Im Oktober schaltet Google in Chrome eine Einstellung namens «Sichere Verbindungen immer verwenden» standardmässig ein. Der Browser fragt dann nach, bevor er eine Seite über eine unverschlüsselte Verbindung öffnet — mit einer Zwischenseite, die der Besucher erst wegklicken muss.
Die naheliegende Reaktion darauf lautet: betrifft uns nicht, wir haben ein Zertifikat. Das stimmt vermutlich. Und reicht trotzdem möglicherweise nicht.
Der Fall, den die meisten übersehen
Chrome versucht von sich aus zuerst die verschlüsselte Verbindung. Klappt das, passiert nichts, und niemand sieht eine Warnung. So weit die gute Nachricht.
Die Warnung erscheint dann, wenn auf dem Weg zu Ihrer Seite ein Schritt liegt, der kein HTTPS kann. Und genau dafür hat Google in seiner Anleitung für Website-Betreiber einen eigenen Abschnitt vorgesehen, überschrieben mit der Frage: «Warum bekomme ich eine Warnung, obwohl ich am Ende auf einer HTTPS-Seite lande?»
Die Antwort dort, sinngemäss: Wenn auf dem Weg irgendein Weiterleitungsschritt kein HTTPS unterstützt, zeigt Chrome die Warnung. Nach dem Wegklicken geht es normal weiter zur verschlüsselten Seite. Dieser kurze Moment auf einer unverschlüsselten Verbindung ist das Risiko, um das es geht.
Google nennt dazu ein Beispiel, das in Schweizer Kleinbetrieben erstaunlich oft zutrifft. Ihre Seite läuft auf der Adresse mit www und hat ein gültiges Zertifikat. Die Adresse ohne www leitet auf die mit www weiter — aber unverschlüsselt, weil für die Variante ohne www nie jemand ein Zertifikat eingerichtet hat. Wer Ihre Domain ohne www in die Adresszeile tippt, bekommt ab Oktober die Warnung. Obwohl Ihre Website einwandfrei verschlüsselt ist.
Wo so etwas herkommt
In der Praxis sind es fast immer dieselben Stellen.
Die alte Domain. Der Betrieb hiess früher anders oder hatte eine zweite Adresse, und die zeigt beim Registrar per Weiterleitung auf die heutige. Solche Weiterleitungsdienste laufen oft unverschlüsselt. Google weist in seiner Anleitung ausdrücklich darauf hin, dass man beim Anbieter nachfragen muss, ob er HTTPS unterstützt.
Die Domain ohne www, wenn das Zertifikat nur für die Variante mit www ausgestellt wurde — oder umgekehrt.
Nebeneingänge, die nie jemand angefasst hat: eine Subdomain für den alten Webmail-Zugang, ein Shop unter einer eigenen Adresse, eine Landingpage von einer Kampagne vor drei Jahren.
Und die Wege dorthin: der QR-Code auf dem Flyer, der noch mit http beginnt. Der Link in der Mail-Signatur. Der Eintrag im Google-Unternehmensprofil. Jede dieser Adressen ist ein Eingang, und jeder Eingang muss verschlüsselt sein — nicht nur das Ziel.
Was Sie heute schon sehen können
Sie müssen nicht bis Oktober warten. Die Einstellung existiert bereits, sie ist nur noch nicht vorgegeben.
Öffnen Sie in Chrome die Sicherheitseinstellungen und schalten Sie «Sichere Verbindungen immer verwenden» ein. Genau das empfiehlt Google selbst als Testverfahren für Website-Betreiber. Arbeiten Sie danach normal weiter und rufen Sie dabei bewusst Ihre eigenen Adressen auf — mit und ohne www, die alte Domain, die Subdomains, den Link aus der Signatur, den QR-Code vom Flyer.
Überall, wo jetzt die Zwischenseite erscheint, wird sie im Oktober bei jedem Besucher erscheinen, der Sie zum ersten Mal aufruft.
Was dann zu tun ist
Für jede gefundene Stelle gilt dasselbe: Die betreffende Adresse muss selbst über HTTPS erreichbar sein, bevor sie weiterleitet. Nicht erst das Ziel.
Bei einer Domain, die auf dem eigenen Webserver liegt, heisst das: Zertifikat auch für diese Variante ausstellen und die Weiterleitung auf die verschlüsselte Fassung zeigen lassen. Das ist heute in aller Regel kostenlos und in wenigen Minuten erledigt.
Bei einer Domain, die beim Registrar per Weiterleitung parkt, heisst es: beim Anbieter nachfragen, ob seine Weiterleitung HTTPS kann. Manche können es, manche nicht. Wenn nicht, ist die Lösung, die Domain auf den eigenen Server zu holen und die Weiterleitung dort einzurichten.
Und die gedruckten und verlinkten Adressen: Wo noch http steht, gehört https hin. Das betrifft Flyer, Visitenkarten, Signaturen, Verzeichniseinträge und Fahrzeugbeschriftungen.
Zwei Dinge, die entwarnen
Ihr internes Netz ist nicht betroffen. Adressen im lokalen Netz, einteilige Rechnernamen und lokale IP-Adressen lösen keine Warnung aus. Der Drucker unter seiner Nummer im Hausnetz, das NAS, der Server mit einem Namen ohne Punkt — alles unverändert.
Und die Warnung kommt nicht bei jedem Aufruf. Google beschreibt, dass Chrome nur beim Besuch einer neuen oder länger nicht besuchten Seite warnt, nicht bei jeder Navigation. Für Ihre Stammkundschaft, die ohnehin regelmässig vorbeikommt, ändert sich also wenig. Es trifft die, die zum ersten Mal kommen — und das sind genau die, die Sie gerade gewinnen wollen.
Zeitplan
Die Umstellung kommt mit Chrome 154 im Oktober 2026. Für einen Teil der Nutzerschaft läuft sie schon seit April dieses Jahres, nämlich für alle mit erweitertem Safe Browsing. Es ist also gut möglich, dass einzelne Besucher die Warnung bei Ihnen bereits sehen.
Wir prüfen die Weiterleitungsketten bei unseren Kunden ohnehin mit. Wenn Sie nicht sicher sind, welche Adressen auf Ihre Seite zeigen und ob alle davon verschlüsselt sind: Melden Sie sich, das ist eine Sache von Minuten.