SSL-Zertifikat abgelaufen: Website unsicher – was tun?

Gestern lief alles, heute ruft ein Kunde an: Ihre Website sei „gefährlich”, der Browser lasse ihn nicht drauf. Statt Ihrer Startseite sieht er eine rote oder graue Warnseite. Oder etwas subtiler: Die Seite lädt, aber neben der Adresse steht „Nicht sicher”.

Beides kostet Vertrauen und Anfragen, denn kaum jemand klickt sich durch eine Sicherheitswarnung. Die gute Nachricht: Die Ursache ist fast immer technisch eindeutig und lässt sich eingrenzen.

Schritt 1: Die genaue Meldung lesen

Die Fehlermeldung verrät schon, wo das Problem liegt. Klicken Sie auf der Warnseite auf Erweitert bzw. Details, dort steht ein Fehlercode:

• NET::ERR_CERT_DATE_INVALID (Chrome, Edge) oder SEC_ERROR_EXPIRED_CERTIFICATE (Firefox): Das Zertifikat ist abgelaufen oder noch nicht gültig.
• NET::ERR_CERT_COMMON_NAME_INVALID (Chrome, Edge) oder SSL_ERROR_BAD_CERT_DOMAIN (Firefox): Das Zertifikat gilt für eine andere Adresse – oft gilt es nur für www.ihre-domain.de, aufgerufen wurde aber ihre-domain.de oder umgekehrt.
• „Diese Website kann keine sichere Verbindung bereitstellen” (z. B. mit ERR_SSL_PROTOCOL_ERROR): Die verschlüsselte Verbindung kommt gar nicht zustande. Meist ist für die Domain kein Zertifikat eingerichtet oder der Server ist auf dem HTTPS-Port falsch konfiguriert.
• Seite lädt, aber „Nicht sicher” oder kein geschlossenes Schloss: Das Zertifikat ist in Ordnung, aber die Seite lädt Inhalte über HTTP nach. Das ist Mixed Content – siehe Schritt 5.

Schritt 2: Liegt es an Ihrer Seite oder am Gerät?

Bevor Sie am Server suchen: Prüfen Sie die Seite auf einem zweiten Gerät, am besten mit mobilen Daten statt WLAN. Tritt der Fehler nur bei einem einzelnen Besucher auf, liegt es oft an dessen Gerät – etwa an einer falsch gestellten Systemuhr. Dann hält der Browser auch ein gültiges Zertifikat für abgelaufen.

Einen neutralen Blick von außen liefert der kostenlose SSL Server Test von Qualys SSL Labs. Er zeigt Ablaufdatum, die abgedeckten Domainnamen und Konfigurationsfehler, etwa eine unvollständige Zertifikatskette.

Das Ablaufdatum sehen Sie auch direkt im Browser: Klicken Sie links neben der Adresse auf das Symbol, dann auf die Verbindungs- bzw. Zertifikatsdetails. Dort steht „Gültig bis”.

Schritt 3: Das Zertifikat erneuern

Bei den meisten Webhostern ist ein kostenloses Zertifikat von Let’s Encrypt im Tarif enthalten und wird automatisch verlängert. Ist es trotzdem abgelaufen, hat die automatische Verlängerung nicht geklappt.

1. Öffnen Sie im Kundenbereich Ihres Hosters die Domain- oder SSL-Verwaltung.
2. Prüfen Sie, ob für beide Varianten der Domain – mit und ohne www – ein Zertifikat aktiv ist.
3. Stoßen Sie die Ausstellung bzw. Erneuerung manuell an. Bei vielen Oberflächen genügt es, die SSL-Option aus- und wieder einzuschalten.
4. Warten Sie einige Minuten und prüfen Sie erneut, am besten in einem privaten Browserfenster.

Haben Sie ein gekauftes Zertifikat, das manuell verlängert werden muss, ist der Ablauf anders: neues Zertifikat beim Anbieter ausstellen lassen und im Hosting hinterlegen, inklusive der Zwischenzertifikate.

Schritt 4: Herausfinden, warum die Verlängerung gescheitert ist

Ohne diesen Schritt stehen Sie in drei Monaten wieder an derselben Stelle. Let’s Encrypt prüft vor jeder Ausstellung, ob die Domain wirklich auf den Server zeigt, der das Zertifikat anfordert. Das scheitert typischerweise an:

• Geänderten DNS-Einträgen. Die Domain zeigt auf einen neuen Server oder Dienst, das Zertifikat wird aber noch beim alten Hoster verwaltet. Häufig nach einem Umzug oder wenn die Domain bei einem anderen Anbieter liegt als das Hosting.
• Einem vorgeschalteten Dienst. Läuft die Domain über ein CDN oder einen Proxy, kann dieser die Prüfanfrage abfangen. Dann muss das Zertifikat dort verwaltet oder die Prüfung durchgelassen werden.
• Blockierten Prüfanfragen. Eine Regel in der .htaccess, ein Sicherheits-Plugin oder ein Passwortschutz sperrt den Pfad /.well-known/acme-challenge/.
• Einem CAA-Eintrag im DNS, der nur bestimmte Zertifizierungsstellen erlaubt, aber nicht die Ihres Hosters.

Die Fehlermeldung der fehlgeschlagenen Erneuerung steht meist in der SSL-Verwaltung oder in einer E-Mail des Hosters. Eine Prüfung der DNS-Einträge zeigt, wohin die Domain tatsächlich zeigt.

Schritt 5: Mixed Content beseitigen

Ist das Zertifikat gültig, das Schloss aber trotzdem nicht geschlossen, lädt die Seite Inhalte über HTTP nach. Finden lassen sich diese über die Entwicklertools: F12 drücken, Reiter Konsole, Seite neu laden. Jede unsichere Einbindung erscheint dort als „Mixed Content”-Warnung mit der vollständigen Adresse.

In WordPress gehen Sie so vor:

1. Unter Einstellungen → Allgemein müssen WordPress-Adresse und Website-Adresse mit https:// beginnen. Sind die Felder ausgegraut, stehen die Werte in der wp-config.php.
2. Alte http://-Adressen in Beiträgen und Einstellungen ersetzen – mit einem Suchen-und-Ersetzen-Plugin wie Better Search Replace oder per WP-CLI. Erst einen Probelauf machen, dann ausführen:

wp search-replace 'http://ihre-domain.de' 'https://ihre-domain.de' --dry-run

3. Bei Elementor zusätzlich unter Elementor → Werkzeuge → URLs ersetzen die alte durch die neue Adresse ersetzen – Elementor speichert Daten in einem Format, das einfache Ersetzungen teils nicht erfassen.
4. Fest eingetragene Adressen im Theme, in Widgets oder in eingebundenen Tracking-Codes von Hand anpassen.

Vorher eine Sicherung der Datenbank anlegen – ein falsches Ersetzen lässt sich sonst nicht mehr rückgängig machen.

Schritt 6: Alle Wege auf HTTPS lenken

Zum Schluss sollte jede Variante Ihrer Adresse – http, https, mit und ohne www – per dauerhafter Weiterleitung (301) auf genau eine HTTPS-Adresse führen. Viele Hoster bieten dafür einen Schalter in der Domainverwaltung, ansonsten erledigt das ein Eintrag in der .htaccess.

Vorsicht mit HSTS: Diese Einstellung zwingt Browser dauerhaft auf HTTPS. Das ist sinnvoll, aber erst, wenn die Verlängerung zuverlässig läuft. Läuft das Zertifikat bei aktivem HSTS ab, gibt es für Besucher keinen Weg mehr an der Warnung vorbei.

Warum das Thema dringlicher wird

Die maximale Laufzeit öffentlicher SSL-Zertifikate wird schrittweise verkürzt. Seit dem 15. März 2026 sind höchstens 200 Tage erlaubt, ab März 2027 noch 100 Tage, und bis 2029 sinkt die Grenze auf 47 Tage. Gekaufte Zertifikate von Hand einmal im Jahr zu tauschen, funktioniert damit nicht mehr. Wer heute noch manuell verlängert, sollte auf eine automatische Erneuerung umstellen.

Umsetzungsplan

Sofort

1. Genaue Fehlermeldung und Fehlercode auf der Warnseite notieren.
2. Auf einem zweiten Gerät und mit dem SSL-Labs-Test prüfen, ob der Fehler überall auftritt.
3. Im Kundenbereich des Hosters das Zertifikat für die Domain mit und ohne www neu ausstellen lassen.

Danach

4. Ursache der gescheiterten Verlängerung klären: DNS-Einträge, vorgeschaltete Dienste, Sperren auf /.well-known/acme-challenge/, CAA-Einträge.
5. Mixed Content über die Browser-Konsole aufspüren und in WordPress, Theme und Page-Builder auf HTTPS umstellen.
6. Alle Adressvarianten per 301-Weiterleitung auf eine HTTPS-Adresse lenken.

Vorbeugen

7. Automatische Verlängerung nutzen statt manuell gekaufter Jahreszertifikate.
8. Ablaufdatum überwachen lassen, damit eine gescheiterte Erneuerung auffällt, bevor Besucher sie sehen.
9. Bei jedem Umzug von Domain oder Hosting die Zertifikatsverwaltung als festen Punkt einplanen.
10. Die Administratoradresse beim Hoster aktuell halten – dorthin gehen Warnmails zu auslaufenden Zertifikaten.

Wenn Sie nicht weiterkommen

Verteilen sich Domain, DNS, CDN und Hosting auf mehrere Anbieter, ist oft nicht klar, wer das Zertifikat eigentlich verwaltet. Dann schieben sich die Beteiligten die Zuständigkeit gegenseitig zu, während die Website weiter als unsicher markiert ist. Läuft Ihre Seite nicht auf WordPress, hilft Website-Fehler beheben weiter. Wer sich um Zertifikate, Weiterleitungen und Verlängerung gar nicht mehr kümmern will, ist mit unserem Managed Hosting gut aufgehoben.

Die WordPress-Notfall-Diagnose kostet 99 € – mit Sicherung, Auslesen der Fehlerprotokolle und einem Festpreis-Angebot für die Reparatur; bei Beauftragung wird der Betrag angerechnet. Oder rufen Sie direkt an: 0 33 41 - 35 66 146.

Häufige Fragen

Was passiert, wenn das SSL-Zertifikat abgelaufen ist?

Browser zeigen statt Ihrer Website eine ganzseitige Warnung, in Chrome etwa „Ihre Verbindung ist nicht privat" mit dem Code NET::ERR_CERT_DATE_INVALID, in Firefox „Warnung: Mögliches Sicherheitsrisiko erkannt". Die Website ist technisch noch da, aber die meisten Besucher brechen an dieser Stelle ab. Formulare, Shop und Login sind für sie praktisch nicht erreichbar, bis ein gültiges Zertifikat installiert ist.

Was bedeutet „Diese Website kann keine sichere Verbindung bereitstellen"?

Diese Meldung ist kein klassischer Ablauf-Fehler. Sie erscheint, wenn die verschlüsselte Verbindung gar nicht erst zustande kommt – etwa weil für die Domain kein Zertifikat eingerichtet ist, der Server auf dem HTTPS-Port falsch konfiguriert ist oder Browser und Server sich auf kein gemeinsames Verschlüsselungsverfahren einigen können. Häufig tritt sie nach einem Umzug der Domain oder einer Änderung der DNS-Einträge auf.

Warum hat sich mein kostenloses Let's-Encrypt-Zertifikat nicht verlängert?

Let's-Encrypt-Zertifikate werden automatisch erneuert, aber nur, wenn die Prüfung der Domain gelingt. Sie scheitert typischerweise, wenn die Domain inzwischen auf einen anderen Server zeigt, ein vorgeschalteter Dienst wie ein CDN die Prüfanfrage abfängt, eine Weiterleitung oder Sperre den Ordner .well-known/acme-challenge blockiert oder ein CAA-Eintrag im DNS die Zertifizierungsstelle nicht erlaubt.

Was ist Mixed Content?

Mixed Content bedeutet, dass eine per HTTPS geladene Seite einzelne Bestandteile – Bilder, Skripte, Schriften, Formulare – noch über unverschlüsseltes HTTP nachlädt. Browser blockieren unsichere Skripte und zeigen statt eines geschlossenen Schlosses einen Hinweis an. In WordPress liegt das meist an alten http-Adressen in der Datenbank, im Theme oder in Page-Builder-Daten.

Brauche ich ein kostenpflichtiges SSL-Zertifikat?

Für die Verschlüsselung nicht. Ein kostenloses Let's-Encrypt-Zertifikat verschlüsselt die Verbindung genauso wie ein gekauftes Zertifikat mit Domain-Validierung. Kostenpflichtige Zertifikate mit Organisations- oder erweiterter Validierung prüfen zusätzlich das Unternehmen, was für die meisten Firmenwebsites nicht nötig ist. Wichtiger als der Preis ist, dass die Verlängerung zuverlässig automatisch läuft.