Umstellung von HTTP auf HTTPS: Schritt für Schritt erklärt

Da in der heutigen Zeit immer mehr Bereiche von Unternehmen bzw. Privatpersonen digitalisiert werden, ist das Thema digitale Sicherheit aktuell wie nie. HTTPS ist seit 2014 ein Rankingsignal und zählt bei Google heute zu den Kriterien der Nutzerfreundlichkeit von Seiten (“Page Experience”), die die Rankingsysteme belohnen. Um Websites (und somit Daten) zu schützen, gibt es eine relativ simple und effektive Methode: das SSL Zertifikat. Diese Abkürzung steht für „Secure Sockets Layer“ und ist eine Verschlüsselung des Datenverkehrs im Netz. Man kann damit beispielsweise den Austausch von Daten zwischen Browser und Webserver sicherer gestalten, was vor allem im E-Commerce von höchster Bedeutung ist. Eine Seite, die durch SSL verschlüsselt ist, wird links neben der URL mit „HTTPS“ gekennzeichnet.

Warum man von HTTP auf HTTPS umsteigen sollte

Der Hauptfokus liegt sicherlich in der Sicherheit. Um Kundendaten wie Kreditkartennummern, Bankverbindungen oder auch Adressen und Telefonnummern vor unautorisiertem Zugriff zu schützen, sollte ein bemühter Webmaster nicht an der SSL Verschlüsselung sparen. Ein Kostenargument gibt es ohnehin kaum noch: Die gemeinnützige Zertifizierungsstelle Let's Encrypt stellt Zertifikate kostenlos aus.

Exkurs: SSL/TLS

Doch selbst das SSL Zertifikat hat seine Schwachstellen: Nachdem Experten einige Lücken in der Sicherheitsstruktur erkannt hatten, entwickelten sie zügig eine neue Version des Zertifikats: das sog. TLS-Zertifikat. Dieses behebt die Mängel seines Vorgängers und sollte stattdessen benutzt werden und auch wenn oft von SSL die Rede ist, wird eigentlich das neuere TLS gemeint. SSL 3.0 gilt seit 2015 offiziell als unsicher und darf nicht mehr eingesetzt werden (RFC 7568); aktueller Stand ist TLS 1.3 (RFC 8446, 2018).

Verbessern der SEO durch HTTPS

Im Jahre 2014 hat Google bekannt gegeben, dass die Umstellung von HTTP auf HTTPS eine positive Wirkung auf die Suchmaschinenplatzierung hat – ausdrücklich als „leichtes“ Signal. Heute ordnet Google HTTPS der Nutzerfreundlichkeit von Seiten (“Page Experience”) zu, die die Rankingsysteme belohnen. Auch wenn das Gewicht dieses Faktors gering ist, ist es definitiv in Google’s Interesse, das Internet sicherer zu gestalten. Auch statistisch wurde nachgewiesen, dass URLs mit SSL Verschlüsselung allgemein höhere Rankings besitzen als unverschlüsselte URLs. Googles Browser Chrome markiert HTTP-Seiten seit Version 68 (Juli 2018) mit dem Hinweis “nicht sicher” links neben der URL. Ab Chrome 154 (Oktober 2026) geht der Browser noch einen Schritt weiter und fragt vor dem ersten Aufruf jeder öffentlichen Website ohne HTTPS um Erlaubnis.

HTTPS-URLs hingegen wurden lange mit einem Schloss-Symbol versehen. Seit Chrome 117 (September 2023) ist das Schloss einem neutralen Einstellungs-Symbol gewichen – fast alle Phishing-Seiten nutzen ebenfalls HTTPS, und viele Nutzer hatten das Schloss fälschlich als Gütesiegel für die Seite verstanden. Ein Klick auf das Symbol zeigt weiterhin an, ob die Verbindung verschlüsselt ist.

Eine sichere, durch SSL-verschlüsselte Seite wird stets mit dem Zusatz HTTPS gekennzeichnet, bei unsicheren Websites fehlt dieses Protokoll, was sich nicht zuletzt beim Nutzer bemerkbar macht. Dies sorgt auch dafür, dass Nutzer eher auf sichere Seiten klicken anstatt sich auf unsicheren URLs zu bewegen (auch wenn sie auf Platz 1 rankt). Nutzer werden immer versierter im Bereich der Online-Sicherheit und da in Zukunft nahezu alles über das Internet laufen wird, wird es in Zukunft keinen Platz mehr für unverschlüsselte Seiten geben.

Wie man seine Website verschlüsselt

Nachdem die Frage nach der Notwendigkeit eines SSL geklärt wurde, sollten wir uns der Umsetzung zuwenden. In einigen Schritten möchten wir euch erklären, was dabei zu beachten ist. Zuallererst muss man ein SSL-Zertifikat bei einer offiziellen Vergabestelle (auch CA genannt, zum Beispiel kostenlos bei Let's Encrypt) beantragen. Diese verifiziert die eigene Seite und bürgt auch für die Richtigkeit dieser Angabe. Nachdem das Zertifikat beantragt und ausgestellt worden ist, muss man das Zertifikat implementieren: Damit die Umstellung von HTTP auf HTTPS reibungslos verläuft, ist es wichtig, diese Schritte zu befolgen.

Daten sichern!

Zuallererst sollte ein gesamtes Backup von allen Datenbanken und Webspace Daten gemacht werden, damit man im Falle eines Problems nicht alle alten Daten verliert.

301 Weiterleitungen

Damit ihr keinen Sichtbarkeitsverlust erleidet, müsst ihr die HTTP-URLs mit einer 301 Weiterleitung auf die HTTPS-URLs verlinken – auch Google empfiehlt für Websiteumzüge serverseitige dauerhafte Weiterleitungen. Lediglich den Canonical-Tag oder „robots.txt“ zu benutzen reicht hier nicht aus. Ohne eine eindeutige Weiterleitung von HTTP auf HTTPS durch eine 301 Weiterleitung wird man definitiv an Sichtbarkeit verlieren. Auch ist eine 302 Weiterleitung (die nur auf temporärer Basis zu nutzen ist) nicht ausreichend, da die Weiterleitung dauerhaft erhalten bleiben soll.

Ressourcen müssen auch umgestellt werden

Nachdem die URLs vollständig auf HTTPS verlinkt wurden, müssen auch die Inhalte (z.B. JavaScript- und CSS-Dateien, Bilder, PDFs, etc.) umgestellt werden. Passiert dies nicht, kann es zu einem Mixed Content Problem, was die Indexierung der HTTPS-URL verzögert oder auch verhindern kann.

Canonical-Tags

Sollten auf der HTTP-URL Canonicals vorhanden sein, müssen diese auch auf die HTTPS-Variante übernommen werden. Vor allem beim Duplicate Content ist dies relevant, da nur so eine Dopplung (und somit Sichtbarkeitsverlust) verhindert werden kann.

Hreflang-Attribute

Besonders vorsichtig muss man bei vorhandenen Hreflang-Attributen vorgehen. Sind verschiedene Sprachversionen auf einer Subdomain (anstatt auf der eigenen Domain), so braucht man ein sog. “Wildcard-Zertifikat“, das alle Subdomains abdeckt (auch das gibt es bei Let's Encrypt kostenlos).

Interne Verlinkungen

Während der Umstellung müssen auch interne Links angepasst werden. Man unterscheidet hier jedoch 2 Arten von internen Links: relativ und absolut. Bei relativen Links (die ohne „http://www.domain.com“) ist keine Umstellung erforderlich. Absolute Links hingegen müssen ggf. manuell angepasst werden (was auch vom System abhängt, wie z.B. WordPress, etc.)

Robots.txt

Die Regeln einer robots.txt gelten laut Google nur für genau den Host, das Protokoll und den Port, unter dem die Datei liegt. Die HTTPS-Variante braucht also ihre eigene, erreichbare robots.txt unter https://…/robots.txt; die HTTP-Adresse leitet wie alle anderen URLs per 301 dorthin weiter. Blockierregeln, die nur für die Umstellung gesetzt wurden, müssen anschließend wieder raus, sonst werden URLs dauerhaft vom Crawling ausgeschlossen.

Google Search Console & Analytics

In der Search Console unterscheidet Google bei URL-Präfix-Properties zwischen HTTP- und HTTPS-URL (auch wenn der Name der Website gleich ist). Am einfachsten legt man deshalb eine Domain-Property an: Sie fasst alle Protokolle und Subdomains zusammen und ist Voraussetzung für den HTTPS-Bericht, der zeigt, wie viele indexierte URLs noch über HTTP laufen. Wer bei URL-Präfix-Properties bleibt, klickt im Hauptmenü auf „Property hinzufügen“ und legt die Property (also URL) mit HTTPS-Kennzeichen zusätzlich an. Das Tool zur Adressänderung braucht man für den Wechsel von HTTP auf HTTPS laut Google ausdrücklich nicht. Die Property muss dann mit Google Analytics 4 verknüpft werden (Universal Analytics ist seit 2024 abgeschaltet), falls Daten aus der Search Console mit denen aus Analytics ins Verhältnis gesetzt werden sollen.

htaccess Datei

Hierdurch kann man die Weiterleitung von externen Links kontrollieren. Man weist die Links auf die neue HTTPS-URL hin. Dazu muss folgender Code verändert werden:

<ifModule mod_rewrite.c>

Wird zu

RewriteEngine On RewriteCond %{SERVER_PORT} !^443$ RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Im Landingpage-Modul nach HTTPS-URLs suchen

Im Landingpage-Modul aus unserer Toolbox kann der Nutzer gezielt seine Website überwachen, um sie ggf. hinsichtlich bestimmter Keywords zu optimieren. Dies beinhaltet strukturelle sowie inhaltliche Verbesserungen, die dazu dienen, einer Website im Google-Ranking eine stärkere Position zu geben.

Im Modul werden alle angelegten URLs unter dem Menüpunkt „Optimierungen Übersicht“ angezeigt. Man sieht zu welchen Keywords man rankt und wie u.a. der Wettbewerb zu diesem Keyword aussieht. Nun wird das HTTPS wichtig: Damit das Landingpage-Modul nicht nur HTTP-URLs, sondern auch HTTPS-URLs anzeigt, muss man in den Analyseeinstellungen genau einen Buchstaben einsetzen. Unter dem Menüpunkt „Eigene Vergleichs-Url“ setzt man nach dem „HTTP“ einfach ein „S“ ein und kann ab nun die angegebene URL als HTTPS (also als sicher) anzeigen lassen.

Die SEO Suite von PageRangers

Wenn du deine Website auf den neusten Stand bringen möchtest und ein Tool suchst, was dich dabei Unterstützt, dann teste uns doch einfach 14 Tage lang völlig unverbindlich und kostenlos!

Jetzt 14 Tage lang kostenlos und völlig unverbindlich testen