SSL-Zertifikat abgelaufen: „Nicht sicher“ – was jetzt zu tun ist

Wenn das SSL-Zertifikat abgelaufen ist, sehen Besucher keine Website mehr, sondern eine ganzseitige Warnung: „Ihre Verbindung ist nicht privat“ oder schlicht „Nicht sicher“. Die meisten klicken an dieser Stelle weg, statt sich durch die Meldung zu klicken – in einem Shop bedeutet das ausbleibende Bestellungen, und der Vertrauensvorschuss, den eine Seite über Jahre aufbaut, ist mit einem Klick dahin. Ich erkläre, was hinter der Warnung steckt, warum Zertifikate ablaufen und wie Sie die Seite schnell wieder auf HTTPS bekommen.

Was die Warnung bedeutet

Die Meldung heißt nicht, dass Ihre Seite gehackt wurde. Sie heißt: Der Browser kann gerade nicht bestätigen, dass die Verbindung verschlüsselt und die Seite echt ist. Genau das leistet ein gültiges SSL-Zertifikat. Ist es abgelaufen, blockt der Browser vorsorglich und stellt sich vor die eigentliche Seite.

Je nach Browser klingt das unterschiedlich, meint aber dasselbe:

• Chrome: „Ihre Verbindung ist nicht privat“ (oft mit dem Code NET::ERR_CERT_DATE_INVALID).
• Firefox: „Warnung: Mögliches Sicherheitsrisiko erkannt“.
• Edge / Safari: „Nicht sicher“ bzw. ein durchgestrichenes Schloss in der Adressleiste.

Für Besucher ist der Unterschied zwischen „abgelaufen“ und „gefährlich“ nicht erkennbar – die Warnung wirkt in jedem Fall abschreckend.

Warum Zertifikate ablaufen

Zertifikate haben bewusst ein Ablaufdatum, das ist normal und kein Fehler. Kritisch wird es nur, wenn die Erneuerung nicht rechtzeitig greift:

• Let’s Encrypt – die heute verbreiteten kostenlosen Zertifikate laufen alle 90 Tage ab und sollen sich automatisch erneuern. Diese automatische Erneuerung scheitert aber gelegentlich: nach einem Server- oder Anbieterwechsel, wenn ein Cronjob nicht mehr läuft, oder wenn sich an DNS oder Verzeichnisstruktur etwas geändert hat.
• Bezahlte Zertifikate laufen meist jährlich aus. Hier wird oft die Erinnerungsmail übersehen oder die Verlängerung nicht bezahlt – und am Stichtag steht die Warnung.
• Umzug oder Domainwechsel – das neue Ziel hat noch kein passendes Zertifikat, während die Domain schon dorthin zeigt.

Sofort prüfen

Bevor Sie etwas ändern, hilft ein kurzer Blick, um die Ursache einzugrenzen:

• Fehlertext lesen: Ein Datum im Code (ERR_CERT_DATE_INVALID) deutet klar auf ein abgelaufenes Zertifikat hin, nicht auf einen tieferen Defekt.
• Gültigkeit ansehen: Ein Klick auf das Schloss- bzw. Warnsymbol zeigt das Zertifikat mit „Gültig bis“. Liegt das Datum in der Vergangenheit, ist die Sache klar.
• HTTP gegen HTTPS: Lädt die Seite über http:// normal, aber „https funktioniert nicht“, fehlt nur das gültige Zertifikat samt Weiterleitung – die Seite selbst ist in Ordnung.
• Umfang prüfen: Betrifft es alle Adressen oder nur eine Subdomain? Das entscheidet, ob ein einzelnes oder ein Wildcard-Zertifikat fehlt.

Wenn dagegen gar nichts mehr lädt, steckt womöglich ein anderes Problem dahinter – dazu mein Beitrag Website nicht erreichbar.

Selbst erneuern oder machen lassen

Wer Zugang zum Hosting hat, kann es oft selbst lösen. Bei Let’s Encrypt genügt meist, die Erneuerung im Hosting-Panel neu anzustoßen oder das Zertifikat neu auszustellen; bei einem bezahlten Zertifikat wird verlängert und neu installiert. Manchmal muss man das alte, abgelaufene Zertifikat zuerst entfernen, bevor das neue sauber greift.

Zwei Punkte werden dabei gern übersehen:

• Die HTTPS-Weiterleitung muss stimmen, damit alte http://-Links und Suchtreffer nicht ins Leere laufen.
• Die automatische Erneuerung sollte danach wieder zuverlässig laufen, sonst steht in 90 Tagen dieselbe Warnung erneut da.

Wenn die Erneuerung immer wieder scheitert, Sie keinen Zugang haben oder es einfach schnell erledigt sein soll, übernehme ich das – auch bei Seiten, die nicht von mir stammen. Wie das je Anbieter aussieht, steht in meiner Übersicht zum SSL-Zertifikat.

Wenn es schnell gehen soll

Ein abgelaufenes Zertifikat ist genau die Art Problem, die sich sauber lösen lässt, sobald man an der richtigen Stelle ansetzt. Sagen Sie mir Ihre Domain und bei wem die Seite liegt, dann aktiviere ich das Zertifikat samt HTTPS-Weiterleitung und sorge dafür, dass die Erneuerung künftig automatisch läuft. Das geht als Hosting-Quickfix zum Festpreis.

Fazit

Die Warnung „Nicht sicher“ bedeutet meist nur eines: Das SSL-Zertifikat ist abgelaufen und die automatische Erneuerung hat nicht gegriffen. Das lässt sich zuverlässig beheben – wichtig ist, danach auch die Weiterleitung und die automatische Verlängerung in Ordnung zu bringen, damit es nicht in drei Monaten wiederkommt.

Mehr dazu in meinen Hosting-Wissen-Übersichten und rund ums Hosting. Wer solche Dinge dauerhaft im Hintergrund erledigt haben möchte, findet das in der Website-Pflege. Wenn bei Ihrer Seite „Nicht sicher“ steht: Schicken Sie mir die Adresse über mein Kontaktformular – ich schaue es mir an.