WordPress auf HTTPS umstellen: In einfachen Schritten dank SSL von http auf https

Noch kein HTTPS? Dann wird’s höchste Zeit. Chrome markiert deine Seite als „unsicher“. Google bewertet dich schlechter. Und deine Besucher? Die sehen das grüne Schloss nicht – und vertrauen dir weniger. Die gute Nachricht: WordPress von HTTP auf HTTPS umzustellen ist kein Hexenwerk. Du brauchst ein SSL-Zertifikat, ein paar Anpassungen und vielleicht ein Plugin. In diesem Artikel zeigen wir dir, wie du WordPress auf HTTPS umstellen kannst – Schritt für Schritt, ohne Stress. Egal ob dir der Umzug nach HTTPS ansteht oder du einfach checken willst, ob alles sauber läuft. Hier findest du alles.

Was sind HTTPS und SSL und warum ist das wichtig?

Fangen wir kurz bei den Basics an. HTTPS steht für „Hypertext Transfer Protocol Secure“. Das S am Ende macht den Unterschied. Es bedeutet, dass die Verbindung zwischen Browser und Server verschlüsselt ist. Das Internetprotokoll SSL (bzw. der Nachfolger TLS) sorgt für diese Verschlüsselung.

Wenn jemand auf deiner Seite ein Formular ausfüllt, sich einloggt oder Daten eingibt – SSL verschlüsselt das alles. Ohne SSL läuft die Kommunikation im Klartext. Jeder, der im selben Netzwerk hängt, könnte theoretisch mitlesen. Nicht ideal.

Aber es geht nicht nur um Sicherheit. Die Vorteile der SSL Verschlüsselung gehen weiter. Google nutzt HTTPS als Ranking-Faktor. Chrome zeigt bei HTTP-Seiten prominent „Nicht sicher“ an. Und mal ehrlich: Eine Webadresse mit HTTP wirkt 2026 einfach veraltet. Die Umstellung auf HTTPS ist kein Nice-to-have mehr. Es ist Standard.

 

Welches SSL-Zertifikat brauchst du – und bekommst du ein Zertifikat kostenlos?

Bevor du irgendetwas umstellst, brauchst du ein SSL-Zertifikat auf dem Server installiert. Ohne Zertifikat kein HTTPS. So einfach ist das.

Die gute Nachricht: Du musst dafür kein Geld ausgeben. Let’s Encrypt bietet kostenlose SSL-Zertifikate an, die von allen Browsern akzeptiert werden. Die meisten Hoster – ob All-Inkl, Raidboxes oder IONOS – bieten Let’s Encrypt direkt im Hosting-Panel an. Ein Klick, Zertifikat aktiv. Manche Hoster haben auch eigene kostenlose Zertifikate.

Es gibt auch kostenpflichtige Zertifikate. Die bieten erweiterte Validierung oder Wildcard-Funktionen für Subdomains. Für die meisten WordPress-Seiten reicht aber ein kostenloses Zertifikat vollkommen aus. Prüfe in deinem Hosting-Dashboard, ob ein SSL-Zertifikat für deine Domain bereits aktiv ist. Wenn ja: weiter geht’s. Wenn nein: erst aktivieren, dann weiterlesen.

 

Wie kannst du WordPress auf HTTPS umstellen? Die URL umstellen

Zertifikat installiert? Gut. Jetzt muss WordPress wissen, dass es per HTTPS erreichbar ist. Dafür gehst du ins Backend unter Einstellungen → Allgemein. Falls du nicht mehr genau weißt, wie du zum WordPress-Backend gelangst: Hier findest du eine Anleitung zum WordPress Admin Login. Dort kannst du dich anmelden und die HTTPS-Umstellung direkt in den Einstellungen vornehmen.

Dort findest du zwei Felder: „WordPress-Adresse (URL)“ und „Website-Adresse (URL)“.

Beide stehen wahrscheinlich noch auf https://deinedomain.de. Ändere das http zu https – in beiden Feldern. Speichern. WordPress loggt dich danach aus. Das ist normal. Meld dich einfach erneut an – diesmal schon per HTTPS.

Damit hast du die grundlegende URL umgestellt. WordPress speichert ab jetzt alle neuen Inhalte mit HTTPS in der URL. Aber – und das ist ein wichtiges Aber – die alten URLs in deiner Datenbank sind noch auf HTTP. Dazu kommen wir gleich.

 

Wie aktualisierst du alle URLs in der Datenbank bei der Umstellung von WordPress auf SSL?

Hier kommt der Teil, den viele vergessen. Dass WordPress die URLs im Backend auf HTTPS geändert hat, heißt noch nicht, dass alle internen Links, Bilder und Medien-URLs ebenfalls auf HTTPS zeigen. Die alten URLs mit HTTP stecken noch in der Datenbank. In Beiträgen, Seiten, Widget-Texten, überall.

Die Lösung: Ein Plugin wie Better Search Replace. Das kostenlose Plugin durchsucht deine komplette Datenbank und ersetzt alle Vorkommen von https://deinedomain.de durch https://deinedomain.de. Plugin installieren, unter Werkzeuge → Better Search Replace aufrufen, Suchen-und-Ersetzen starten. Vorher unbedingt ein Backup machen. Ernsthaft.

Das Plugin Better Search Replace hat einen Testlauf-Modus. Aktiviere den zuerst. Dann siehst du, wie viele Einträge betroffen sind, ohne dass etwas geändert wird. Wenn alles passt: Testlauf deaktivieren, erneut ausführen. Fertig. Alle alten URLs mit HTTP werden durch die neuen URLs mit HTTPS ersetzt. Damit hast du die Datenbank sauber auf den neuen Stand gebracht und die alten http-Links bereinigt.

 

Was ist Mixed Content – und wie wirst du ihn bei der Umstellung auf https los?

Mixed Content ist das nervigste Problem bei der Umstellung von WordPress auf HTTPS. Es bedeutet: Deine Seite wird zwar per HTTPS geladen, aber einzelne Ressourcen – Bilder, Scripts, Stylesheets – werden noch per HTTP eingebunden. Das reicht, damit Chrome das Schloss-Symbol nicht anzeigt. Oder schlimmer: die Seite als unsicher markiert.

Woher kommt Mixed Content? Meistens von URLs, die du bei der Datenbank-Bereinigung übersehen hast. Oder von externen Ressourcen, die noch über HTTP laufen. Auch hardcodierte Links in deinem Theme oder in Plugins sind häufige Übeltäter.

Zum Finden: Öffne deine Seite in Chrome, Rechtsklick → Untersuchen → Konsole. Dort siehst du Mixed-Content-Warnungen mit den betroffenen URLs. Die musst du dann manuell auf HTTPS ändern oder – wenn der externe Service kein HTTPS bietet – durch eine Alternative ersetzen. Erst wenn kein Mixed Content mehr da ist, zeigt der Browser das grüne Schloss und deine Seite ist vollständig per SSL verschlüsselt.

 

Wie erzwingst du HTTPS Verschlüsselung per .htaccess-Weiterleitung?

Jetzt der wichtige Teil: Du willst sicherstellen, dass wirklich jeder Aufruf auf HTTPS weitergeleitet wird. Auch wenn jemand die alte HTTP-Version direkt aufruft. Dafür brauchst du eine Weiterleitung in der .htaccess-Datei.

Folgenden Code fügst du ganz oben in deine .htaccess ein:

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

Damit wird jeder HTTP-Aufruf automatisch auf HTTPS umgeleitet. Ein 301-Redirect – also permanent. So wird jede alte HTTP-URL auf HTTPS weitergeleitet. Suchmaschinen verstehen das und aktualisieren ihren Index entsprechend.

Ohne diese Weiterleitung wäre deine Seite theoretisch unter HTTP und HTTPS erreichbar. Doppelte Inhalte, gespaltenes Ranking, Chaos. Also: .htaccess anpassen, HTTP auf HTTPS erzwingen. Nicht optional. Damit stellst du sicher, dass deine WordPress-Seite auf HTTPS ausschließlich per HTTPS aufgerufen wird.

 

Geht das auch einfacher via Plugins? Die Umstellung mit Really Simple SSL

Ja, es geht einfacher. Wenn du nicht manuell in der Datenbank und .htaccess rumschrauben willst, nimm das Plugin Really Simple SSL. Es ist das populärste Tool für die SSL Umstellung und macht fast alles automatisch.

Sobald du das Plugin installiert und aktiviert hast, erkennt es dein SSL-Zertifikat und passt die WordPress-URLs an. Es setzt einen internen Redirect von HTTP zu HTTPS und fixt viele Mixed-Content-Probleme automatisch. Das kostenlose Plugin reicht für die meisten Seiten.

Kleiner Haken: Really Simple SSL löst das Problem auf Plugin-Ebene. Wenn du das Plugin deaktivierst, fällt alles zurück auf HTTP. Die sauberere Lösung ist die manuelle Variante – URLs in der Datenbank ersetzen, .htaccess anpassen, fertig. Dann bist du nicht von einem Plugin abhängig. Aber für schnelle Ergebnisse oder wenn dir die Technik nicht liegt: Simple SSL ist eine solide Lösung.

 

Was musst du nach der Umstellung von WordPress auf https in der Google Search Console tun?

Deine Seite läuft jetzt auf HTTPS. Schön. Aber Google kennt noch die alte HTTP-Version. In der Google Search Console musst du deshalb eine neue Property mit HTTPS hinzufügen. Die alte HTTP-Property bleibt bestehen – nicht löschen.

Erstelle also eine neue Property für https://deinedomain.de. Reiche die Sitemap erneut ein. Prüfe, ob Google die Seiten auf HTTPS korrekt crawlt und indexiert. Das dauert ein paar Tage, manchmal Wochen. Sei geduldig.

Auch wichtig: Wenn du externe Tools nutzt – Google Analytics, Bing Webmaster Tools, Social Media Tracker – aktualisiere dort ebenfalls die URLs. Überall, wo deine Domain hinterlegt ist, muss jetzt HTTPS stehen. Sonst trackst du ins Leere oder verfälschst deine Daten. Die Google Search Console zeigt dir auch, ob noch Seiten auf HTTPS Probleme machen.

 

Welche häufigen Fehler passieren bei der Umstellung von HTTP auf HTTPS?

Fehler Nummer eins: Kein Backup. Vor jeder Umstellung ein vollständiges Backup machen. Datenbank und Dateien. Wenn etwas schiefgeht, willst du zurück können.

Fehler zwei: URLs nur im Backend ändern, aber die Datenbank vergessen. Dann hast du überall noch alte HTTP-Links. Ergebnis: Mixed Content ohne Ende. Das Plugin Better Search Replace existiert genau für diesen Zweck – nutze es.

Fehler drei: Keine Weiterleitung einrichten. Wenn HTTP-Aufrufe nicht auf HTTPS umgeleitet werden, hast du deine Seite doppelt im Netz. Google mag das nicht. Deine Besucher auch nicht. Und: dass bei der Umstellung auch externe Dienste aktualisiert werden müssen, vergessen die meisten komplett. Google Search Console, Analytics, Bing – alles anpassen. Lieber einmal zu viel prüfen als zu wenig.

Ein weiterer sinnvoller Schritt nach der HTTPS-Umstellung ist die Absicherung deines WordPress-Logins. Die Standard-Login-Adresse von WordPress ist ein beliebtes Ziel für automatisierte Angriffe. Mit einer individuellen Login-URL reduzierst du unnötige Zugriffsversuche. Wie das funktioniert, zeigen wir dir in dieser Anleitung zum WordPress Login-URL ändern.

 

Wie überprüfst du, ob die SSL Verschlüsselung sauber funktioniert?

Rufe deine Seite im Browser auf. Siehst du das Schloss-Symbol? Gut, erster Test bestanden. Klick auf verschiedene Seiten, Beiträge, Archive. Überall HTTPS in der URL? Noch besser.

Dann: Rufe deine Seite bewusst mit HTTP auf. Wirst du automatisch auf HTTPS weitergeleitet? Wenn ja: .htaccess funktioniert. Wenn nein: nochmal prüfen.

Für den Deep-Check gibt’s Tools wie Why No Padlock oder den SSL Server Test von Qualys. Die zeigen dir genau, ob dein Zertifikat korrekt installiert ist, ob SSL funktioniert und ob Mixed Content vorliegt. Auch den Code deiner Seite kannst du per „Quelltext anzeigen“ durchsuchen – einfach nach https:// suchen. Alles, was nicht HTTPS ist, muss weg. Erst wenn alles sauber ist, bist du durch. Und deine WordPress-Seite ist endlich so sicher, wie sie sein sollte.

 

 

Das Wichtigste auf einen Blick

• HTTPS verschlüsselt die Verbindung zwischen Browser und Server – Pflicht für jede WordPress-Seite.
• Du brauchst ein SSL-Zertifikat – kostenlos über Let’s Encrypt bei den meisten Hostern verfügbar.
• Im WordPress-Backend die URLs auf HTTPS ändern unter Einstellungen → Allgemein.
• Alle alten HTTP-URLs in der Datenbank ersetzen – am besten mit dem Plugin Better Search Replace.
• Mixed Content finden und beheben – Chrome-Konsole zeigt betroffene Ressourcen an.
• HTTPS per .htaccess erzwingen mit einem 301-Redirect von HTTP auf HTTPS.
• Alternative: Das Plugin Really Simple SSL macht vieles automatisch, erzeugt aber eine Plugin-Abhängigkeit.
• Google Search Console aktualisieren: Neue Property mit HTTPS anlegen, Sitemap einreichen.
• Vor der Umstellung immer ein Backup machen – Datenbank und Dateien.
• Nach der Umstellung alles testen: Schloss-Symbol, Weiterleitungen, Mixed Content, externe Dienste.