„Nicht sicher“ trotz SSL: Mixed Content beheben

Sie haben ein SSL-Zertifikat, der Hoster bestätigt, dass es aktiv ist – und trotzdem warnt der Browser. Oder das Schloss-Symbol fehlt einfach, ohne dass eine Fehlerseite erscheint. Für Besucher wirkt das unseriös, vor allem auf Seiten mit Kontaktformular oder Shop.

Wichtig ist die Abgrenzung: Hier geht es nicht um ein abgelaufenes oder fehlendes Zertifikat. Dann zeigt der Browser eine ganzseitige Warnung, bevor die Seite überhaupt lädt – das behandelt der Ratgeber SSL-Zertifikat abgelaufen. Bei Mixed Content lädt die Seite normal, ist aber nur teilweise verschlüsselt.

Schritt 1: Prüfen, ob es wirklich Mixed Content ist

Klicken Sie links neben der Adresse im Browser auf das Symbol (Schloss, Warnhinweis oder Regler-Symbol). Dort sehen Sie zwei Dinge:

• Ob die Verbindung sicher ist und ob das Zertifikat gültig ist. Unter den Zertifikatsdetails stehen Aussteller und Ablaufdatum.
• Ob Teile der Seite nicht sicher sind. Viele Browser weisen dort ausdrücklich darauf hin, dass die Seite unsichere Inhalte enthält.

Ist das Zertifikat gültig und die Warnung trotzdem da, ist Mixed Content der wahrscheinlichste Grund. Prüfen Sie mehrere Unterseiten – oft betrifft das Problem nur einzelne Seiten mit bestimmten Bildern oder Einbindungen.

Schritt 2: Die betroffenen Dateien finden

Am schnellsten finden Sie die Ursache über die Entwicklertools Ihres Browsers:

1. Öffnen Sie die betroffene Seite und drücken Sie F12 (oder Rechtsklick → Untersuchen).
2. Wechseln Sie zum Reiter Konsole.
3. Laden Sie die Seite neu.

Der Browser listet dort Meldungen mit dem Stichwort „Mixed Content“ auf, jeweils mit der vollständigen http-Adresse der Datei. Typische Kandidaten:

• Bilder, die im Text mit alter Adresse eingefügt wurden
• Skripte, etwa von älteren Plugins oder fest eingebundenen Diensten
• Schriften und Stylesheets, die im Theme oder in eigenem CSS mit http verlinkt sind
• iframes und Einbettungen, zum Beispiel Karten, Videos oder Buchungs-Widgets

Moderne Browser blockieren unsichere Skripte und eingebettete Inhalte häufig ganz. Dann fehlt auf der Seite etwas – ein Slider, eine Schrift, eine Karte –, ohne dass Sie sofort an Mixed Content denken. Die Konsole zeigt auch diese blockierten Aufrufe an.

Notieren Sie, ob die http-Adressen auf Ihre eigene Domain zeigen oder auf fremde Dienste. Das entscheidet, wo Sie ansetzen.

Schritt 3: WordPress-Adressen auf https umstellen

Unter Einstellungen → Allgemein stehen zwei Felder: WordPress-Adresse (URL) und Website-Adresse (URL). Beide müssen mit https:// beginnen und genau so geschrieben sein, wie die Seite erreichbar ist – mit oder ohne www.

Sind die Felder ausgegraut, sind die Adressen in der wp-config.php fest eingetragen (WP_HOME und WP_SITEURL). Dann ändern Sie sie dort.

Vorsicht: Ein Tippfehler an dieser Stelle kann Sie aus dem Backend aussperren oder eine Umleitungsschleife erzeugen. Was dann zu tun ist, steht im Ratgeber ERR_TOO_MANY_REDIRECTS.

Schritt 4: Alte http-Adressen in der Datenbank ersetzen

Die Umstellung der Adressen ändert nichts an Inhalten, die schon gespeichert sind. Jedes Bild, das vor der Umstellung eingefügt wurde, steht weiterhin mit http:// in der Datenbank.

Zuerst sichern. Erstellen Sie eine vollständige Sicherung der Datenbank, zum Beispiel über Ihr Backup-Plugin oder beim Hoster. Ohne Sicherung lässt sich ein Fehler hier nicht rückgängig machen.

Dann ersetzen – mit dem richtigen Werkzeug. WordPress speichert viele Einstellungen serialisiert. Eine einfache Textersetzung per SQL kann diese Daten beschädigen. Geeignete Werkzeuge berücksichtigen das:

• Better Search Replace (Plugin): Suchen nach http://www.ihre-domain.de, ersetzen durch https://www.ihre-domain.de, alle Tabellen auswählen und zuerst den Testlauf starten. Erst wenn die Zahl der Treffer plausibel ist, den echten Durchlauf ausführen.
• WP-CLI (für Hoster mit SSH-Zugang): zuerst mit --dry-run prüfen, dann ohne.

wp search-replace 'http://www.ihre-domain.de' 'https://www.ihre-domain.de' --dry-run

Ersetzen Sie gezielt Ihre eigene Domain, nicht pauschal jedes http:// – sonst verändern Sie auch Links auf fremde Seiten, die gar kein https anbieten. Gibt es Ihre Seite in mehreren Schreibweisen (mit und ohne www), wiederholen Sie den Vorgang für jede.

Schritt 5: Theme, Page-Builder, Widgets und CSS prüfen

Nicht alles liegt in den Beiträgen. Weitere typische Fundstellen:

• Theme-Einstellungen: Logo, Favicon, Hintergrundbilder und Schriften werden oft mit fester Adresse gespeichert. Prüfen Sie den Customizer und die Optionsseite Ihres Themes.
• Page-Builder: Viele Builder speichern Adressen in eigenen Datenstrukturen und erzeugen CSS-Dateien. Elementor bietet unter Werkzeuge eine Funktion zum Ersetzen von URLs und zum Neuerzeugen der CSS-Dateien. Andere Builder haben ähnliche Optionen.
• Widgets und eigene HTML-Blöcke: Hier stehen häufig fest eingetragene Bild- oder Skript-Adressen.
• Eigenes CSS und Child-Theme: url(http://…) in Stylesheets für Hintergrundbilder oder Schriften.
• Cache: Leeren Sie nach jeder Änderung den Cache Ihres Cache-Plugins, des Hosters und gegebenenfalls eines CDN. Sonst sehen Sie weiterhin die alte Fassung.

Schritt 6: Externe Einbindungen anpassen

Zeigt die Konsole http-Adressen fremder Dienste, rufen Sie diese probeweise mit https auf. Funktioniert das, tauschen Sie die Adresse im Einbettungscode aus. Die meisten großen Anbieter liefern ihre Inhalte längst verschlüsselt.

Bietet ein Dienst kein https an, sollten Sie ihn nicht weiter einbinden. Ersetzen Sie ihn durch eine Alternative oder legen Sie die Datei, sofern zulässig, auf Ihrem eigenen Server ab.

Schritt 7: Weiterleitung auf https und HSTS

Ist die Seite frei von Mixed Content, sorgen Sie dafür, dass jeder Aufruf über http dauerhaft (Statuscode 301) auf die https-Adresse weitergeleitet wird. Viele Hoster bieten dafür einen Schalter in der Verwaltung an; alternativ geschieht das über die .htaccess. Richten Sie die Weiterleitung nur an einer Stelle ein – doppelte Regeln in Hoster, .htaccess und Plugin sind eine häufige Ursache für Umleitungsschleifen.

HSTS (der Header Strict-Transport-Security) weist Browser an, Ihre Seite für eine festgelegte Zeit nur noch über https aufzurufen. Das ist sinnvoll, aber erst der letzte Schritt: Browser merken sich die Vorgabe, und sie lässt sich nicht kurzfristig zurücknehmen. Aktivieren Sie HSTS erst, wenn alle Seiten und Subdomains dauerhaft fehlerfrei verschlüsselt laufen, und beginnen Sie mit einer kurzen Laufzeit.

Umsetzungsplan

Sofort

1. Über das Symbol links neben der Adresse prüfen, ob das Zertifikat gültig ist.
2. Entwicklertools öffnen (F12), Reiter Konsole, Seite neu laden und alle „Mixed Content“-Meldungen notieren.
3. Datenbank und Dateien vollständig sichern.

Danach

4. Unter Einstellungen → Allgemein beide Adressen auf https stellen.
5. Mit Better Search Replace oder WP-CLI die eigene Domain von http auf https ersetzen – zuerst als Testlauf.
6. Theme-Einstellungen, Page-Builder, Widgets und eigenes CSS auf fest eingetragene http-Adressen prüfen.
7. Externe Einbindungen auf https umstellen oder ersetzen.
8. Alle Caches leeren und mehrere Unterseiten erneut in der Konsole prüfen.
9. Eine einzige, dauerhafte Weiterleitung von http auf https einrichten.

Vorbeugen

10. Bilder und Einbettungen nur noch mit https-Adressen einfügen.
11. Nach Theme- oder Plugin-Wechseln die Konsole kurz auf neue Warnungen prüfen.
12. HSTS erst aktivieren, wenn alles dauerhaft fehlerfrei läuft, und mit kurzer Laufzeit beginnen.
13. Updates und Kontrollen regelmäßig erledigen oder die Website-Pflege abgeben.

Wir bringen das Schloss zurück

Sie finden die Ursache nicht, die Datenbankersetzung ist Ihnen zu riskant, oder nach der Umstellung funktioniert das Backend nicht mehr? Wir suchen die unsicheren Inhalte, stellen die Seite sauber auf https um und prüfen das Ergebnis.

Die WordPress-Notfall-Diagnose kostet 99 €. Oder rufen Sie direkt an: 0 33 41 - 35 66 146.

Häufige Fragen

Was ist Mixed Content?

Mixed Content bedeutet, dass eine Seite selbst über https geladen wird, aber einzelne Bestandteile – Bilder, Skripte, Schriften, Stylesheets oder eingebettete Inhalte – noch über das unverschlüsselte http nachgeladen werden. Die Seite ist dann nur teilweise verschlüsselt, und der Browser zeigt das entsprechend an.

Mein SSL-Zertifikat ist gültig. Warum erscheint trotzdem „Nicht sicher“?

Weil das Zertifikat nur die Verbindung zu Ihrer Seite absichert. Lädt die Seite zusätzlich Inhalte über http, ist sie nicht vollständig geschützt. Ob das Zertifikat selbst in Ordnung ist, sehen Sie über das Symbol links neben der Adresse. Ist es abgelaufen, liegt ein anderes Problem vor.

Ist Mixed Content gefährlich?

Unverschlüsselt nachgeladene Inhalte können unterwegs mitgelesen oder verändert werden. Besonders kritisch sind Skripte und eingebettete Inhalte, weil sie die ganze Seite beeinflussen können. Moderne Browser blockieren solche Inhalte deshalb oft – dann fehlen auf Ihrer Seite plötzlich Funktionen, Schriften oder Bilder.

Kann ich in der Datenbank einfach http durch https ersetzen?

Ja, aber nicht mit einem einfachen Befehl direkt in phpMyAdmin. WordPress speichert viele Einstellungen in serialisierter Form, die bei einer reinen Textersetzung beschädigt werden kann. Nutzen Sie ein Werkzeug wie Better Search Replace oder WP-CLI, die das berücksichtigen – und sichern Sie die Datenbank vorher.

Sollte ich HSTS aktivieren?

Erst, wenn die ganze Seite einschließlich aller Subdomains dauerhaft und fehlerfrei über https läuft. HSTS weist Browser an, die Seite für eine festgelegte Zeit nur noch verschlüsselt aufzurufen. Das lässt sich nicht kurzfristig zurücknehmen und kann bei Fehlern Besucher aussperren.