, unerwünschte Software oder Social Engineering erkennt. Mit der Abfrage vor Seiten ohne HTTPS hat sie nichts zu tun. Wie ich bei einer gehackten Website vorgehe, beschreibe ich auf der Seite zur WordPress-Hack-Hilfe.
Chrome fragt Ihre Besucher, bevor Ihre Website lädt?
Ich finde die Adresse, an der HTTPS fehlt, stelle Zertifikat und Weiterleitungen um und prüfe die Kette danach in Chrome. Den Festpreis kennen Sie, bevor ich anfange.