Sie haben ein SSL-Zertifikat installiert und HTTPS konfiguriert, aber der Browser zeigt weiterhin die Warnung „Verbindung nicht sicher" an. Kommt Ihnen das bekannt vor?

So sieht ein Mixed-Content-Fehler aus. Die Seite scheint einwandfrei zu funktionieren, Besucher beschweren sich nicht, aber Google erkennt das Problem und stuft Ihr Ranking herab. Seit 2018 markiert Chrome Seiten mit gemischten Inhalten als unsicher, und die Richtlinie wird mit jedem Update strenger.

Die Behebung erfolgt in zwei Schritten. Sie benötigen keinen Entwickler, müssen keine Links manuell bearbeiten und riskieren keine Beschädigung Ihres Layouts.

💡 Kurzer Überblick:

• Finden Sie die Quelle des gemischten Inhalts mit den Chrome DevTools oder Online-Tools
• Installieren Sie ein Plugin (automatische Methode) oder bearbeiten Sie die .htaccess und die Datenbank (manuelle Methode)
• Überprüfen Sie das Ergebnis und richten Sie eine HTTPS-Weiterleitung für die Zukunft ein

Was ist gemischter Inhalt und warum ist er gefährlich

Gemischter Inhalt liegt vor, wenn eine Seite über HTTPS geladen wird, einzelne Elemente darauf (Bilder, Skripte, Styles, Schriften) jedoch über das unsichere HTTP-Protokoll bezogen werden.

Der Browser wertet dies als Sicherheitslücke. Ein Angreifer kann die HTTP-Anfrage abfangen, ein Skript oder Bild unterschieben und sich Zugang zu Nutzerdaten verschaffen. Deshalb blockieren Chrome, Firefox und Safari „aktiven" gemischten Inhalt (Skripte, Iframes) vollständig, während „passiver" Inhalt (Bilder, Medien) eine Warnung in der Adressleiste auslöst.

Die typische Ursache ist die Migration von HTTP auf HTTPS. Alte Links in Inhalten, Theme-Einstellungen, CSS-Dateien und Widgets behalten das Präfix http://. WordPress ändert diese nicht automatisch, daher der Konflikt.

Seit 2020 stellt Google unmissverständlich klar: HTTPS ist ein Ranking-Signal. Eine Seite mit gemischtem Inhalt verliert das „grüne Schloss" und damit das Vertrauen der Besucher sowie Positionen in den SERPs. Sie müssen dies unverzüglich nach der SSL-Installation beheben, ohne Verzögerung.

Schritt 1: Diagnose, die Ursache des Problems finden

Bevor Sie etwas beheben, müssen Sie verstehen, welche Ressourcen über HTTP geladen werden. Die universelle Methode sind die Chrome DevTools.

Öffnen Sie Ihre Seite in Chrome, drücken Sie F12 (oder Ctrl+Shift+I), wechseln Sie zum Tab Console und laden Sie die Seite neu. Jede Zeile mit einer „Mixed Content"-Warnung zeigt die exakte URL der problematischen Datei.

Daneben finden Sie im Tab Security eine Zusammenfassung: Zertifikatsstatus, Liste unsicherer Anfragen und Empfehlungen zu deren Behebung. Das reicht für eine schnelle Einschätzung der Lage.

Wenn es viele Fehler gibt und Sie eine vollständige Liste in einem Bericht benötigen, helfen Online-Tools weiter.

Jitbit SSL Checker ist ein kostenloser Online-Scanner. Geben Sie die URL ein und erhalten Sie eine Liste aller HTTP-Ressourcen auf der Seite: Bilder, Skripte, CSS, externe Aufrufe. Die kostenlose Version prüft bis zu 200 Seiten.

Why No Padlock ist ein weiterer kostenloser Dienst mit detaillierter Analyse: welche Elemente nicht sicher sind, woher sie geladen werden und welcher Inhaltsart sie angehören. Er unterstützt die Prüfung von Seiten, die eine Authentifizierung erfordern.

HTTPS Checker ist ein Desktop-Utility für macOS, das Ihre Seite lokal scannt und Fehler nach jeder Änderung anzeigt. Es arbeitet mit einem Limit von 100 Seiten und eignet sich gut für die schrittweise Fehlerbehebung.

Sobald Sie die Liste der problematischen URLs vor sich haben, gehen Sie zur Behebung über.

Schritt 2: Behebung, drei funktionierende Methoden

Die Wahl der Methode hängt von der Anzahl der Fehler und Ihrer Bereitschaft ab, mit Code zu arbeiten. Plugins lösen die Aufgabe mit wenigen Klicks, während die manuelle Methode Ihnen die volle Kontrolle gibt.

Methode 1: Really Simple Security, automatisierte Lösung

Really Simple Security (ehemals Really Simple SSL) ist das beliebteste WordPress-SSL-Plugin mit 3 Millionen aktiven Installationen und einer Bewertung von 4,9/5 auf WordPress.org.

Installieren Sie das Plugin über „Plugins → Installieren", aktivieren Sie es und führen Sie den Einrichtungsassistenten aus. Das Plugin übernimmt automatisch:

• das Setzen von HTTPS in den WordPress-Einstellungen (Website-Adresse und Home-URL),
• die Konfiguration einer 301-Weiterleitung von HTTP auf HTTPS,
• das Ersetzen von HTTP-Links im Content „on the fly" über den Ausgabepuffer,
• die Prüfung des Zertifikats und warnt vor Ablauf.

Öffnen Sie Ihre Website nach der Installation im Inkognito-Modus und stellen Sie sicher, dass das Schloss in der Adressleiste grün ist und in den DevTools → Konsole keine Mixed-Content-Warnungen erscheinen. Für die allermeisten Websites ist das ausreichend.

Methode 2: SSL Insecure Content Fixer, flexible Stufeneinstellungen

Falls Really Simple Security nicht funktioniert hat (weil beispielsweise Inhalte über Drittanbieter-APIs geladen werden), binden Sie SSL Insecure Content Fixer ein. Das Plugin hat 100.000 aktive Installationen, eine Bewertung von 4,8/5 und bietet fünf Filterstufen:

• Simple ist die Basisstufe für Einsteiger, korrigiert Links in Inhalten und Einstellungen;
• Content prüft zusätzlich Text-Widgets und Shortcodes;
• Widgets konzentriert sich auf Widget-Inhalte, einschließlich benutzerdefiniertem HTML;
• Capture fängt die gesamte Seite vor der Auslieferung ab und ersetzt jedes http:// durch https://. Langsamer, aber effektiver;
• Capture All bietet maximale Abdeckung: Skripte, Inline-Styles, externe Aufrufe. Der ressourcenintensivste Modus.

Beginnen Sie mit Simple. Bleiben Fehler bestehen, wechseln Sie auf eine höhere Stufe und prüfen Sie Ihre Website erneut. Springen Sie nicht ohne Notwendigkeit direkt zu Capture All: Das belastet den Server und kann zu Konflikten mit Caching-Plugins führen.

Methode 3: Manuelle Korrektur,.htaccess und Datenbank

Wenn Sie grundsätzlich gegen zusätzliche Plugins sind oder der Fehler isoliert auftritt, ist hier der direkte Weg.

Schritt A. HTTPS-Weiterleitung in.htaccess erzwingen. Fügen Sie Folgendes am Anfang der Datei ein (vor # BEGIN WordPress):

1
RewriteEngine On
2
RewriteCond %{HTTPS} off
3
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

Speichern Sie die Datei und prüfen Sie, ob die Startseite und alle internen URLs auf HTTPS weiterleiten. Laden Sie vor der Bearbeitung ein Backup der.htaccess herunter: Ein Tippfehler kann Ihre Website lahmlegen.

Schritt B. HTTP-Links in der Datenbank ersetzen. Alte URLs in Beiträgen, Meta-Feldern und Einstellungen enthalten weiterhin http://. Diese mit einer direkten SQL-Abfrage zu ändern, ist riskant, weil serialisierte PHP-Daten dabei beschädigt werden. Nutzen Sie:

• WP-CLI: wp search-replace 'http://example.com' 'https://example.com' --dry-run (zunächst ohne --dry-run, um die Anzahl der Ersetzungen zu sehen);
• das Plugin Better Search Replace, das dasselbe über die Admin-Oberfläche mit Vorschau erledigt.

Leeren Sie nach der Ersetzung Ihren Browser-Cache (Ctrl+Shift+Del), den Plugin-Cache (WP Rocket, LiteSpeed) und prüfen Sie Ihre Website im Inkognito-Modus.

Hilfreiches Video zum Thema

Der Autor des Kanals GoTechWizard demonstriert den Prozess der Mixed-Content-Behebung von der Diagnose bis zum sauberen HTTPS ohne eine einzige Codezeile:

⁉️🤔 Häufig gestellte Fragen

Warum zeigt die Website nach der SSL-Installation immer noch „Nicht sicher" an?

Das SSL-Zertifikat ist auf dem Server aktiviert, aber einige Inhalte werden über HTTP geladen. Das Zertifikat sichert die Verbindung zwischen Browser und Server ab, während HTTP-Links innerhalb der Seite diese Sicherung umgehen. Der Browser erkennt den Protokollmix und warnt den Nutzer. Es gibt drei Hauptursachen: alte Bildverlinkungen in Beiträgen (vor der SSL-Installation eingefügt), fest codierte HTTP-URLs im Theme oder in Plugins sowie externe Ressourcen (Google Fonts, CDN-Skripte), die über http:// statt https:// geladen werden. Diagnostizieren Sie das Problem über die DevTools → Konsole und folgen Sie den Schritten in diesem Artikel.

Muss ich ein SSL-Zertifikat kaufen oder genügt ein kostenloses?

Für die allermeisten Websites ist ein kostenloses SSL von Let's Encrypt ausreichend. Es wird von allen Browsern und Suchmaschinen anerkannt. Kostenpflichtige Zertifikate (OV, EV) sind für Onlineshops, Banken und Seiten mit Zahlungsformularen sinnvoll: Sie erfordern eine Unternehmensverifizierung und zeigen den Organisationsnamen in der Adressleiste an. Für einen Blog, ein Portfolio oder eine Unternehmenswebsite ist Let's Encrypt der Standard. Die meisten Hosting-Anbieter (Timeweb, Beget, Hostinger) stellen es bei der Seitenerstellung automatisch aus.

Kann Mixed Content ohne Plugins und Code-Änderungen behoben werden?

Bei einigen Hosting-Anbietern ja. Cloudflare bietet im kostenlosen Tarif die Option „Automatic HTTPS Rewrites": Sie korrigiert HTTP-Links zu HTTPS im laufenden Betrieb für den gesamten Datenverkehr, der das CDN passiert. Das ist jedoch eine Notlösung: Das Problem bleibt auf Serverebene bestehen, und wenn Sie Cloudflare deaktivieren, kehren die Fehler zurück. Besser ist es, die Ursache zu beseitigen, indem Sie HTTP-Links in der Datenbank ersetzen und eine.htaccess-Weiterleitung einrichten. Dann ist Ihre Website unabhängig von der Art der Datenverkehrszustellung sauber.

SSL Insecure Content Fixer oder Really Simple Security: Welches soll ich wählen?

Das hängt von der Aufgabe ab. Really Simple Security ist eine „Einrichten und vergessen"-Lösung: geeignet für eine typische WordPress-Seite ohne komplexe Integrationen. SSL Insecure Content Fixer ist ein Werkzeug mit abgestuften Ebenen für die Feinabstimmung. Wenn nach der Aktivierung von Really Simple Security weiterhin Fehler auftreten (das kommt bei nicht standardmäßigen Theme-Strukturen, benutzerdefinierten Endpunkten oder Plugins mit direkten HTTP-Aufrufen vor), wechseln Sie zu SSL Insecure Content Fixer und erhöhen Sie die Filterstufe. Die Praxis zeigt: Das erste Plugin deckt die meisten Fälle ab, das zweite erledigt den Rest.

Ist es sicher, den Capture-All-Modus im SSL Insecure Content Fixer zu verwenden?

Capture All fängt jedes Byte der Seite ab und schreibt es um, bevor es an den Browser gesendet wird. Das ist zuverlässig, erhöht aber die CPU-Last. Auf schwachem Hosting oder bei stark frequentierten Seiten kann es zu einer Antwortverzögerung von 100-300 ms kommen. Caching-Plugins (WP Rocket) mildern diesen Effekt: Die Seite wird einmal generiert und aus dem Cache ausgeliefert. Bevor Sie Capture All aktivieren, stellen Sie sicher, dass sanftere Stufen das Problem nicht gelöst haben, und erstellen Sie ein Backup.

Mixed Content behoben, was nun?

Ein Mixed-Content-Fehler ist kein Todesurteil. Nach den beiden Schritten aus diesem Artikel ist er vollständig behoben und kehrt in der Regel nicht zurück. Entscheidend ist, Browser-Warnungen nicht zu unterdrücken, sondern die Ursache zu beseitigen: Stellen Sie jede Ressource auf HTTPS um.

Festigen Sie Ihr Ergebnis: Richten Sie eine automatische SSL-Überprüfung ein (UptimeRobot oder das Hosting-Monitoring sendet 30 Tage vor Zertifikatsablauf eine Benachrichtigung) und machen Sie es sich zur Regel, neue Links von Anfang an mit https:// einzufügen. Wenige Minuten Vorbeugung jetzt sparen später Stunden der Fehlersuche.