SSL-Zertifikatsfehler: was sie bedeuten und wie Sie sie beheben

Zuletzt geprüft: 20.10.2026

Meldet der Browser „Dies ist keine sichere Verbindung“, hat das Zertifikat auf dem Server eine von wenigen Prüfungen nicht bestanden. Der Fehlercode verrät, welche. Wer weiß, wo er nachsehen muss, behebt die meisten in wenigen Minuten.

Kurz gesagt

Die meisten Fehler haben eine von vier Ursachen: abgelaufenes Zertifikat, Zertifikat ohne den aufgerufenen Namen, fehlendes Zwischenzertifikat oder ein Aussteller, dem der Browser nicht vertraut.
Kostenlose Zertifikate wie die von Let's Encrypt sind kurzlebig – automatische Verlängerung ist Pflicht.
Seit dem 15. März 2026 dürfen öffentlich vertrauenswürdige Zertifikate höchstens 200 Tage gültig sein; 2027 sinkt das auf 100, 2029 auf 47 Tage.
Prüfen Sie das Zertifikat mit dem SSL-Check und lassen Sie sich von der Überwachung vor dem Ablauf warnen.

Fehlercodes

Fehler (Chrome)	Bedeutung	Lösung
`NET::ERR_CERT_DATE_INVALID`	Das Zertifikat ist abgelaufen oder noch nicht gültig	Verlängern und den Webserver neu laden; wirkt es gültig, die Uhrzeit des Geräts prüfen.
`NET::ERR_CERT_COMMON_NAME_INVALID`	Das Zertifikat deckt den aufgerufenen Namen nicht ab	Ein Zertifikat mit allen genutzten Namen ausstellen: example.de, www.example.de und Subdomains (oder Wildcard).
`NET::ERR_CERT_AUTHORITY_INVALID`	Aussteller nicht vertrauenswürdig: selbstsigniert, interne CA oder fehlendes Zwischenzertifikat	Eine öffentlich vertrauenswürdige CA nutzen und die vollständige Kette installieren.
`ERR_SSL_VERSION_OR_CIPHER_MISMATCH`	Der Server bietet nur veraltete Protokolle oder Verschlüsselungen	TLS 1.2 und TLS 1.3 aktivieren.
`NET::ERR_CERT_REVOKED`	Die CA hat das Zertifikat widerrufen	Neues Zertifikat beschaffen, bei kompromittiertem Schlüssel auch einen neuen Schlüssel.
`ERR_TOO_MANY_REDIRECTS`	Weiterleitungsschleife zwischen HTTP und HTTPS, oft mit CDN im „Flexible“-Modus	Am CDN Full/Strict nutzen und auf dem Server nur eine Weiterleitung behalten.

Abgelaufenes Zertifikat

Firefox zeigt das als SEC_ERROR_EXPIRED_CERTIFICATE. Let's-Encrypt-Zertifikate gelten 90 Tage und werden von einem ACME-Client wie certbot oder vom Hosting-Panel automatisch verlängert. Die Verlängerung scheitert oft unbemerkt: Port 80 wurde geschlossen, das DNS zeigt auf einen anderen Server, oder der Webserver wurde nach dem neuen Zertifikat nicht neu geladen.

Die Regeln des CA/Browser Forums verkürzen die Laufzeiten: höchstens 398 Tage bis zum 15. März 2026, danach 200 Tage, ab dem 15. März 2027 100 Tage und ab dem 15. März 2029 47 Tage. Manuelles Verlängern ist damit nicht mehr praktikabel – automatisieren Sie es mit ACME.

Fehlendes Zwischenzertifikat

Der Server muss sein eigenes Zertifikat zusammen mit dem oder den Zwischenzertifikaten ausliefern. Desktop-Browser füllen die Lücke oft aus dem Cache, deshalb „funktioniert es bei mir“, scheitert aber auf Smartphones, in Apps, mit curl oder in API-Clients. Installieren Sie die vollständige Kette: fullchain.pem bei Let's Encrypt, das Feld „CA-Bundle“ in Hosting-Panels. Der SSL-Check zeigt, ob die Kette vollständig ist.

Falscher Name

Welche Namen ein Zertifikat abdeckt, steht im Feld SAN (Subject Alternative Name); Firefox meldet den Fehler als SSL_ERROR_BAD_CERT_DOMAIN. Ein Wildcard-Zertifikat wie *.example.de deckt genau eine Ebene ab (shop.example.de), nicht example.de selbst und nicht a.b.example.de. Öffnet die Seite auch mit www, müssen beide Namen enthalten sein.

Weitere Ursachen

Gemischte Inhalte: Eine HTTPS-Seite lädt Skripte, Bilder oder Stylesheets über http://; das Schloss verschwindet oder Inhalte werden blockiert. Stellen Sie die Adressen auf https:// um.
HSTS: Hat eine Website einmal HSTS gesendet, lassen Browser Zertifikatsfehler bis zum Ablauf von max-age nicht mehr übergehen. Die Lösung ist ein korrektes Zertifikat, nicht das Abschalten von HTTPS.
CAA: Hat Ihre Domain CAA-Einträge, dürfen nur die dort genannten CAs ausstellen; fehlt Ihre, schlägt die Verlängerung fehl.
Eine falsche Uhrzeit auf dem Gerät lässt Zertifikate abgelaufen oder noch nicht gültig erscheinen.
Virenscanner und Firmen-Proxys, die HTTPS prüfen, zeigen ihr eigenes Zertifikat; der Fehler tritt dann nur in diesem Netz oder auf diesem Gerät auf.

Prüfen und benachrichtigt werden

Der SSL-Check zeigt Gültigkeit, abgedeckte Namen, Kette, TLS-Versionen, HSTS, die Weiterleitung von HTTP auf HTTPS und CAA-Einträge.
Fügen Sie die Domain der Überwachung hinzu: Sie erhalten eine E-Mail oder Telegram-Nachricht vor dem Ablauf und wenn das Zertifikat ungültig wird.

Quellen

Dieser Ratgeber fasst öffentliche Informationen zusammen und ist keine Rechtsberatung.