WordPress auf HTTPS umstellen

WordPress auf HTTPS umstellen ist unverzichtbar, um den Schutz sensibler Nutzerdaten und Transaktionen zu gewährleisten. Bereits das grüne Schloss-Icon signalisiert Besuchern, dass Ihre Website vertrauenswürdig und sicher ist. HTTPS verschlüsselt sämtliche Datenübertragungen zwischen Browser und Server und verhindert so das Abgreifen von Passwörtern oder Formularinhalten. Zudem honoriert Google sichere Verbindungen seit 2014 mit einem leichten Rankingvorteil, der Ihre Sichtbarkeit nachhaltig steigern kann. Laut SSL Pulse (2025) verfügen 71,3 % der 150.000 beliebtesten Websites weltweit über eine effektive SSL-Sicherheitskonfiguration

Warum auf HTTPS wechseln?

WordPress auf SSL umstellen erhöht nicht nur die Datensicherheit, sondern stärkt auch das Vertrauen Ihrer Besucher. Jede Anfrage wird verschlüsselt, sodass potenzielle Angreifer keine Einsicht in übertragene Informationen erhalten. Darüber hinaus bevorzugen Nutzer beim Online-Shopping und bei Kontaktformularen ausdrücklich Seiten mit sicherem Verbindungssymbol. Google belohnt HTTPS seit Jahren mit einem Rankingbonus, was besonders für neue Websites entscheidend sein kann. Indem Sie jetzt auf HTTPS wechseln, vermeiden Sie Browser-Warnmeldungen und senken die Absprungrate nachhaltig.

Vorteile von HTTPS (SSL Verschlüsselung)

HTTPS ist ein bestätigter Ranking-Faktor bei Google. Zugleich schützt die SSL-Verschlüsselung Daten und stärkt das Vertrauen Ihrer Besucher.

Diese Einordnung verbessert die Sichtbarkeit in den Suchergebnissen. Verschlüsselter Datenaustausch erschwert das Abgreifen sensibler Informationen, und das Schloss in der Adresszeile erhöht die Glaubwürdigkeit. Zudem unterstützen Sie die Erfüllung datenschutzrechtlicher Anforderungen wie der DSGVO.

Vor diesem Hintergrund ergeben sich in der Praxis die folgenden Vorteile:

• Erhöhte Datensicherheit durch Verschlüsselung
• Vertrauensgewinn beim Besucher durch das Schloss-Icon
• Besseres Ranking in Suchmaschinen
• Erfüllung von Datenschutzbestimmungen (z. B. DSGVO)

HTTPS per Plugin aktivieren

Plugins wie Really Simple Security automatisieren den Prozess der SSL-Aktivierung. Nach der Installation überprüft das Plugin Ihre Einstellungen und passt Ihre Website automatisch an, um eine sichere Verbindung zu gewährleisten. Dies ist eine benutzerfreundliche Option für diejenigen, die technische Herausforderungen vermeiden möchten.

WordPress manuell auf HTTPS umstellen

SSL-Zertifikat beschaffen & installieren

Zuerst wählen Sie das für Ihre Anforderungen passende Zertifikat: Kostenlose Domain-Validation-Zertifikate (DV), wie sie Let’s Encrypt anbietet, sind für die meisten Blogs und einfachen Websites völlig ausreichend. Möchten Sie jedoch mehr Vertrauen erwecken oder unterliegen Sie strengeren Compliance-Vorgaben, lohnt sich ein kostenpflichtiges Organization-Validation-Zertifikat (OV), das neben dem Domain-Besitz auch Unternehmensdaten prüft. Für höchste Vertrauenswürdigkeit und das grüne Adressfeld im Browser steht das Extended-Validation-Zertifikat (EV) zur Verfügung, ideal für E-Commerce-Shops und Finanzportale.

Darüber hinaus gibt es Wildcard-Zertifikate, die alle Subdomains einer Domain absichern (z. B. *.meinedomain.de), und Multi-Domain-/SAN-Zertifikate, mit denen Sie mehrere Domains unter einem einzigen Zertifikat schützen – praktisch für Agenturen oder miteinander verknüpfte Projekte.

Kostenlos vs. kostenpflichtig:

• DV-Zertifikate (kostenlos) sind schnell eingerichtet und decken Grundbedürfnisse ab.
• OV- und EV-Zertifikate (kostenpflichtig) bieten erweiterten Support, Garantien und bessere Markenwahrnehmung.

Achten Sie bei der Auswahl unbedingt auf Laufzeit, Support-Leistungen, Garantiehöhe und einfache Verlängerungsprozesse. Anschließend installieren Sie das Zertifikat entweder direkt im Hosting-Panel Ihres Providers oder manuell via FTP und Serverkonfiguration (Apache/Nginx), importieren die vollständige Zertifikatskette und legen private Schlüssel sicher ab. Abschließend richten Sie die HTTPS-Verbindung ein und prüfen, ob Ihre Domain unter https://… ohne Fehlermeldung erreichbar ist.

WordPress-Adresse ändern

Beginnen Sie mit diesem Schritt, damit die Website konsequent über HTTPS lädt und die Start- und Seiten-URLs korrekt sind. Melden Sie sich im Dashboard an und öffnen Sie Einstellungen → Allgemein. Tragen Sie bei WordPress-Adresse (URL) und Website-Adresse (URL) die Variante mit https:// und Ihrer bevorzugten Domain ein (mit oder ohne www – passend zum Zertifikat). Achten Sie auf eine identische Schreibweise beider Felder und speichern Sie; WordPress meldet Sie ggf. ab, danach erneut einloggen. Leeren Sie anschließend den Cache (Performance-Plugin/CDN), damit Besucher sofort die sichere Version erhalten. Für die restlichen internen Verlinkungen führen Sie danach das Kapitel URLs ersetzen aus (z. B. mit Better Search Replace), um WordPress auf HTTPS umstellen vollständig abzuschließen.

WordPress-Konfiguration anpassen

Nach dem Zertifikatsschritt ändern Sie in den WordPress-Allgemeineinstellungen die WordPress-Adresse (URL) und die Seiten-Adresse (URL) von http:// auf https://. Führen Sie anschließend eine Datenbank-Suche & Ersetzen durch (DBS), um alle internen Links anzupassen und Mixed-Content zu vermeiden. Erstellen Sie unbedingt vorab ein Backup Ihrer Datenbank – unser Backup-Ratgeber unterstützt Sie dabei. Aktivieren Sie im Code oder über wp-config.php:

define(‚FORCE_SSL_ADMIN‘, true);

Damit erzwingen Sie SSL im Admin-Bereich, was bei den meisten Hostern ebenfalls problemlos funktioniert.

Hartcodierte Verlinkungen umstellen

Statisch hinterlegte HTTP-Links sind konsequent auf HTTPS umzustellen, um Mixed-Content zu vermeiden und eine konsistente interne Verlinkung sicherzustellen.

Fest einprogrammierte Pfade in Themes, Plugins, Widgets oder E-Mail-Templates umgehen globale Umschreibungen. Das führt zu Warnhinweisen, fehlerhafter Auslieferung und schwächeren Rankings. Eine systematische Bereinigung verhindert Inkonsistenzen und Stabilitätsprobleme.

Beispiel für eine hartcodierte Verlinkung:

Vorher:

<a href="http://www.ihre-domain.de/meine-seite/">Meine Seite</a>

Nachher:

<a href="https://www.ihre-domain.de/meine-seite/">Meine Seite</a>

Beginnen Sie mit einer Suche nach http://ihredomain in Datenbank und Code. Führen Sie sichere Ersetzungen durch, etwa per WP-CLI search-replace oder Better Search Replace. Prüfen Sie Menüs, Widgets, Page-Builder-Inhalte, Theme-Templates, Shortcodes, E-Mail-Templates und Cron-Jobs. Aktualisieren Sie Canonicals, hreflang, Sitemap-Verweise und Weiterleitungen. Wiederholen Sie danach die Mixed-Content-Prüfung im Browser und mit einem Crawler und leeren Sie anschließend die Caches.

301-Weiterleitungen einrichten

Bevor Sie die eigentlichen Redirect-Regeln hinzufügen, legen Sie in Ihrer .htaccess eine globale Weiterleitung von HTTP auf HTTPS fest:

<IfModule mod_headers.c>

  # Umleitung http zu https

  RewriteEngine On

  RewriteCond %{HTTPS} !=on

  RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

</IfModule>

Damit stellen Sie sicher, dass alle Anfragen an Ihre HTTP-URLs automatisch und dauerhaft (301) auf die HTTPS-Variante weitergeleitet werden. Testen Sie anschließend im Browser und mit Online-Tools, ob alle URLs korrekt umgeleitet werden und keine Redirect-Schleifen auftreten.

Inhalte & Medien auf HTTPS migrieren

Um verbleibende Mixed-Content-Fehler aufzuspüren, nutzen Sie Browser-Developer-Tools und Online-Scanner. Ersetzen Sie alle HTTP-Verlinkungen in Inhalten und Medien per Plugin wie Better Search Replace. So gehen Sie vor:

1. Installieren und aktivieren Sie das Plugin.
2. Wählen Sie die zu durchsuchenden Tabellen (z. B. wp_posts, wp_postmeta).
3. Suchen Sie nach http://IhreDomain.de und ersetzen Sie durch https://IhreDomain.de.
4. Führen Sie zuerst einen Trockenlauf aus, um die betroffenen Einträge zu prüfen.
5. Starten Sie den Live-Lauf, wenn alle Ergebnisse korrekt erscheinen.
   Achten Sie darauf, dass auch CDN-Links und externe Ressourcen auf HTTPS umgestellt werden, um Browser-Warnungen zu vermeiden.

Weitere Anpassungen

robots.txt prüfen und anpassen

Die robots.txt muss die HTTPS-Variante sowie notwendige CSS- und JavaScript-Ressourcen zulassen.

Blockierende Einträge verhindern korrektes Crawling und Rendering. Dadurch werden Inhalte nicht vollständig erfasst und Ranking-Signale verfälscht. Ein Verweis auf die HTTPS-Sitemap führt Crawler zu den richtigen URLs. So bleibt die Indexierung konsistent.

Als erster Schritt prüfen Sie Ihre robots.txt, damit die HTTPS-Version Ihrer Website nicht unbeabsichtigt blockiert wird. Entfernen Sie veraltete Disallow-Einträge, die Ressourcen wie /wp-content/ oder /wp-includes/ für Crawler sperren, sofern diese zur Darstellung benötigt werden (CSS/JS).

Cache von Performance-Plugins leeren

Nach der Umstellung sind sämtliche Caches zu leeren, damit Assets mit HTTPS korrekt neu erzeugt und ausgeliefert werden.

Verbleibende Altversionen mit HTTP-Pfaden verursachen Mixed-Content-Warnungen und fehlerhafte Darstellungen. Das erneute Generieren kombinierter CSS und JS stellt konsistente Pfade sicher. Eine Prüfung im Inkognito-Modus bestätigt die vollständige Bereinigung.

Im Anschluss an die Umstellung leeren Sie sämtliche Caches (Seiten-Cache, OPCache, CDN-Cache) von Performance-Plugins wie etwa Caching- oder Minify-Lösungen. Löschen Sie zusätzlich kombinierte CSS/JS-Dateien, damit diese mit HTTPS-Pfaden neu erzeugt werden. Prüfen Sie danach stichprobenartig zentrale Seiten im Inkognito-Modus, um Alt-Assets aus dem Cache auszuschließen.

SSL prüfen

Nach den Weiterleitungen prüfen Sie Ihre Website ausgiebig auf Mixed-Content-Fehler, indem Sie die Browser-Konsole öffnen und alle Warnungen beheben. Nutzen Sie einen SSL-Check wie den Qualys SSL Labs Test, um die Konfiguration Ihres Zertifikats zu bewerten und Verbesserungspotenziale zu identifizieren. Überprüfen Sie zudem Formulare und Plugin-Funktionalitäten, da manche Erweiterungen spezielle HTTP-Einstellungen voraussetzen. Erst wenn alle Tests erfolgreich sind, gilt die Umstellung als abgeschlossen.

SEO und Performance

Suchmaschinen-Properties aktualisieren
Um sicherzustellen, dass Google Ihre HTTPS-Website korrekt crawlt und indexiert, richten Sie in der Google Search Console eine neue Property für https://ihredomain.de ein. Klicken Sie dazu auf „Property hinzufügen“, wählen Sie „URL-Präfix“ und geben Sie Ihre HTTPS-URL ein. Verifizieren Sie die Property über eine von Google bereitgestellte HTML-Datei, einen DNS-Eintrag oder das Google Analytics-Tracking-Skript. Nach der Verifizierung übermitteln Sie eine aktualisierte Sitemap (https://ihredomain.de/sitemap.xml) unter Sitemaps und prüfen unter Abdeckung, ob alle URLs erfolgreich indexiert werden. So vermeiden Sie, dass Google weiterhin Ihre alte HTTP-Version crawlt und potenziell doppelte Inhalte anlegt.

Auch in den Bing Webmaster Tools sollten Sie analog vorgehen: Fügen Sie unter „Property hinzufügen“ ebenfalls die HTTPS-Domain hinzu und verifizieren Sie per XML-Datei oder Meta-Tag. Reichen Sie dann Ihre Sitemap erneut ein und nutzen Sie den URL-Inspection-Bereich, um stichprobenartig einzelne URLs zu testen. Achten Sie auf Crawling-Fehler und korrigieren Sie gegebenenfalls fehlerhafte Redirects oder Blockierungen in der robots.txt. So gewährleisten Sie, dass auch Bing alle Inhalte Ihrer neuen HTTPS-Installation zeitnah und fehlerfrei indexiert.

Google Analytics & Tracking-Einstellungen

Öffnen Sie in Google Analytics die Verwaltung Ihrer Property und wechseln Sie unter Property-Einstellungen die Standard-URL auf https://. Passen Sie anschließend in der Datenansicht sämtliche Filter, Ziele und Event-Messungen an, die noch auf HTTP-URLs verweisen. Überprüfen Sie unter Echtzeit und Akquisition, ob der Traffic einwandfrei erfasst wird, und achten Sie besonders auf Referrer-Daten, die sich durch Umstellungen gelegentlich ändern können. Falls Sie Remarketing-Zielgruppen nutzen, passen Sie die entsprechenden Code-Snippets an, um verlorene Nutzersegmente zu vermeiden.

Ergänzend empfiehlt es sich, in Google Tag Manager alle Container-Einstellungen zu prüfen und ggf. vorhandene Custom HTML Tags oder Third-Party Scripts auf HTTPS-Kompatibilität umzustellen. Achten Sie außerdem auf Mixed-Content-Warnungen in Ihren Tracking-Skripten, da unsichere Referenzen sonst Tracking-Lücken verursachen können. Führen Sie nach Abschluss verschiedene Testaufrufe und Debug-Sessions über die Vorschau-Funktion durch, um sicherzustellen, dass alle Tags und Trigger wie gewohnt feuern.