Wie kann man HTTPS einrichten?
Kurzantwort
HTTPS richtest du in zwei Schritten ein: Zuerst aktivierst du beim Hoster ein SSL/TLS-Zertifikat. Danach stellst du die gesamte Website auf HTTPS um. Dazu gehören dauerhafte 301-Weiterleitungen, aktualisierte interne Links und Ressourcen, eine neue Sitemap sowie angepasste Einstellungen in der Google Search Console und im Tracking.
Eine HTTPS-Umstellung ist bei kleinen Websites oft selbst machbar. Das Zertifikat ist meist in wenigen Minuten aktiviert. Der eigentliche Aufwand steckt in der vollständigen Umstellung aller URLs, Bilder, Schriften, Skripte und angeschlossenen Systeme. Genau dort entstehen die Fehler, die später Vertrauen und SEO-Sichtbarkeit kosten.
1. HTTPS in zwei Schritten einrichten
HTTPS einzurichten bedeutet mehr, als ein Zertifikat zu installieren. Das Zertifikat verschlüsselt die Verbindung zwischen Browser und Webserver. Anschließend muss jede bisherige HTTP-Adresse dauerhaft auf ihre HTTPS-Version wechseln. Bleiben beide Varianten erreichbar, entstehen doppelte URLs und widersprüchliche Signale für Suchmaschinen.
| Teil | Aufgabe | Typischer Aufwand |
|---|---|---|
| 1. Zertifikat aktivieren | SSL/TLS-Zertifikat beim Hoster auswählen und der Domain zuweisen | Bei vielen Hosting-Angeboten wenige Minuten |
| 2. Website umstellen | Weiterleitungen, Links, Ressourcen, Sitemap, Canonicals und Tracking anpassen | Abhängig von CMS, Umfang und externen Diensten |
| 3. Ergebnis prüfen | Alle URLs crawlen und Fehler systematisch beheben | Mindestens ein vollständiger Crawl nach dem Wechsel |
1.1 HTTPS beim Hoster aktivieren
HTTPS einstellen oder aktivieren: Öffne die Domain- oder Sicherheitseinstellungen deines Hosting-Pakets und suche nach Begriffen wie „SSL“, „TLS“, „HTTPS“ oder „Zertifikat“. Bei vielen Hosting-Angeboten genügt ein Schalter. Das Zertifikat wird kostenlos ausgestellt, automatisch eingebunden und vor Ablauf verlängert.
Prüfe nach der Aktivierung die Startseite und mindestens eine Unterseite direkt über https://. Der Browser sollte keine Zertifikatswarnung anzeigen. Kontrolliere zusätzlich, ob das Zertifikat für alle genutzten Hostnamen gilt, zum Beispiel für die Domain mit und ohne „www“. Lege anschließend eine einzige bevorzugte Variante fest.
1.2 Zertifikat und Umstellung trennen
Ein gültiges Zertifikat beweist lediglich, dass der Server verschlüsselte Verbindungen annehmen kann. Es ändert keine internen Links und ersetzt keine HTTP-Ressourcen. Es leitet außerdem alte Adressen nicht automatisch weiter, sofern der Hoster oder das CMS dafür keine zusätzliche Funktion aktiviert.
Zertifikat zuerst prüfen
Beginne mit der Weiterleitung erst, wenn die wichtigsten Seitentypen bereits fehlerfrei über HTTPS erreichbar sind. Teste mindestens Startseite, Kategorie, Produkt oder Leistungsseite, Formular und Login. Sonst leitest du die gesamte Website auf eine Version weiter, die möglicherweise noch technische Fehler ausliefert.
2. HTTP auf HTTPS umstellen
HTTP in HTTPS ändern: Jede alte Adresse muss mit dem Statuscode 301 direkt auf dieselbe Adresse unter HTTPS weiterleiten. Aus http://beispiel.de/leistung/ wird also https://beispiel.de/leistung/. Eine dauerhafte HTTPS-Umstellung sollte keinen 302-Redirect verwenden, weil dieser eine vorübergehende Änderung signalisiert.
Die Weiterleitung lässt sich je nach System im Hosting-Panel, über das CMS, in der Serverkonfiguration oder über eine Weiterleitungsregel einrichten. Bei einem Apache-Webserver kann eine Regel in der .htaccess-Datei verwendet werden. Bei Nginx erfolgt die Konfiguration im Serverblock. Nutze bevorzugt die vom Hoster vorgesehene Funktion, wenn du die Serverkonfiguration nicht sicher beurteilen kannst.
Von HTTP auf HTTPS umstellen: Teste die Regeln nicht nur mit der Startseite. Eine fehlerhafte globale Regel fällt dort oft nicht auf. Rufe mehrere tiefe URLs, Dateien und URL-Varianten über HTTP auf. Jede Anfrage muss ohne Umweg bei der richtigen HTTPS-Adresse enden.
3. Die Website vollständig umstellen
Der Punkt, an dem eine HTTPS-Umstellung kippt, liegt fast nie beim Zertifikat. Häufig öffnet sich die Startseite mit Schloss-Symbol, während Templates, alte Beiträge oder Produktbeschreibungen weiterhin HTTP-Adressen enthalten. Der Fehler bleibt unbemerkt, bis Browser einzelne Ressourcen blockieren oder Suchmaschinen beide Protokollvarianten finden.
Bei der Umstellung müssen deshalb alle Stellen geändert werden, die eine vollständige URL speichern oder erzeugen. Dazu zählen CMS-Einstellungen, Datenbankinhalte, Menüs, Canonical-Tags, strukturierte Daten, Sprachverweise, Vorlagen, JavaScript-Konfigurationen und externe Schnittstellen.
3.1 Interne Links direkt aktualisieren
Interne Links sollten nach der Umstellung unmittelbar auf HTTPS zeigen. Ein interner Link auf HTTP funktioniert zwar häufig noch, verursacht aber bei jedem Klick und jedem Crawling-Vorgang eine zusätzliche Weiterleitung. Jede Weiterleitung benötigt einen weiteren Request. Bei umfangreichen Websites entstehen dadurch unnötige Weiterleitungsketten und eine schwerer wartbare URL-Struktur.
Suche in der Datenbank und in Templates nach http://deine-domain.de. Ersetze interne Adressen kontrolliert durch die festgelegte HTTPS-Variante. Eine pauschale Ersetzung sämtlicher HTTP-Adressen ist riskant, weil externe Dienste oder bewusst abweichende URLs betroffen sein können.
3.2 Bilder, Schriften und Skripte prüfen
HTTPS vollständig umstellen: Eingebundene Bilder, CSS-Dateien, Webfonts, Videos, Skripte und Tracking-Tags müssen ebenfalls verschlüsselt geladen werden. Stammt nur eine Ressource weiterhin von einer HTTP-Adresse, entsteht sogenannter Mixed Content. Der Browser kann die Seite dann trotz gültigem Zertifikat als nicht vollständig sicher einstufen.
Die häufigste Fehlersuche beginnt am falschen Ende: Der Betreiber prüft das Zertifikat, obwohl ein altes Bild, eine Schrift oder ein Skript über HTTP geladen wird. Öffne in den Entwicklerwerkzeugen des Browsers die Konsole und suche nach Mixed-Content-Meldungen. Ändere anschließend die konkrete Ressourcenadresse auf HTTPS oder entferne die Einbindung.
Besonders hartnäckig sind Ressourcen aus alten Seitenelementen, CSS-Dateien oder Plugins. Sie erscheinen nicht unbedingt im sichtbaren Text und werden deshalb bei einer manuellen Kontrolle übersehen. Kontrolliere auch Drittanbieter. Eine externe Ressource ohne HTTPS-Unterstützung sollte ersetzt oder lokal über eine sichere Adresse bereitgestellt werden.
4. Sitemap, Search Console und Tracking
Nach dem technischen Wechsel müssen die angeschlossenen Systeme die neue URL-Struktur erhalten. Erstelle eine XML-Sitemap, die ausschließlich kanonische HTTPS-URLs enthält. URLs, die auf andere Seiten weiterleiten oder per Canonical eine abweichende Adresse nennen, gehören nicht in die Sitemap. Solche Kombinationen senden widersprüchliche Signale an Suchmaschinen.
Kontrolliere anschließend Analyse- und Werbesysteme. Passe die Basis-URL in Tracking-Einstellungen, Tag-Management, Conversion-Zielen, Produktfeeds und externen Dashboards an. Führe mindestens einen echten Testbesuch oder eine Testanfrage durch. Ein aufrufbarer Tracking-Code beweist noch nicht, dass Sitzungen, Käufe oder Formulare korrekt zugeordnet werden.
Bei einer größeren Umstellung hilft die SEO-Checkliste für einen Website-Relaunch, weil HTTPS oft zusammen mit einem CMS-, Design- oder Strukturwechsel eingeführt wird. Je mehr Änderungen gleichzeitig live gehen, desto wichtiger ist eine vollständige URL-Liste vor dem Start.
5. Wie sicher ist HTTPS?
HTTPS verschlüsselt die Übertragung zwischen Browser und Server und schützt Daten auf diesem Transportweg vor einfachem Mitlesen und Verändern. Das Schloss-Symbol bestätigt jedoch weder die Seriosität des Betreibers noch die Sicherheit der Inhalte. Auch betrügerische Websites und Seiten mit Schadsoftware können ein gültiges Zertifikat besitzen.
Ein HTTPS-Link ist daher technisch besser geschützt als eine unverschlüsselte HTTP-Verbindung, aber nicht automatisch vertrauenswürdig. Prüfe bei unbekannten Seiten zusätzlich Domain, Anbieter, Inhalte und Browserwarnungen. Die grundsätzliche Einordnung von Sicherheitssignalen gehört zu den technischen SEO-Best-Practices.
6. HTTPS-Umstellung flächendeckend prüfen
Eine manuelle Stichprobe reicht nach der Umstellung nicht. Lass die gesamte Website crawlen und prüfe jede erreichbare URL, jeden Statuscode und jede eingebundene Ressource. Der Technical Crawler der Performance Suite untersucht pro Durchlauf mehr als 100 technische Punkte, darunter Statuscodes, Canonicals und Ladezeiten.
Messbar ist die Umstellung anhand einer klaren Zielstruktur: HTTP liefert 301, die endgültige HTTPS-Adresse liefert 200, interne Links führen direkt auf HTTPS und die Sitemap enthält nur finale URLs. Der Crawl sollte außerdem Weiterleitungsketten, Schleifen, Mixed Content, falsche Canonicals und weiterhin erreichbare HTTP-Seiten sichtbar machen.
Ein typisches Fehlerbild ist eine Kette aus mehreren historischen Umstellungen: HTTP leitet auf HTTPS weiter, anschließend folgt der Wechsel von „www“ auf die Variante ohne „www“, danach greift noch eine alte URL-Weiterleitung. Korrekt wäre eine einzige 301-Weiterleitung von jeder Ausgangsadresse direkt zum endgültigen Ziel. Mehrere Zwischenschritte erhöhen Ladezeit und Fehleranfälligkeit.
Wenn du zunächst eine kompakte Kontrolle benötigst, kannst du den kostenlosen SEO-Check für bis zu 20 Unterseiten nutzen. Für eine vollständige Migration brauchst du zusätzlich einen Crawl sämtlicher relevanter URLs.
Technische Daten selbst prüfen und die Ausgangslage zentral erfassen:
7. HTTPS selbst umstellen oder begleiten lassen?
Du kannst HTTPS selbst einrichten, wenn dein Hoster das Zertifikat automatisch verwaltet, die Website überschaubar ist und du Zugriff auf CMS, Weiterleitungen und Tracking hast. Sichere vor der Änderung Datenbank und Dateien. Halte außerdem eine Liste der wichtigsten URLs bereit, damit du nach dem Wechsel gezielt testen kannst.
Bei Onlineshops, internationalen Domains, mehreren Subdomains oder individuell entwickelten Systemen sollte die Umstellung gemeinsam mit Entwicklung und SEO geplant werden. Ein Zertifikat lässt sich schnell aktivieren. Fehler in Canonicals, Sprachverweisen, Produktfeeds oder Weiterleitungsregeln zeigen sich dagegen teilweise erst nach dem nächsten Crawling durch Suchmaschinen.
Eine unvollständige HTTPS-Umstellung ist schlechter als ein sauberer Ausgangszustand. Browserwarnungen kosten Vertrauen, parallele URL-Versionen erschweren die Indexierung und interne HTTP-Links erzeugen zusätzliche Weiterleitungen. Wenn du heute nur das Zertifikat aktivieren kannst, plane den vollständigen Wechsel als zusammenhängenden Arbeitsschritt statt als offene Dauerbaustelle.
8. So gehen wir vor
Bei der Online Solutions Group GmbH (OSG) beginnt eine HTTPS-Umstellung mit einer vollständigen Bestandsaufnahme der erreichbaren URLs, Seitentypen und angeschlossenen Systeme. Anschließend legen wir Zielvarianten und 301-Regeln fest, aktualisieren SEO-Signale und prüfen die Domain nach dem Livegang erneut mit dem Technik-Crawler. Unternehmen können die HTTPS-Umstellung als Teil eines SEO-Relaunches begleiten lassen. Jede Entscheidung bleibt über eine feste Ansprechperson nachvollziehbar.
9. Häufige Fragen zur HTTPS-Einrichtung
Wie kann ich HTTPS bei meiner Website aktivieren?
Aktiviere im Hosting-Konto ein SSL/TLS-Zertifikat und weise es der Domain zu. Prüfe danach mehrere Seiten über HTTPS. Anschließend richtest du dauerhafte 301-Weiterleitungen von HTTP auf HTTPS ein und aktualisierst alle internen Adressen.
Kann ich HTTP einfach durch HTTPS ersetzen?
Ja, aber nur nach einer Sicherung und kontrolliert für interne Adressen. Eine pauschale Ersetzung kann externe URLs, Schnittstellen oder gespeicherte Inhalte beschädigen. Prüfe danach Links, Bilder, Skripte, Canonicals und Formulare.
Warum ist meine Website trotz Zertifikat nicht sicher?
Meist lädt die Seite noch einzelne Bilder, Schriften, CSS-Dateien oder Skripte über HTTP. Dieser Mixed Content kann eine Browserwarnung auslösen. Die genaue Ressource findest du in der Browserkonsole oder durch einen vollständigen Website-Crawl.
Brauche ich für HTTPS ein kostenpflichtiges Zertifikat?
Für viele normale Unternehmensseiten und Onlineshops genügt ein kostenloses Zertifikat des Hosting-Anbieters. Wichtiger als der Preis sind eine automatische Verlängerung, die Abdeckung aller benötigten Hostnamen und eine vollständig umgestellte Website.
Welche Weiterleitung brauche ich von HTTP auf HTTPS?
Verwende eine serverseitige 301-Weiterleitung, weil der Wechsel dauerhaft ist. Jede HTTP-Adresse sollte direkt auf ihre entsprechende HTTPS-Adresse führen. Vermeide 302-Weiterleitungen, Ketten und Schleifen.
Muss ich die Google Search Console nach der Umstellung ändern?
Prüfe die HTTPS-Version in der Google Search Console und reiche die aktualisierte XML-Sitemap ein. Kontrolliere anschließend Indexierung, Seitenstatus und mögliche Crawling-Fehler. Bei einer Domain-Property sind zwar beide Protokolle enthalten, die HTTPS-Auswertung bleibt trotzdem relevant.
Wie lange dauert eine HTTPS-Umstellung?
Das Zertifikat ist bei vielen Hostern innerhalb weniger Minuten aktiv. Die vollständige Umstellung kann bei einer kleinen Website einige Stunden dauern. Große Shops, mehrere Subdomains und individuelle Schnittstellen benötigen eine geplante technische Migration mit anschließender Kontrolle.
10. Fazit: Erst umstellen, dann crawlen
Plane HTTPS als technische Migration mit einem klaren Endzustand: eine bevorzugte Domain, direkte 301-Weiterleitungen, ausschließlich sichere Ressourcen und konsistente HTTPS-Signale in Sitemap, Canonicals und Tracking. Der wichtigste letzte Schritt ist ein vollständiger Crawl. Nur damit findest du die Fehler, die bei Stichproben unsichtbar bleiben.
Wenn Weiterleitungen, CMS und Tracking zusammenspielen müssen, kannst du die Domain im kostenlosen Erstgespräch prüfen lassen. Florian Müller führt das Erstgespräch persönlich. Die Einschätzung ist unverbindlich und zeigt, welche Teile du selbst umsetzen kannst und wo technische Begleitung sinnvoll ist.
Keine Kommentare vorhanden