Was ändert sich mit Chrome 154?
Mit Chrome 154 aktiviert Google die Funktion "HTTPS-First Mode" für alle Nutzer weltweit. Das bedeutet: Chrome versucht zuerst, jede Website über HTTPS zu laden. Gelingt das nicht, weil die Seite kein SSL-Zertifikat hat, zeigt Chrome eine ganzseitige Warnseite mit dem Hinweis, dass die Verbindung nicht sicher ist.
Die Warnseite ist kein harter Block. Besucher können sich durchklicken und die HTTP-Seite trotzdem aufrufen. In der Praxis kehren die meisten Nutzer jedoch um. Googles eigene Tests zeigen, dass weniger als 3 % aller Seitenaufrufe die Warnung auslösen, und bei den meisten Nutzern tritt sie weniger als einmal pro Woche auf (Google Security Blog 2025). Wer betroffen ist, verliert allerdings einen erheblichen Teil seiner Besucher.
Google verwendet HTTPS seit 2014 als Ranking-Signal. Websites ohne SSL-Zertifikat haben bereits jetzt einen SEO-Nachteil. Mit der Warnseite in Chrome 154 wird dieser Effekt durch steigende Absprungraten zusätzlich verstärkt.
Der Zeitplan: Zwei Phasen bis Oktober 2026
Google führt die Änderung in zwei Stufen ein, um Website-Betreibern Zeit zur Anpassung zu geben:
| Phase | Zeitpunkt | Betroffene Nutzer |
|---|---|---|
| Phase 1 (Chrome 147) | April 2026 | Enhanced Safe Browsing aktiviert (~1 Mrd. Nutzer) |
| Phase 2 (Chrome 154) | Oktober 2026 | Alle Chrome-Nutzer weltweit |
Phase 1 läuft seit April 2026. Wenn Sie in diesem Zeitraum keine Beschwerden von Besuchern erhalten haben, ist Ihre Website wahrscheinlich bereits korrekt über HTTPS erreichbar. Trotzdem lohnt sich eine systematische Prüfung, denn Mixed Content oder falsch konfigurierte Redirects können dazu führen, dass Chrome die Warnung trotz vorhandenem Zertifikat zeigt.
Warum Google jetzt handelt
Die HTTPS-Adoption wuchs zwischen 2015 und 2020 von 30 % auf über 90 % des Chrome-Traffics (Google Transparency Report). Seitdem stagniert die Zahl. Die verbleibenden 8–10 % der Websites ohne SSL stellen ein dauerhaftes Sicherheitsrisiko dar: Ohne Verschlüsselung können Angreifer den Datenverkehr mitlesen, Inhalte manipulieren oder Nutzer auf Phishing-Seiten umleiten.
Diese Angriffsvektoren sind keine Theorie. DNS-Hijacking und Man-in-the-Middle-Attacken betreffen besonders öffentliche WLANs in Hotels, Cafés und Flughäfen. Laut einer Analyse von SecurityWeek werden über 54 % der kritischen Web-Schwachstellen innerhalb einer Woche nach Veröffentlichung aktiv ausgenutzt (SecurityWeek Vulnerability Report 2026). HTTPS eliminiert einen großen Teil dieser Angriffsfläche. Für Website-Betreiber bedeutet das: Wer heute noch kein SSL-Zertifikat einsetzt, riskiert nicht nur die Chrome-Warnseite, sondern auch reale Sicherheitsvorfälle, die Kunden und Geschäftspartner direkt betreffen können.
Welche Websites betroffen sind
Betroffen sind alle Websites, die über HTTP ohne Verschlüsselung erreichbar sind. Das betrifft in der Praxis drei Gruppen:
- Kein SSL-Zertifikat installiert: Die Seite ist ausschließlich über
http://erreichbar. Betrifft laut W3Techs noch rund 8 % aller aktiven Websites (W3Techs 2026). - SSL vorhanden, aber kein Redirect: Das Zertifikat existiert, aber
http://leitet nicht aufhttps://weiter. Besucher, die die URL manuell eingeben oder einem alten Link folgen, landen auf der unverschlüsselten Version. - Mixed Content: Die Seite lädt über HTTPS, bindet aber Ressourcen (Bilder, Skripte, Stylesheets) über HTTP ein. Chrome stuft solche Seiten als teilweise unsicher ein.
Ausgenommen sind interne Netzwerke und lokale Adressen (z. B. Router-Interfaces, Firmen-Intranets). Diese lösen keine Warnung aus, da sie ein geringeres Risiko tragen und schwerer zu zertifizieren sind. Besonders häufig betroffen sind ältere Websites von kleinen Unternehmen, Vereinen und Praxen, die seit Jahren unverändert bei einem Hoster liegen, der kein automatisches SSL aktiviert hat.
So prüfen Sie Ihre Website in 5 Schritten
Eine vollständige HTTPS-Prüfung umfasst mehr als nur den Aufruf der Website im Browser. Unser kostenloser SSL/TLS-Inspektor führt die wichtigsten Checks automatisch durch: Zertifikat, HSTS, HTTP-Redirect und Mixed Content. Prüfen Sie zusätzlich systematisch diese fünf Punkte:
- HTTPS-Erreichbarkeit testen: Rufen Sie Ihre Website mit
https://auf. Erscheint ein Zertifikatsfehler, ist das Zertifikat ungültig, abgelaufen oder für die falsche Domain ausgestellt. - HTTP-zu-HTTPS-Redirect prüfen: Rufen Sie Ihre Website mit
http://auf. Sie sollte automatisch aufhttps://weiterleiten (301 Redirect). Fehlt der Redirect, sind beide Versionen erreichbar und Chrome zeigt die Warnung bei HTTP-Aufrufen. - Mixed Content suchen: Öffnen Sie die Browser-Konsole (F12 → Console) und laden Sie Ihre Seite über HTTPS. Warnungen zu Mixed Content zeigen Ressourcen, die noch über HTTP eingebunden sind.
- SSL-Zertifikat prüfen: Klicken Sie auf das Schloss-Symbol in der Adressleiste und prüfen Sie Aussteller, Gültigkeit und abgedeckte Domains. Zertifikate, die innerhalb der nächsten 30 Tage ablaufen, sollten Sie jetzt erneuern.
- HSTS-Header setzen: Der Strict-Transport-Security-Header weist Browser an, die Seite ausschließlich über HTTPS zu laden. Das verhindert, dass Besucher versehentlich auf der HTTP-Version landen.
Die 4 häufigsten HTTPS-Probleme und ihre Lösung
Die häufigste Ursache. Lösung: Ein kostenloses Zertifikat über die Hosting-Verwaltung aktivieren. Die meisten Hoster bieten automatische Verlängerung. Weitere Details zu SSL/TLS-Versionen und deren Unterschiede.
SSL ist aktiv, aber http:// leitet nicht weiter. Lösung: In der Webserver-Konfiguration (nginx oder Apache) einen 301-Redirect von HTTP auf HTTPS einrichten. Gilt für alle Subdomains und Pfade.
Bilder, Skripte oder Stylesheets werden über HTTP geladen, obwohl die Seite HTTPS nutzt. Lösung: Alle internen URLs auf relative Pfade oder https:// umstellen. Externe Ressourcen auf HTTPS-Verfügbarkeit prüfen.
Das Zertifikat ist gültig, aber läuft in Kürze ab oder ist bereits abgelaufen. Lösung: Automatische Verlängerung aktivieren und SSL-Monitoring einrichten, das bei Unterschreitung der Restlaufzeit rechtzeitig warnt.
HTTPS automatisch überwachen
Eine einmalige Prüfung reicht nicht aus. SSL-Zertifikate laufen ab, Hosting-Umzüge können Redirects brechen, und CMS-Updates können Mixed Content einführen. Automatisches Monitoring erkennt solche Probleme, bevor Chrome Ihre Besucher mit einer Warnseite konfrontiert.
XICTRAQ prüft bei jedem Uptime-Check den SSL-Status Ihrer Website. Dabei werden vier Aspekte überwacht: Zertifikatsgültigkeit und Restlaufzeit, korrekte HTTPS-Weiterleitung, Mixed-Content-Erkennung sowie die Konfiguration der Security Headers inklusive HSTS. Bei Problemen erhalten Sie Alerts per E-Mail, Slack, Discord oder Telegram, je nach Ihrer Alerting-Konfiguration. Im Security-Dashboard sehen Sie den SSL-Status aller überwachten Websites auf einen Blick.
Neben dem SSL-Zertifikat kann auch die Domain selbst ablaufen. Ein Domain-Monitoring warnt Sie rechtzeitig, wenn Ihre Domain-Registrierung erneuert werden muss.
Was andere Browser tun
Chrome ist der erste große Browser, der HTTPS-First für alle Nutzer standardmäßig aktiviert. Andere Browser bieten ähnliche Funktionen, setzen sie aber unterschiedlich um:
| Browser | HTTPS-Modus | Standard für alle? |
|---|---|---|
| Chrome | HTTPS-First Mode + Warnseite | Ab Oktober 2026 |
| Firefox | HTTPS-Only Mode (seit 2020) | Nein, manuell aktivierbar |
| Safari | Automatisches HTTPS-Upgrade | Ja, seit Safari 15 (2021) |
| Edge | Automatic HTTPS (Flag) | Nein, experimentell |
Safari führt seit 2021 ein stilles Upgrade durch: HTTP-Aufrufe werden automatisch auf HTTPS umgestellt, ohne Warnseite. Chromes Ansatz ist aggressiver, weil er eine explizite Warnseite zeigt und den Nutzer zur Entscheidung zwingt. Da Chrome mit über 65 % Marktanteil der meistgenutzte Browser ist (StatCounter Global Stats 2026), hat diese Änderung die größte Reichweite.
Häufig gestellte Fragen zur Chrome HTTPS-Pflicht
Blockiert Chrome HTTP-Websites komplett?
Kostet ein SSL-Zertifikat Geld?
Ist meine Website betroffen, wenn ich bereits HTTPS nutze?
Was ist mit Websites in internen Netzwerken?
Kann ich die Warnseite als Nutzer deaktivieren?
Wie überwache ich den SSL-Status automatisch?
Dieser Artikel basiert auf Daten von: Transparency Report (Google), Vulnerability Report (SecurityWeek), Global Stats (StatCounter), (W3Techs).
Jetzt handeln statt Besucher verlieren
Oktober 2026 ist weniger als fünf Monate entfernt. Die technische Umstellung auf HTTPS dauert bei den meisten Websites weniger als eine Stunde, aber die Folgen einer fehlenden Umstellung sind erheblich: Warnseiten, sinkende Besucherzahlen, schlechtere Rankings. Wer jetzt handelt, vermeidet diese Risiken und stärkt gleichzeitig die Gesamtsicherheit seiner Website. XICTRAQ überwacht den HTTPS-Status Ihrer Website automatisch und warnt Sie, bevor Probleme bei Ihren Besuchern ankommen. Starten Sie jetzt mit dem SSL-Monitoring und stellen Sie sicher, dass Ihre Website für die Chrome HTTPS-Pflicht bereit ist.