Chrome fragt jetzt vor jeder HTTP-Seite nach
Google Chrome verlangt seit Oktober 2026 für alle Nutzer eine Bestätigung, bevor eine unverschlüsselte HTTP-Verbindung aufgebaut wird. Was Unternehmen mit alten Microsites, Weiterleitungen und Geräte-Oberflächen jetzt prüfen sollten.
Unverschlüsselte Webseiten waren in Chrome bisher an einem kleinen Hinweis „Nicht sicher" in der Adresszeile zu erkennen. Das ändert sich jetzt: Wie Google am 21. Oktober 2026 im eigenen Blog angekündigt hat, fragt Chrome künftig bei allen Nutzern um Erlaubnis, bevor eine unverschlüsselte HTTP-Verbindung aufgebaut wird. Google formuliert es so:
„Chrome explicitly asks users for permission before making an insecure HTTP connection."
Was sich ändert
Die Einstellung „Immer verschlüsselte Verbindungen verwenden" ist damit standardmäßig eingeschaltet. Laut heise geschieht das mit Chrome 155, auf dem Desktop und unter Android. Chrome versucht zuerst, eine Seite über HTTPS zu laden. Gelingt das nicht, erscheint beim ersten Besuch einer reinen HTTP-Seite eine Warnung, die der Nutzer bestätigen muss. Danach bleibt die Seite still, bis sie mindestens zwei Wochen lang nicht besucht wurde.
Google begründet den Schritt unter anderem mit einer Lücke im bisherigen Hinweis: Das „Nicht sicher"-Zeichen kann bei kurzen HTTP-Zwischenschritten wie Weiterleitungen gar nicht erscheinen. Gerade dort lassen sich Verbindungen aber umleiten oder manipulieren.
Ganz neu ist die Funktion nicht. Google hatte sie im vergangenen Jahr angekündigt und Anfang 2026 zunächst für Nutzer im Modus „Erweiterter Schutz" eingeschaltet. Jetzt gilt sie für alle.
Ausnahmen für das interne Netz
Keine Warnung zeigt Chrome bei einteiligen Hostnamen wie „intranet" und bei lokalen IP-Adressen wie 192.168.0.1. Google hält diese Fälle für weniger riskant, weil ein Angreifer dafür im lokalen Netz sitzen müsste. Interne Werkzeuge mit vollständigem Domainnamen, etwa wiki.firma.local oder eine Subdomain der Firmenadresse, fallen nach dieser Beschreibung nicht unter die Ausnahme.
Wie viele Nutzer das überhaupt trifft, zeigt Googles eigene Auswertung: Nach den ersten Daten sehen fast 95 Prozent der Desktop-Nutzer in einer Woche gar keine HTTP-Warnung, weniger als ein Prozent sehen drei oder mehr. Laut heise laufen 95 bis 99 Prozent der Seitenaufrufe in Chrome bereits über HTTPS. Wer betroffen ist, ist es dafür umso sichtbarer.
Wo es in Unternehmen hakt
Die Hauptseite eines Unternehmens läuft heute fast immer verschlüsselt. Probleme machen eher die Ränder:
- Alte Microsites und Kampagnenseiten, die seit Jahren niemand angefasst hat.
- Weiterleitungen, etwa von einer alten Domain oder aus Newslettern, die zunächst über HTTP laufen.
- Links in gedruckten Unterlagen und QR-Codes, die noch auf
http://zeigen. - Weboberflächen von Geräten wie Druckern, Telefonanlagen, Kameras oder Steuerungen, die über einen Hostnamen statt über die IP aufgerufen werden.
- Tracking- und Bilddienste in E-Mails oder Seiten, die noch unverschlüsselt angebunden sind.
Für Kunden sieht eine Warnung vor der eigenen Seite unprofessionell aus, auch wenn technisch nur eine alte Weiterleitung schuld ist.
Was das für Ihr Unternehmen heißt
- Bestand erfassen: Alle Domains und Subdomains auflisten, die Sie betreiben, auch die vergessenen. Jede davon einmal mit
http://aufrufen und prüfen, ob sie direkt auf HTTPS umleitet. - Weiterleitungen direkt auf HTTPS: Alte Domains sollten unmittelbar auf die verschlüsselte Zieladresse zeigen, ohne HTTP-Zwischenschritt. HSTS sorgt zusätzlich dafür, dass der Browser gar nicht erst unverschlüsselt anfragt.
- Zertifikate automatisieren: Mit ACME und Let's Encrypt oder dem Zertifikatsdienst Ihres Hosters erneuern sich Zertifikate automatisch. Wie schnell ein Zertifikat ungültig werden kann, zeigt der Fall eMudhra.
- Interne Werkzeuge prüfen: Geräte und Intranet-Anwendungen mit vollständigem Hostnamen bekommen ein Zertifikat, notfalls aus einer internen Zertifizierungsstelle, die auf den Firmenrechnern als vertrauenswürdig hinterlegt ist.
- Mitarbeitende vorbereiten: Wer eine HTTP-Warnung sieht, sollte nicht reflexhaft auf „Weiter" klicken, sondern melden, welche Seite betroffen ist.
Fazit
Für die meisten Websites ändert sich nichts, sie laufen längst verschlüsselt. Wer aber alte Domains, Kampagnenseiten oder Geräteoberflächen mit HTTP betreibt, wird es jetzt merken, und zwar zuerst bei seinen Kunden. Eine halbe Stunde für einen Rundgang über alle eigenen Adressen lohnt sich. Wenn Sie dabei Unterstützung möchten oder Ihre Weiterleitungen und Zertifikate einmal sauber aufstellen wollen, sprechen Sie mich gern an.
