Chrome warnt ab Oktober vor HTTP

Im Oktober 2026 ändert Google Chrome eine Einstellung, die jahrelang optional war. Ab Chrome 154 schaltet der Browser für alle Nutzer die Option „Immer sichere Verbindungen verwenden“ ein. Chrome versucht dann bei jeder Adresse zuerst HTTPS – und bevor es eine öffentliche Website lädt, die nur über unverschlüsseltes HTTP erreichbar ist, hält es an und zeigt dem Besucher eine Warnseite mit der Frage, ob er wirklich fortfahren möchte.

Die Änderung liegt in der Zukunft, und genau deshalb schreiben wir jetzt darüber. Für die meisten Unternehmen in Monaco wird sie folgenlos bleiben, weil ihre Website längst über HTTPS läuft. Für eine Minderheit – meist diejenigen, die ihre Website vor mehreren Jahren zum letzten Mal angefasst haben – verwandelt sie eine funktionierende Seite still in einen „Diese Website ist nicht sicher“-Bildschirm. Und im Unternehmen merkt es niemand, bis ein Kunde es erwähnt.

Was sich konkret ändert

Chrome bietet die Einstellung „Immer sichere Verbindungen verwenden“ seit 2022 als Opt-in an. Googles Ankündigung beschreibt eine Einführung in zwei Schritten: Im April 2026 hat Chrome 147 sie standardmäßig für Nutzer aktiviert, die den erweiterten Schutz („Enhanced Safe Browsing“) eingeschaltet haben – laut Google rund eine Milliarde Menschen. Im Oktober 2026 aktiviert Chrome 154 sie standardmäßig für alle.

Das Verhalten ist bewusst eng gefasst:

• Es betrifft nur öffentliche Websites – normale Domains wie beispiel.com oder ihrunternehmen.mc. Lokale Adressen, Intranets und Hostnamen ohne Punkt sind ausgenommen, weil Zertifikate dafür schwer zu bekommen sind.
• Die Warnung lässt sich umgehen: Der Besucher kann weiterklicken. Es ist aber eine ganzseitige Warnung, kein kleines Symbol.
• Chrome nervt nicht bei Seiten, die der Nutzer regelmäßig besucht. In Googles Tests sah der Median-Nutzer weniger als eine Warnung pro Woche.
• Nutzer können die Einstellung abschalten – doch die überwältigende Mehrheit ändert Browser-Voreinstellungen nie.

Nach Googles Zahlen entfallen je nach Plattform bereits 95 bis 99 % der Seitenaufrufe auf HTTPS. Deshalb erscheint der Wechsel des Standards unproblematisch. In den verbleibenden wenigen Prozent steckt der Ärger.

Warum diese letzten Prozent in Monaco zählen

Die Website eines Unternehmens in Monaco ist selten eine Seite mit viel Traffic. Sie ist eine Seite mit wenig Traffic und hohem Wert: eine Handvoll Besuche am Tag, darunter ein potenzieller Kunde, ein Vermieter, ein Family Office oder ein Journalist, der prüft, ob es Sie wirklich gibt. Eine Sicherheitswarnung in genau diesem Moment ist unverhältnismäßig teuer. Bei einem Vermögensverwalter, einer Klinik oder einem Yachtmakler klickt niemand auf „Trotzdem fortfahren“. Man schließt den Tab.

Am stärksten betroffen sind die Unternehmen, die man erwartet: eine Boutique, deren Website 2017 gebaut wurde und seither unverändert läuft; ein Restaurant, dessen Reservierungsseite auf einer Subdomain liegt, die niemand pflegt; eine Kanzlei, deren „vorläufige“ Seite dauerhaft geworden ist. Das sind keine nachlässigen Firmen. Es sind Firmen, für die die Website ein einmaliges Projekt war und kein laufendes System – genau die Lücke, die eine Website-Wartung schließen soll.

Die Fälle, die übersehen werden

Die Hauptseite ist meist in Ordnung. Wo wir regelmäßig reines HTTP finden, ist drumherum:

Alte Links im Umlauf. Gedruckte Broschüren, Visitenkarten, E-Mail-Signaturen, Google-Unternehmensprofile und Social-Media-Bios von vor Jahren enthalten oft noch http://. Leitet Ihr Server HTTP korrekt auf HTTPS um, erledigt Chrome das Upgrade geräuschlos. Fehlt die Umleitung oder ist sie auf einer Subdomain defekt, wird aus dem alten Link eine Warnung.

QR-Codes. Jede Speisekarte, jede Hotel-Willkommenskarte und jedes Veranstaltungsplakat im Fürstentum trägt inzwischen einen QR-Code – viele wurden einmal erzeugt und nie wieder geprüft. Ein QR-Code, der eine HTTP-Adresse zu einer Seite ohne gültiges Zertifikat enthält, löst die Warnung auf dem Handy des Gastes aus. Für Gastronomie und Hotellerie lohnt sich allein dafür ein zehnminütiger Check – es ist eines der wiederkehrenden Probleme, die wir bei Websites für Hotels und Restaurants sehen.

Zweitdomains. Kampagnen-Landingpages, die .com, die man zusammen mit der .mc gekauft hat, der alte Markenname, der noch Traffic weiterleitet. Weiterleitungsdomains sind oft beim Registrar konfiguriert – ganz ohne Zertifikat.

Gemischte Inhalte. Eine per HTTPS ausgelieferte Seite, die ein Skript, ein Bild oder eine Schrift per HTTP lädt. Chrome blockiert oder upgradet das meiste bereits, aber eine Seite, die von einer nur per HTTP verfügbaren Drittressource abhängt, kann auf eine Weise kaputtgehen, die nach Designfehler aussieht statt nach Sicherheitsproblem.

Abgelaufene Zertifikate. Nicht dasselbe Problem, aber dasselbe Symptom. Eine Website, die HTTPS hatte und das Zertifikat auslaufen ließ, steht schlechter da als eine, die es nie hatte. Und da Zertifikatslaufzeiten nach einem veröffentlichten Zeitplan kürzer werden, ist „jemand verlängert das manuell“ keine sichere Antwort mehr.

Ein 30-Minuten-Check ohne Entwickler

Für den ersten Durchgang braucht niemand technisches Wissen.

1. Öffnen Sie Ihre Website in Chrome. Gehen Sie zu Einstellungen, dann Datenschutz und Sicherheit, dann Sicherheit, und aktivieren Sie heute schon „Immer sichere Verbindungen verwenden“. Sie sehen dann genau das, was Ihre Besucher im Oktober sehen werden.
2. Geben Sie Ihre Adresse in jeder Form ein, die Sie je veröffentlicht haben: mit und ohne www, ausdrücklich mit http://, und alle Zweitdomains. Jede muss auf einer HTTPS-Seite mit Schloss und ohne Warnung landen.
3. Scannen Sie jeden QR-Code, den Sie im Druck haben, mit dem Handy. Prüfen Sie, welche Adresse er enthält – nicht nur, wo er am Ende landet.
4. Durchsuchen Sie Ihre E-Mail-Signatur, Ihr Google-Unternehmensprofil und Ihre Social-Media-Profile nach http://.
5. Notieren Sie alles, was eine Warnung, eine Umleitungskette oder eine kaputt wirkende Seite erzeugt hat.

Ist die Liste leer, sind Sie fertig. Wenn nicht, sind die Korrekturen meist klein: eine Umleitungsregel, ein Zertifikat auf einer vergessenen Subdomain, ein korrigierter Link. Vermeiden sollten Sie nur, diese Liste im November aus dem Screenshot eines Kunden zu erfahren.

Wenn die Website selbst das Problem ist

Gelegentlich bringt der Check etwas Größeres ans Licht: ein Hosting, das keine Zertifikate ausstellen kann, eine Plattform ohne Support, oder einen so alten Aufbau, dass das Flicken mehr kostet, als er wert ist. Dann lautet der ehrliche Rat nicht, HTTPS an etwas anzuschrauben, das beim nächsten Test wieder durchfällt. Eine sauber gebaute Website bringt HTTPS, automatische Zertifikatsverlängerung, Umleitungen und Sicherheits-Header serienmäßig mit, nicht als Extra – so gehen wir schlicht an jedes Projekt in der Webentwicklung heran.

Für in Monaco eingetragene Unternehmen kann ein solcher Neuaufbau über die Digitalprogramme der Regierung förderfähig sein – wir haben dazu eine eigene Seite zu Website-Projekten mit Fonds-Bleu-Förderung. Die Bedingungen ändern sich; prüfen Sie die aktuellen Regeln bei der Cellule Économie Numérique, bevor Sie damit planen.

Der Zeitpunkt

Im Oktober füllen außerdem die Assises de la Cybersécurité das Grimaldi Forum – eine passende Erinnerung daran, dass in Monaco die Sicherheitslage zunehmend etwas ist, wonach Kunden, Partner und Versicherer fragen. Eine Browserwarnung auf Ihrer Startseite ist der sichtbarste Weg, an dieser Frage zu scheitern, und einer der günstigsten zu beheben.

Sie haben noch ein paar Wochen. Wenn wir den Check für Sie durchführen und Ihnen klar sagen sollen, ob etwas kaputtgehen wird, nehmen Sie Kontakt auf.