HTTPS und www, kleine Technikfragen einfach erklärt

Ein Kunde ruft an und sagt, der Browser habe gewarnt, deine Seite sei nicht sicher. Du schaust nach, bei dir sieht alles normal aus. Jetzt weißt du weder, ob etwas kaputt ist, noch wen du fragen sollst.

Solche Momente sind unangenehm, weil das Thema technisch klingt und man sich schnell ausgeliefert fühlt. Dabei reicht ein überschaubares Grundverständnis, um die Lage einzuschätzen und die richtige Frage zu stellen.

Wir schauen uns an, was in der Adresszeile steht, was das Schloss bedeutet, woher das Zertifikat kommt und warum es nur eine gültige Schreibweise deiner Adresse geben sollte.

HTTPS und www, was in der Adresszeile eigentlich steht

Eine Webadresse besteht aus mehreren Teilen, die unterschiedliche Aufgaben haben.

• https ist das Übertragungsverfahren. Das „s“ steht für gesichert. Die Verbindung zwischen dem Gerät des Besuchers und deinem Server ist verschlüsselt.
• www ist ein Unterbereich deiner Domain, technisch nichts anderes als „shop“ oder „mail“. Es ist keine Pflicht und kein Qualitätsmerkmal, nur eine Gewohnheit aus den Anfangsjahren.
• deinbetrieb.de ist deine eigentliche Domain, der Teil, den du gemietet hast.
• Alles nach dem nächsten Schrägstrich ist der Pfad zur einzelnen Seite.

Browser blenden heute Teile davon aus. Das ändert nichts daran, dass sie technisch da sind und dass Suchmaschinen sie unterscheiden.

Das Schloss und was es bedeutet

Das Schloss sagt: Was zwischen Besucher und Server hin und her geht, kann unterwegs niemand mitlesen. Das ist besonders wichtig, sobald jemand ein Formular ausfüllt, sich anmeldet oder etwas bestellt.

Genauso wichtig ist, was das Schloss nicht bedeutet. Es sagt nichts darüber aus, ob der Betrieb dahinter seriös ist, ob die Inhalte stimmen oder ob deine Daten hinterher gut behandelt werden. Betrügerische Seiten haben ebenfalls ein Schloss. Es ist eine Aussage über den Transportweg, nicht über den Absender.

Ohne Schloss wird es dagegen deutlich unangenehm: Browser zeigen Warnungen, und viele Besucher brechen ab, bevor sie überhaupt lesen, worum es geht. Für einen Betrieb ist eine Seite ohne HTTPS heute keine Option mehr.

Das Zertifikat, woher es kommt und wann es Ärger macht

Damit die Verschlüsselung funktioniert, braucht dein Server ein Zertifikat. Das ist eine Datei, die von einer anerkannten Stelle ausgestellt wird und bestätigt, dass dieser Server zu dieser Domain gehört.

Bei den meisten Hostern läuft das heute automatisch und ohne Zusatzkosten. Das Zertifikat wird ausgestellt, läuft nach einigen Wochen oder Monaten ab und wird rechtzeitig vorher automatisch erneuert. Solange die Automatik funktioniert, merkst du davon nichts.

Was passiert, wenn es abläuft

Dann zeigt der Browser eine ganzseitige Warnung, und die meisten Besucher gehen zurück. Das ist der Fall, in dem der Anruf kommt. Typische Ursachen:

• Die Domain wurde umgezogen, die Automatik läuft noch beim alten Anbieter.
• Es gibt einen zusätzlichen Namen, etwa eine zweite Domain, die auf dieselbe Seite zeigt und im Zertifikat fehlt.
• Der Hoster hat die automatische Erneuerung abgeschaltet, weil eine Rechnung offen war.

Ein Zertifikatsfehler nach einem Umzug ist so häufig, dass er in jede Umzugs-Checkliste gehört, siehe Domain auswählen, umziehen und dauerhaft sichern.

Mit oder ohne www, eine Variante muss gewinnen

Deine Seite ist technisch unter vier Schreibweisen erreichbar: mit und ohne www, jeweils mit http und https. Für Menschen ist das dieselbe Seite. Für Suchmaschinen sind es vier Adressen mit identischem Inhalt, und das ist unnötig.

Die saubere Lösung: Du legst eine Hauptvariante fest, und die anderen drei leiten dauerhaft dorthin weiter. Ob du dich für www entscheidest oder dagegen, ist Geschmackssache. Wichtig ist nur, dass die Entscheidung getroffen und überall gleich umgesetzt wird.

Überall heißt: in den Weiterleitungen, in der Sitemap, in internen Links, im Google Unternehmensprofil, auf Visitenkarten und in der Signatur. Ein Handwerksbetrieb aus dem Neckar-Odenwald-Kreis, der seine Adresse auf den Firmenwagen beschriften lässt, sollte genau diese Schreibweise auch online als Hauptvariante führen. Wer eine neue Seite freischaltet, prüft das am besten direkt mit, siehe Relaunch ohne Absturz bei Google, die Reihenfolge zählt.

Gemischte Inhalte, der häufigste Grund für ein halbes Schloss

Manchmal ist das Zertifikat in Ordnung, das Schloss fehlt trotzdem oder ist durchgestrichen. Meistens liegt es an gemischten Inhalten: Die Seite selbst wird gesichert geladen, aber ein einzelnes Element darin nicht. Klassiker sind ein altes Bild, ein eingebundenes Video oder eine Schrift von einer Adresse, die noch mit http beginnt.

Der Browser meldet das, weil eine Kette nur so stark ist wie ihr schwächstes Glied. Die Reparatur ist meist einfach: Man sucht die betreffende Adresse und stellt sie auf https um, oder man lädt die Datei auf den eigenen Server. Das passiert häufig nach einer Umstellung, wenn alte Inhalte aus einem früheren System übernommen wurden.

Der Fünf-Minuten-Test

1. Ruf deine Seite einmal mit www und einmal ohne www auf. Landest du beide Male an derselben Adresse?
2. Tipp deine Adresse bewusst mit http:// davor. Springt der Browser auf https um?
3. Klick auf das Schloss und schau, bis wann das Zertifikat gültig ist.
4. Öffne zwei bis drei Unterseiten, nicht nur die Startseite. Ist das Schloss überall da?
5. Mach denselben Test am Handy im Mobilfunknetz, dort fallen andere Fehler auf als im Büro.

Wenn alle fünf Punkte passen, ist dieses Thema für dich erledigt. Trag dir trotzdem einen halbjährlichen Kontrolltermin ein, wie in Backups und Wartung, damit die Website nicht ausfällt beschrieben.

Häufige Fragen

Kostet ein Zertifikat extra?

Bei den meisten Hostern ist ein automatisch erneuertes Zertifikat heute im Paket enthalten. Wenn dir jemand HTTPS als teure Zusatzleistung verkauft, lohnt ein Vergleich, siehe Hosting für kleine Betriebe, worauf es wirklich ankommt. Teurere Zertifikatstypen bringen für eine normale Betriebs-Website keinen praktischen Vorteil.

Ist www altmodisch?

Nein, es ist einfach eine Entscheidung. Ohne www wirken Adressen kürzer und lassen sich leichter aufs Fahrzeug schreiben. Mit www hat man technisch etwas mehr Spielraum bei bestimmten Konfigurationen. Beides funktioniert, solange du dich festlegst.

Muss ich etwas tun, wenn ich nur Informationen zeige und keine Formulare habe?

Ja. Browser warnen unabhängig davon, ob Daten eingegeben werden. Eine Warnung schreckt Besucher ab, auch wenn sie nur die Öffnungszeiten sehen wollten. HTTPS ist heute Grundausstattung, nicht Kür.

Mach als Nächstes den Fünf-Minuten-Test an deiner eigenen Adresse. Wenn dabei etwas auffällt, notiere genau, was der Browser anzeigt. Mit dieser Information kann dir dein Hoster in wenigen Minuten helfen.

Schreib uns, was du vorhast, wir melden uns mit einer ehrlichen Einschätzung.