Website auf HTTPS umstellen: die vollständige Anleitung

Eine Website auf HTTPS umstellen ist heute Pflicht und kein Extra mehr. Browser markieren Seiten ohne Verschlüsselung als „nicht sicher“, Formulare ohne HTTPS schrecken Besucher ab, und Google bevorzugt verschlüsselte Seiten. Mit einem kostenlosen Zertifikat ist die Umstellung in einer Stunde erledigt. Damit danach kein Schloss mit Warnung erscheint und keine Rankings verloren gehen, kommt es auf die Reihenfolge an: erst das Zertifikat, dann die Inhalte, dann die Weiterleitung.

Warum Sie auf HTTPS umstellen sollten

HTTPS verschlüsselt die Verbindung zwischen Browser und Server. Niemand im selben WLAN oder auf dem Weg durchs Netz kann mitlesen, was Besucher eingeben, und niemand kann unbemerkt Inhalte verändern oder Werbung einschleusen. Dazu kommen praktische Gründe:

• Browser warnen bei Seiten ohne HTTPS, besonders bei Eingabefeldern.
• Viele moderne Funktionen wie Standortabfrage, Service Worker oder schnellere Protokolle wie HTTP/2 funktionieren in Browsern nur mit HTTPS.
• HTTPS ist ein Rankingsignal bei Google, wenn auch ein schwaches.
• Für Formulare mit personenbezogenen Daten erwarten Datenschutzbehörden eine Verschlüsselung.

Wie Zertifikate funktionieren, erklärt der Ratgeber zu den SSL-Zertifikat-Grundlagen.

Schritt 1: Zertifikat einrichten

Bevor Sie auf HTTPS umstellen, brauchen Sie ein gültiges Zertifikat. Bei fast allen Webhostern bekommen Sie ein kostenloses Zertifikat von Let's Encrypt per Klick im Kundenmenü. Aktivieren Sie es für die Hauptdomain und für die Variante mit www, auch wenn Sie nur eine davon nutzen. Auf einem eigenen Server holen Sie es mit Certbot, wie im Ratgeber zu Let's Encrypt beschrieben.

Rufen Sie danach Ihre Seite einmal mit https:// auf. Erscheint sie, ist das Zertifikat aktiv. Das Schloss kann an dieser Stelle noch eine Warnung zeigen, weil Inhalte über HTTP geladen werden. Das beheben Sie im nächsten Schritt. Leiten Sie noch nicht weiter, solange die HTTPS-Fassung nicht sauber läuft.

Schritt 2: Adressen im CMS umstellen

Wer seine Website auf HTTPS umstellen will, muss auch das CMS anpassen. Es speichert die Adresse der Website an mehreren Stellen. Diese müssen alle auf https:// zeigen, sonst erzeugt das System weiter Links mit http://.

WordPress. Unter „Einstellungen“ und „Allgemein“ stehen die WordPress-Adresse und die Website-Adresse. Ändern Sie beide auf https://. Danach müssen Sie sich neu anmelden. In Beiträgen und Seiten stecken aber weitere absolute Links, etwa zu Bildern. Diese ersetzen Sie am besten mit WP-CLI:

wp search-replace 'http://www.beispiel.de' 'https://www.beispiel.de' --skip-columns=guid --dry-run
wp search-replace 'http://www.beispiel.de' 'https://www.beispiel.de' --skip-columns=guid

Der erste Befehl zeigt nur, was er ändern würde. Der zweite führt es aus. Ohne WP-CLI erledigt ein Plugin für Suchen und Ersetzen dasselbe. Ersetzen Sie Adressen nie direkt per SQL in der Datenbank. WordPress speichert manche Einstellungen in einem Format, das dabei kaputtgeht. Legen Sie vorher ein Backup an, wie im Ratgeber zum Website-Backup beschrieben.

Andere Systeme. In Joomla setzen Sie in der globalen Konfiguration „SSL erzwingen“ auf „Gesamte Website“. In TYPO3 stellen Sie in der Site-Konfiguration die Basis auf https://. Bei einer selbst gebauten Seite suchen Sie in allen Dateien nach http:// mit Ihrem Domainnamen.

Schritt 3: Mixed Content finden und beheben

Mixed Content heißt: Die Seite selbst kommt über HTTPS, einzelne Bestandteile wie Bilder, Skripte oder Schriften aber über HTTP. Bilder zeigt der Browser dann mit einer Warnung beim Schloss an oder lädt sie automatisch über HTTPS nach. Skripte und Stylesheets blockiert er komplett, und plötzlich fehlt das Design oder ein Menü funktioniert nicht.

So finden Sie die Ursachen:

1. Öffnen Sie die Seite und die Entwicklerwerkzeuge mit F12. Die Konsole listet jede Datei mit „Mixed Content“ samt Adresse.
2. Gehen Sie die wichtigsten Seitentypen durch: Startseite, Beitrag, Kategorie, Kontakt, Shopseite.
3. Suchen Sie die gemeldeten Adressen im Theme, in Widgets, in eigenen Feldern des CMS und in Einstellungen von Plugins.

Liegt die Datei auf Ihrer eigenen Domain, ändern Sie den Link auf https:// oder auf einen relativen Pfad wie /bilder/logo.png. Kommt sie von einem fremden Server, prüfen Sie, ob er HTTPS anbietet. Fast alle tun das heute. Tut er es nicht, suchen Sie Ersatz oder laden Sie die Datei auf Ihren eigenen Server.

Als Hilfe für Reste können Sie den Header Content-Security-Policy: upgrade-insecure-requests setzen. Er bittet den Browser, alle Anfragen der Seite über HTTPS zu stellen. Das ersetzt keine saubere Korrektur, verhindert aber Ausfälle durch übersehene Links.

Schritt 4: Dauerhafte Weiterleitung setzen

Erst wenn die HTTPS-Fassung fehlerfrei läuft, leiten Sie alle Aufrufe über HTTP dauerhaft um. Wichtig ist der Code 301, denn er sagt Suchmaschinen, dass die neue Adresse die alte ersetzt. Dann wandern Rankings und Links mit. Bei vielen Hostern gibt es im Kundenmenü einen Schalter „HTTPS erzwingen“ oder „Weiterleitung auf HTTPS“. Ohne Schalter tragen Sie bei Apache drei Zeilen in die .htaccess ein:

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Testen Sie danach mit curl -sI http://www.beispiel.de/kontakt/. Die Antwort sollte 301 und in der Zeile Location die Adresse mit https:// zeigen, und zwar in einem Schritt, nicht über mehrere Umwege. Wie die Datei aufgebaut ist, erklärt der Ratgeber zur htaccess-Datei.

Schritt 5: Suchmaschinen und Werkzeuge anpassen

• Canonical-Tags: Prüfen Sie im Quelltext, ob rel="canonical" auf die HTTPS-Adresse zeigt. Bei WordPress mit einem SEO-Plugin passiert das nach Schritt 2 von selbst.
• Sitemap: Alle Adressen in der XML-Sitemap müssen mit https:// beginnen. Reichen Sie die Sitemap danach neu ein.
• Google Search Console: Eine Property vom Typ Domain umfasst HTTP und HTTPS automatisch. Haben Sie bisher eine Property für die HTTP-Adresse, legen Sie eine neue für HTTPS an oder wechseln Sie zur Domain-Property. Google beschreibt den Ablauf in seinem Leitfaden für Umzüge mit geänderten URLs.
• Analyse und Werbung: Stellen Sie in Ihrem Analyse-Werkzeug und bei Werbekonten die Adresse der Website um.
• Externe Links: Ändern Sie Ihre Adresse in Profilen, Branchenbüchern und Newsletter-Vorlagen. Die Weiterleitung fängt alte Links zwar auf, ein direkter Link spart aber einen Umweg.

Wenn Sie auf HTTPS umstellen, schwanken Rankings oft ein paar Tage, bis Google alle Seiten neu erfasst hat. Mit sauberen 301-Weiterleitungen pendelt sich das wieder ein. Ein dauerhafter Verlust ist ein Zeichen für Weiterleitungsketten, fehlende Weiterleitungen oder eine falsche Canonical-Angabe.

Besonderheiten bei Onlineshops

Wer einen Shop auf HTTPS umstellen will, muss mehr bedenken. Ein Shop hängt an mehr Diensten als eine Firmenseite. Prüfen Sie nach der Umstellung zusätzlich:

• Zahlungsanbieter: Viele melden Zahlungen über eine Rückrufadresse an den Shop, oft Webhook oder Notify-URL genannt. Steht dort noch http://, folgen manche Anbieter der Weiterleitung nicht, und Bestellungen bleiben auf „Zahlung ausstehend“. Ändern Sie die Adresse im Händlerkonto.
• Versand und Warenwirtschaft: Schnittstellen zu Versanddienstleistern und Buchhaltung haben oft die Shopadresse fest eingetragen.
• Produktfeeds: Feeds für Preisvergleiche und Werbeplattformen sollten Bild- und Produktlinks mit https:// enthalten.
• Testbestellung: Gehen Sie einmal den ganzen Weg vom Warenkorb bis zur Bestätigungsmail, mit jeder Zahlungsart.

Planen Sie die Umstellung eines Shops in einer ruhigen Zeit und nicht am Tag vor einer Aktion.

Schritt 6: Nach dem Umstellen auf HTTPS absichern

Läuft alles einige Wochen stabil, gehen Sie einen Schritt weiter. Das ist der letzte Baustein, um die Seite vollständig auf HTTPS umstellen zu können. Mit dem Header HSTS sagen Sie Browsern, dass sie Ihre Domain künftig nur noch über HTTPS aufrufen sollen, auch wenn jemand http:// eintippt. Beginnen Sie mit einer kurzen Dauer und erhöhen Sie sie später. Wie das geht und welche weiteren Header sinnvoll sind, beschreibt der Ratgeber zu HTTP Security Headern.

Prüfen Sie außerdem, ob Cookies für Logins und Warenkorb das Merkmal Secure tragen. Viele CMS setzen es nach der Umstellung automatisch, ältere Plugins nicht immer.

Typische Fehler beim HTTPS umstellen

• Weiterleitung vor dem Zertifikat: Besucher landen auf einer Seite mit Zertifikatsfehler.
• Endlosschleife: Hinter einem CDN oder Proxy sieht der Server nicht, dass die Verbindung schon verschlüsselt ist, und leitet immer wieder um. Dann muss die Weiterleitung beim CDN eingestellt oder die richtige Variable geprüft werden.
• 302 statt 301: Suchmaschinen behandeln die Umstellung dann als vorübergehend.
• Ketten: Von http://beispiel.de über https://beispiel.de zu https://www.beispiel.de sind zwei Schritte. Besser ist einer.
• Vergessene Subdomains: Shop, Blog oder Newsletter-Bilder auf einer Subdomain ohne Zertifikat erzeugen Mixed Content.