SSL-Zertifikat: warum „nicht sicher“ steht

Die Antwort in zwei Sätzen

SSL verschlüsselt die Verbindung zwischen dem Gerät deines Kunden und deiner Website — daran erkennst du es am https in der Adresse und am Schloss-Symbol. Steht dort „nicht sicher“, werden alle Eingaben aus deinem Kontaktformular offen übertragen, und Besucher brechen ab, bevor sie anfragen.

Kurz erklärt

Stell dir vor, du verschickst Baupläne per Post. Ohne SSL — also bei einer Website, deren Adresse mit http beginnt — verschickst du sie als Postkarte. Jeder, der auf dem Transportweg beteiligt ist, kann mitlesen. SSL, technisch heute korrekt TLS genannt, macht daraus einen verschlossenen Brief mit Siegel.

Das Zertifikat ist dabei zweierlei: Es liefert den Schlüssel für die Verschlüsselung und es bestätigt, dass die Seite auch wirklich zu dieser Domain gehört. Wenn der Browser oben „nicht sicher“ anzeigt, heißt das: Es fehlt, es ist abgelaufen oder es passt nicht zur aufgerufenen Adresse.

Für Betriebe ist wichtig zu wissen: Zertifikate müssen nichts kosten. Die gemeinnützige Zertifizierungsstelle Let’s Encrypt stellt sie kostenlos aus, und praktisch jeder deutsche Hoster bietet sie mit einem Klick an. Ein bezahltes Zertifikat verschlüsselt nicht besser.

Schritt für Schritt: kostenloses SSL aktivieren

Beim Hoster anmelden. Melde dich im Kundenmenü deines Hosting-Anbieters an — dort, wo auch die Rechnungen liegen.
Den passenden Bereich öffnen. Such im Menü nach „Domains“, „SSL“ oder „Sicherheit“. Bei manchen Anbietern steht das Zertifikat direkt in der Domainübersicht als eigene Spalte.
Zertifikat einrichten. Klick bei deiner Domain auf „SSL aktivieren“, „Zertifikat einrichten“ oder ein ähnlich benanntes Feld.
Kostenlose Variante wählen. Wähle als Typ „Let’s Encrypt“ oder die vom Anbieter als kostenlos gekennzeichnete Option und speichere.
Warten. Die Ausstellung dauert meist wenige Minuten, in Einzelfällen bis zu einer Stunde. Ruf danach deine Seite auf und sieh nach dem Schloss-Symbol.
Weiterleitung auf https prüfen. Tippe die Adresse einmal bewusst mit http:// ein. Landest du automatisch auf der https-Version, ist alles richtig eingestellt. Wenn nicht, such im Kundenmenü nach „HTTPS erzwingen“ oder bitte den Support darum.
Auf durchgestrichenes Schloss achten. Erscheint das Schloss durchgestrichen oder mit Warndreieck, lädt die Seite noch einzelne Bilder oder Schriften über unsichere Adressen. Das nennt sich gemischter Inhalt und muss in der Website selbst korrigiert werden.
Verlängerung kontrollieren. Kostenlose Zertifikate laufen nach kurzer Zeit ab und werden normalerweise automatisch erneuert. Trag dir trotzdem einmal im Quartal eine Sichtprüfung ein.

Die häufigsten Fehler

Für SSL bezahlen, obwohl es nicht nötig ist. Viele Betriebe zahlen jährlich für ein Zertifikat, obwohl kostenlose Zertifikate dieselbe Verschlüsselung liefern.
Gemischter Inhalt. Das Zertifikat ist aktiv, aber das Schloss bleibt durchgestrichen, weil einzelne Bilder noch über http geladen werden. Das passiert oft nach einer Umstellung, wenn alte Adressen in Beiträgen stehen geblieben sind.
Keine Weiterleitung eingerichtet. Die Seite ist über https erreichbar, aber die alte http-Adresse funktioniert weiter. Dann gibt es die Seite faktisch zweimal — schlecht für Besucher und für Suchmaschinen.
Zertifikat abgelaufen und niemand merkt es. Besucher sehen dann eine ganzseitige Warnung, die die meisten Menschen sofort zum Zurückgehen bewegt.

Woran du merkst, dass etwas nicht stimmt

In der Adressleiste steht „Nicht sicher“ neben deiner Domain.
Beim Aufruf erscheint eine ganzseitige rote Warnung mit einem Text wie „Die Verbindung ist nicht privat“.
Das Schloss-Symbol ist vorhanden, aber durchgestrichen oder mit einem gelben Dreieck versehen.
Kunden rufen an und sagen, ihr Browser warne vor deiner Seite.
Die Seite funktioniert unter https, aber unter http erscheint eine ganz andere oder eine leere Version.

Gemischter Inhalt: das durchgestrichene Schloss verstehen

Gemischter Inhalt heißt: Die Seite selbst wird verschlüsselt geladen, einzelne Bestandteile aber nicht. Der Browser kann dann nicht mehr garantieren, dass alles unverändert bei dir ankommt, und nimmt das Schloss zurück. Typische Auslöser sind Bilder, die vor der Umstellung mit einer http-Adresse in einen Text eingefügt wurden, sowie eingebundene Karten, Schriften oder Videos von fremden Anbietern.

So findest du die Ursache, ohne Programmierkenntnisse: Öffne die Seite im Browser, klick mit der rechten Maustaste auf eine freie Stelle und wähle „Untersuchen“ oder „Element untersuchen“. Wechsle im geöffneten Bereich auf den Reiter „Konsole“. Dort stehen gelbe oder rote Zeilen mit dem Stichwort Mixed Content, gefolgt von der Adresse des betroffenen Elements. Genau diese Adresse gibst du an denjenigen weiter, der die Seite pflegt.

In den meisten Fällen lässt sich das beheben, indem die betroffene Datei erneut hochgeladen und im Text neu eingefügt wird. Bei Inhalten von fremden Anbietern hilft nur, die Einbindung zu ersetzen oder zu entfernen. Wichtig ist, das zügig zu erledigen: Ein durchgestrichenes Schloss wirkt auf Besucher genauso abschreckend wie gar keins.

Häufige Fragen

Brauche ich SSL auch ohne Onlineshop?

Ja. Sobald ein Kontaktformular auf der Seite ist, werden dort Name, Telefonnummer und Anliegen eingegeben. Ohne Verschlüsselung gehen diese Angaben offen über das Netz. Unabhängig davon ist die Warnung im Browser für viele Besucher ein Abbruchgrund.

Ist ein teures Zertifikat sicherer?

Die Verschlüsselung selbst ist dieselbe. Kostenpflichtige Zertifikate unterscheiden sich vor allem durch zusätzliche Prüfungen des Unternehmens und durch Haftungszusagen des Ausstellers. Für eine Handwerker-Website ist ein kostenloses Zertifikat der Normalfall.

Wirkt sich SSL auf die Sichtbarkeit bei Google aus?

Google empfiehlt HTTPS ausdrücklich und nennt es als leichtes Signal in der Bewertung. Wie stark es im Einzelfall wirkt, lässt sich nicht beziffern. Der eigentliche Grund für die Umstellung ist ohnehin die Warnung, die Besucher sonst sehen.

Passend dazu

Quellen

https://letsencrypt.org/de/ | abgerufen 25.07.2026 | belegt: kostenlose, automatisiert ausgestellte Zertifikate einer gemeinnützigen Zertifizierungsstelle
https://www.bsi.bund.de/ — Mindeststandards und Empfehlungen zum Einsatz von TLS | abgerufen 25.07.2026 | belegt: Verschlüsselung der Übertragung als Grundschutzmaßnahme
https://developers.google.com/search/docs/crawling-indexing/https | abgerufen 25.07.2026 | belegt: Google empfiehlt HTTPS für Websites und behandelt es als Signal

Nicht belegbar: wie stark HTTPS die Platzierung in den Suchergebnissen konkret beeinflusst. Google bezeichnet es als Signal, veröffentlicht aber keine Gewichtung. Ebenfalls nicht allgemein belegbar ist, wie viele Besucher eine Warnseite abbrechen lässt — dazu gibt es keine belastbare Primärquelle für den deutschen Handwerksmarkt.

SSL zu aktivieren ist meist eine Sache von zwei Klicks. Aufwendig wird es nur, wenn nach der Umstellung gemischte Inhalte übrig bleiben. Falls das Schloss bei dir durchgestrichen bleibt, schauen wir uns das an.

SSL: warum „nicht sicher“ im Browser steht