Es ist der Albtraum jedes Website-Betreibers: Ein potenzieller Kunde ruft Ihre Domain auf, doch anstelle Ihrer Startseite blockiert der Browser (wie Chrome oder Safari) den Zugriff. Auf dem Bildschirm prangt ein rotes Warnschild mit der Meldung: „Ihre Verbindung ist nicht privat“ oder „Nicht sicher“.
In diesem Moment verlieren Sie nicht nur massiv an Vertrauen, sondern auch bares Geld, da die meisten Nutzer die Seite sofort verlassen. Zudem straft Google Websites ohne gültiges SSL-Zertifikat in den Suchergebnissen rigoros ab.
In dieser Anleitung zeigen wir Ihnen, warum dieser Fehler auftritt und wie Sie in WordPress ein SSL-Zertifikat einrichten und Fehler dauerhaft beheben.
Warum wird Ihre Website als „unsicher“ markiert?
Bevor wir in die Lösung einsteigen, müssen wir die Ursache identifizieren. Ein SSL-Fehler bedeutet nicht zwingend, dass Sie gehackt wurden. Meistens liegt eines dieser drei technischen Probleme vor:
- Das Zertifikat ist tatsächlich abgelaufen: Kostenlose SSL-Zertifikate (wie von Let’s Encrypt) haben in der Regel eine Laufzeit von 90 Tagen. Wenn die automatische Verlängerung bei Ihrem Hoster fehlschlägt, läuft das Zertifikat ab.
- Mixed Content (Gemischte Inhalte): Ihr Zertifikat ist gültig, aber Ihre Website lädt bestimmte Ressourcen (wie Bilder, Schriften oder alte Skripte) noch über das unsichere
http://-Protokoll anstatt überhttps://. Der Browser markiert die Seite daraufhin als teilweise unsicher. - Falsche Zertifikatszuweisung: Das Zertifikat wurde für die Domain
ihreseite.deausgestellt, der Nutzer ruft aberwww.ihreseite.deauf, und das Zertifikat deckt die www-Subdomain nicht ab.
Schritt-für-Schritt: Den SSL-Fehler beheben
Gehen Sie diese Schritte systematisch durch, um die grüne Sicherheitslücke (das Schloss-Symbol im Browser) zurückzuholen.
Schritt 1: Das Zertifikat beim Hoster erneuern
Der erste Weg führt immer in das Kundenmenü Ihres Webhosters (z. B. IONOS, Hetzner, All-Inkl oder Raidboxes).
- Suchen Sie im Menü nach dem Punkt „SSL“, „Sicherheit“ oder „Domains“.
- Prüfen Sie den Status Ihres Zertifikats. Steht dort „Abgelaufen“ (Expired)?
- Klicken Sie auf „Erneuern“ oder stellen Sie ein neues, kostenloses Let’s Encrypt Zertifikat aus.
- Achten Sie darauf, dass Sie ein sogenanntes Wildcard-Zertifikat (oft markiert mit
*.ihredomain.de) auswählen oder explizit anklicken, dass das Zertifikat auch für die „www“-Version der Domain gelten soll.
Schritt 2: WordPress-URLs auf HTTPS umstellen
Sobald das Zertifikat beim Hoster wieder aktiv ist, müssen Sie WordPress mitteilen, dass es fortan nur noch verschlüsselt kommunizieren darf.
- Loggen Sie sich in Ihr WordPress-Dashboard ein.
- Navigieren Sie zu Einstellungen > Allgemein.
- Prüfen Sie die beiden Felder WordPress-Adresse (URL) und Website-Adresse (URL).
- Wenn hier noch
http://steht, ändern Sie beide Einträge zwingend aufhttps://und speichern Sie die Änderungen. (Achtung: Sie werden nach dem Speichern automatisch ausgeloggt und müssen sich neu anmelden).
Schritt 3: Mixed Content Fehler aufspüren und beheben
Wenn das Zertifikat aktiv ist, die URLs angepasst wurden, aber das Schloss-Symbol im Browser immer noch fehlt oder durchgestrichen ist, leiden Sie unter „Mixed Content“.
Um alte Bilder oder Links in der Datenbank, die noch http:// enthalten, auf https:// umzuschreiben, haben Sie zwei Möglichkeiten:
- Die Plugin-Lösung (Für Anfänger): Installieren Sie das Plugin Really Simple SSL. Es erzwingt HTTPS und korrigiert Mixed Content dynamisch im Hintergrund.
- Die Datenbank-Lösung (Für Fortgeschrittene): Nutzen Sie das Plugin Better Search Replace. Suchen Sie in allen Tabellen nach
[http://ihredomain.de](http://ihredomain.de)und ersetzen Sie es durch[https://ihredomain.de](https://ihredomain.de). (Wichtig: Vorher immer ein Datenbank-Backup machen!).
Schritt 4: 301-Weiterleitung erzwingen (.htaccess)
Damit Nutzer, die ein altes Lesezeichen gespeichert haben, nicht versehentlich auf der unverschlüsselten Version landen, muss der Traffic serverseitig weitergeleitet werden.
Fügen Sie (per FTP) folgenden Code ganz oben in Ihre .htaccess-Datei im Hauptverzeichnis ein:
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>Ein funktionierendes SSL-Zertifikat ist im modernen Web nicht verhandelbar. Es ist eine Grundvoraussetzung für die DSGVO (Datenschutzgrundverordnung), da andernfalls Daten aus Kontaktformularen unverschlüsselt übertragen werden.
Um zukünftige Ausfälle zu vermeiden, sollten Sie sicherstellen, dass die „Auto-Renew“-Funktion (automatische Verlängerung) in den SSL-Einstellungen Ihres Hosters dauerhaft aktiviert ist. So bleibt Ihre Website für Besucher und Suchmaschinen durchgehend ein sicherer Ort.
FAQ: SSL-Zertifikat abgelaufen oder unsicher
Das passiert, wenn der Browser keine sichere Verbindung aufbauen kann. Häufige Gründe dafür sind:
– Abgelaufenes Zertifikat: Die Laufzeit (z. B. 90 Tage bei kostenlosen Let’s Encrypt-Zertifikaten) ist überschritten.
– Mixed Content (Gemischte Inhalte): Einige Elemente der Website werden noch über das unsichere http:// geladen.
– Falsche Zuweisung: Das Zertifikat gilt nicht für die exakt aufgerufene Domain (z. B. fehlt die Abdeckung für die www.-Version).
Ein ungültiges Zertifikat sollte schnell behoben werden, da es folgende Auswirkungen haben kann:
– Besucher erhalten eine Warnmeldung und verlassen die Seite oft sofort.
– Google bewertet ungesicherte Websites in den Suchergebnissen schlechter.
– Es besteht die Gefahr von DSGVO-Verstößen, da Daten (z. B. über Kontaktformulare) unverschlüsselt übertragen werden.
Aktivieren Sie in den SSL-Einstellungen Ihres Hosters am besten dauerhaft die Funktion zur automatischen Verlängerung (Auto-Renew). So kümmert sich das System von selbst darum und Ihre Website bleibt durchgehend geschützt.
