Website nicht sicher: Die 7 häufigsten Ursachen

Der Hinweis „Nicht sicher“ im Browser wirkt für Besucher sofort abschreckend. Auch wenn die Ursache oft klein ist, kostet sie Vertrauen und kann Anfragen verhindern.

Die meisten Fälle lassen sich auf wenige technische Ursachen zurückführen. Hier sind die sieben häufigsten Probleme und worauf du achten solltest.

1) Kein gültiges SSL-Zertifikat

Ohne gültiges Zertifikat bleibt die Verbindung unverschlüsselt. Browser markieren die Seite dann als unsicher.

Prüfe, ob dein Zertifikat aktiv, korrekt installiert und nicht abgelaufen ist. Viele Hosting-Anbieter erneuern automatisch, aber nicht immer fehlerfrei.

2) HTTPS ist nicht konsequent erzwungen

Wenn http:// noch erreichbar ist und nicht sauber auf https:// umleitet, entstehen gemischte Zustände.

Alle Varianten (http, https, mit/ohne www) sollten auf eine kanonische HTTPS-Version weiterleiten.

3) Mixed Content (gemischte Inhalte)

Sehr häufig: Die Seite lädt über HTTPS, einzelne Skripte/Bilder aber noch über HTTP. Dann zeigen Browser Warnungen oder blockieren Inhalte.

Betroffen sind oft alte Bilder-URLs, externe Skripte oder eingebundene Fonts. Alle Ressourcen müssen über HTTPS geladen werden.

4) Falsche Domain-Konfiguration

Wenn Zertifikat und Domain nicht zusammenpassen (z. B. nur example.ch, aber nicht www.example.ch), erscheint ein Sicherheitsfehler.

Stelle sicher, dass alle genutzten Domainvarianten im Zertifikat enthalten sind.

5) Abgelaufene oder fehlerhafte Zwischenzertifikate

Auch mit vorhandenem Hauptzertifikat kann die Zertifikatskette fehlerhaft sein. Dann vertrauen Browser der Verbindung nicht vollständig.

Das passiert vor allem bei manuellen Setups oder Servermigrationen.

6) Unsichere externe Skripte oder Plugins

Veraltete Plugins oder Drittanbieter-Skripte können Schwachstellen öffnen. Sicherheit ist nicht nur HTTPS, sondern auch Software-Hygiene.

Core, Plugins und Themes aktuell halten
nicht benötigte Erweiterungen entfernen
nur vertrauenswürdige Quellen nutzen

Je weniger externe Abhängigkeiten aktiv sind, desto kleiner ist die Angriffsfläche. Viele Sicherheitsprobleme entstehen nicht durch den Core, sondern durch alte oder schlecht gepflegte Erweiterungen.

7) Sicherheitsheader fehlen komplett

Fehlende Header machen eine Seite nicht automatisch „unsicher“, reduzieren aber den Schutz deutlich.

Wichtige Basis-Header sind z. B. Strict-Transport-Security, Content-Security-Policy und X-Content-Type-Options.

Richtig konfiguriert erhöhen sie die Robustheit gegenüber häufigen Angriffsvektoren.

So gehst du bei einem Warnhinweis pragmatisch vor

Zertifikatstatus prüfen
Weiterleitungen auf HTTPS testen
Browser-Konsole auf Mixed Content kontrollieren
Domain- und Zertifikatsabdeckung verifizieren
Plugins/Skripte und Sicherheitsheader prüfen

Diese Reihenfolge behebt in der Praxis den Grossteil aller „Nicht sicher“-Meldungen.

Dokumentiere die Ergebnisse kurz mit Datum und Massnahme. So erkennst du bei späteren Änderungen sofort, wann ein Problem zurückgekommen ist und was bereits funktioniert hat.

Fazit

„Website nicht sicher“ ist ernst, aber meist gut lösbar. Die häufigsten Ursachen sind technisch klar eingrenzbar und brauchen keine komplette Neuerstellung.

Wenn die Sicherheitsbasis sauber steht, steigt nicht nur Vertrauen bei Besuchern, sondern auch Stabilität für SEO und Betrieb.