SSL und HTTPSRatgeber

Zertifikatsfehler im Browser: Ursachen und Lösungen

Ein Zertifikatsfehler bedeutet, dass der Browser das Zertifikat einer Website nicht akzeptiert, meist weil es abgelaufen ist, nicht zum aufgerufenen Namen passt oder von einer unbekannten Stelle stammt. Als Besucher prüfst du zuerst die Uhrzeit deines Geräts und das Netz. Als Betreiber erneuerst du das Zertifikat oder ergänzt den fehlenden Namen oder das Zwischenzertifikat.

Ein geschlossenes Gartentor aus Holz mit schwerem Eisenriegel in der Abenddämmerung, dahinter ein schmaler Weg
Bild: KI-generiert

Statt der Website erscheint eine ganzseitige Warnung, in Chrome etwa mit dem Satz "Ihre Verbindung ist nicht privat" und einem Code darunter. Der Browser hat das Zertifikat des Servers geprüft und etwas gefunden, das nicht stimmt. Manchmal liegt der Fehler beim Server, manchmal beim eigenen Gerät oder Netz. Der Code unter der Warnung verrät, welcher Fall vorliegt. Diese Seite erklärt die häufigsten Codes aus Sicht von Besuchern und von Betreibern. Die Bezeichnungen stammen aus Chrome. Firefox zeigt für dieselben Fälle eigene Codes, zum Beispiel SEC_ERROR_EXPIRED_CERTIFICATE bei einem abgelaufenen Zertifikat, SSL_ERROR_BAD_CERT_DOMAIN bei einem nicht passenden Namen, SEC_ERROR_UNKNOWN_ISSUER bei einem unbekannten Aussteller und SEC_ERROR_REVOKED_CERTIFICATE bei einem widerrufenen Zertifikat [10, 11].

Die häufigsten Meldungen

Die Fehlercodes von Chrome sind im Quelltext des Chromium-Projekts mit einer kurzen Beschreibung hinterlegt [1]. Die folgende Tabelle fasst die wichtigsten zusammen. In der Warnung stehen sie mit dem Zusatz NET:: davor, etwa NET::ERR_CERT_DATE_INVALID.

CodeBedeutungWo die Ursache meist liegt
ERR_CERT_DATE_INVALIDZertifikat nach der Uhr des Browsers abgelaufen oder noch nicht gültigServer oder falsche Uhrzeit am Gerät
ERR_CERT_COMMON_NAME_INVALIDName im Zertifikat passt nicht zum aufgerufenen NamenServer
ERR_CERT_AUTHORITY_INVALIDAussteller ist dem Browser nicht vertrauenswürdigServer, Netz oder Sicherheitssoftware
ERR_CERT_REVOKEDZertifikat wurde widerrufenServer
ERR_CERT_WEAK_KEYSchlüssel zu schwach, etwa ein zu kurzer RSA-SchlüsselServer
ERR_SSL_VERSION_OR_CIPHER_MISMATCHkeine gemeinsame Protokollversion oder VerschlüsselungServer, selten ein sehr alter Browser

Zertifikat abgelaufen oder noch nicht gültig

Jedes Zertifikat hat einen Beginn und ein Ende der Gültigkeit, in RFC 5280 als notBefore und notAfter festgelegt [2]. Der Browser vergleicht beide Zeitpunkte mit der Uhr des eigenen Geräts. Chrome beschreibt ERR_CERT_DATE_INVALID ausdrücklich so: Das Zertifikat ist nach der eigenen Uhr noch nicht gültig oder schon abgelaufen [1]. Daraus ergeben sich zwei Ursachen.

Eine analoge Wanduhr und ein Tischkalender nebeneinander auf einem weißen Regal im Morgenlicht
Bild: KI-generiert

Zeigt der Fehler sich auf vielen Websites gleichzeitig, stimmt fast immer die Uhrzeit oder das Datum auf deinem Gerät nicht, etwa nach einem Batteriewechsel oder bei einem Rechner, der lange ausgeschaltet war. Stell die Uhr auf automatische Zeit ein und lade die Seite neu. Erscheint der Fehler nur bei einer Website, ist dort das Zertifikat abgelaufen. Das kann nur der Betreiber beheben.

Für Betreiber ist das der häufigste Fehler überhaupt, und mit den kürzeren Laufzeiten wird er häufiger, wenn die Erneuerung nicht automatisch läuft. Seit dem 15.03.2026 gelten neu ausgestellte Zertifikate höchstens 200 Tage, ab 2029 nur noch 47 Tage [3]. Wie du dich darauf einstellst, steht unter Laufzeit von SSL-Zertifikaten.

Name passt nicht zum Zertifikat

ERR_CERT_COMMON_NAME_INVALID heißt, dass der Name, den du aufgerufen hast, nicht im Zertifikat steht [1]. Typische Fälle: Das Zertifikat gilt für beispiel.de, aufgerufen wurde www.beispiel.de. Oder eine neue Subdomain wurde angelegt, aber nicht ins Zertifikat aufgenommen. Oder auf einem Server mit mehreren Websites liefert der Webserver für eine Domain das Zertifikat einer anderen aus, weil die Konfiguration für diese Domain fehlt.

Auch Wildcard-Zertifikate lösen diesen Fehler aus, wenn die Subdomain eine Ebene tiefer liegt. Nach RFC 9525 steht das Sternchen in *.beispiel.de für genau ein Namensteil, test.shop.beispiel.de ist also nicht abgedeckt [4]. Mehr dazu unter SSL für Subdomains: Wildcard oder einzelne Zertifikate.

Als Betreiber prüfst du, welche Namen im Zertifikat stehen, und lässt ein neues mit allen benötigten Namen ausstellen. Wer die www-Variante nicht nutzt, sollte sie trotzdem ins Zertifikat aufnehmen, damit die Weiterleitung von www auf die Hauptdomain ohne Warnung funktioniert.

Unbekannter Aussteller

ERR_CERT_AUTHORITY_INVALID bedeutet, dass der Browser der Stelle nicht vertraut, die das Zertifikat signiert hat [1]. Dafür gibt es drei häufige Gründe.

Eine Frau in den Zwanzigern sitzt mit einem Laptop in einem belebten Café, daneben eine Tasse Tee
Bild: KI-generiert

Erstens ein selbst signiertes Zertifikat, wie es viele Router, NAS-Systeme und Testserver von Haus aus mitbringen. Im eigenen Netz kannst du die Warnung bewusst hinnehmen, auf einer öffentlichen Website ist sie ein Fehler. Zweitens ein fehlendes Zwischenzertifikat. Der Server soll die ganze Kette mitschicken, damit der Browser die Signaturen bis zu einem vertrauenswürdigen Stammzertifikat prüfen kann, ohne Zwischenzertifikate nachzuladen [5]. Fehlt das Glied, zeigen manche Browser den Fehler, andere nicht, und der Betreiber sieht auf dem eigenen Rechner oft nichts. Die Lösung ist, auf dem Server die vollständige Kette einzubinden statt nur das eigene Zertifikat. Wie das geht, beschreibt SSL-Zertifikat installieren.

Drittens kann sich etwas zwischen dich und die Website schalten und die Verbindung mit einem eigenen Zertifikat aufbrechen. Das tun manche Sicherheitsprogramme, die verschlüsselte Verbindungen untersuchen, Firmennetze mit Prüfung des Datenverkehrs und im schlimmsten Fall Angreifer. Chrome kennt dafür einen eigenen Code, ERR_CERT_KNOWN_INTERCEPTION_BLOCKED, für Zertifikate, die bekanntermaßen zum Mitlesen durch jemand anderen als den Besitzer des Geräts genutzt werden [1].

Widerrufen, schwacher Schlüssel, alte Protokolle

ERR_CERT_REVOKED zeigt an, dass das Zertifikat widerrufen wurde [1]. Die Zertifizierungsstelle muss ein Zertifikat zum Beispiel innerhalb von 24 Stunden widerrufen, wenn der private Schlüssel kompromittiert ist [3]. Der Betreiber braucht dann ein neues Zertifikat mit neuem Schlüssel. ERR_CERT_WEAK_KEY meldet einen zu schwachen Schlüssel, etwa einen zu kurzen RSA-Schlüssel [1]. Auch hier hilft nur ein neues Zertifikat.

Seltener sind zwei weitere Codes. ERR_CERT_VALIDITY_TOO_LONG erscheint, wenn ein Zertifikat länger gilt als erlaubt [1]. Öffentliche Zertifizierungsstellen dürfen seit dem 15.03.2026 höchstens 200 Tage ausstellen [3]. ERR_CERTIFICATE_TRANSPARENCY_REQUIRED bedeutet, dass für die Verbindung ein Nachweis aus den öffentlichen Certificate-Transparency-Logs nötig war, der Server ihn aber nicht mitgeliefert hat [1]. Taucht der Fehler bei deiner eigenen Website auf, frag beim Aussteller des Zertifikats nach. Den Begriff erklärt das Glossar unter Certificate Transparency.

ERR_SSL_VERSION_OR_CIPHER_MISMATCH bedeutet, dass Browser und Server keine gemeinsame Protokollversion oder Verschlüsselung finden [1]. Das passiert bei Servern, die nur noch alte Verfahren anbieten. SSL 3.0 darf seit RFC 7568 von 2015 nicht mehr verwendet werden [6], TLS 1.0 und TLS 1.1 gelten seit RFC 8996 als veraltet [7]. Ein Server sollte TLS 1.2 und TLS 1.3 anbieten. Was die Versionen unterscheidet, steht unter SSL-Zertifikat: was es ist und welche Arten es gibt.

Was du als Besucher tun kannst

  1. Uhrzeit und Datum am Gerät prüfen, vor allem wenn mehrere Websites betroffen sind.
  2. Im öffentlichen WLAN, etwa im Café oder Hotel, zuerst die Anmeldeseite des Netzes aufrufen. Solche Netze verlangen oft eine Anmeldung über ein Portal, bevor andere Seiten laden; Chrome erkennt das häufig und bietet die Anmeldung an [8].
  3. Ein anderes Netz ausprobieren. Verschwindet der Fehler, lag es am Netz und nicht an der Website.
  4. Prüfen, ob eine Firewall oder ein Virenschutzprogramm die Verbindung blockiert; das nennt auch die Chrome-Hilfe als Ursache für Verbindungsfehler [8].
  5. Bleibt der Fehler nur bei einer Website, dem Betreiber Bescheid geben und dort keine Daten eingeben.

Die Schaltfläche, mit der sich manche Warnungen übergehen lassen, ist für eigene Geräte im Heimnetz gedacht. Auf fremden Websites solltest du sie nicht nutzen. Ein gültiges Zertifikat beweist umgekehrt nur, dass die Verbindung zur angezeigten Domain verschlüsselt ist. Ob hinter der Domain ein echter Anbieter steht, verrät es nicht. Woran du betrügerische Seiten erkennst, erklärt betrug.domain-root.de unter Phishing-Mails erkennen.

Wenn sich die Warnung nicht übergehen lässt

Bei manchen Websites fehlt die Schaltfläche zum Fortfahren ganz. Das liegt an HSTS. Eine Website kann dem Browser damit mitteilen, dass sie nur noch über HTTPS aufgerufen werden darf. RFC 6797 schreibt vor, dass der Browser bei einer solchen Website die Verbindung bei jedem Fehler der sicheren Verbindung abbrechen muss, auch bei Zertifikatsfehlern [9]. Die Norm rät, Nutzern dabei keine Möglichkeit zum Weiterklicken zu geben, weil das einem Angreifer in der Mitte die Tür öffnen würde [9].

Für Betreiber heißt das: Wer HSTS aktiviert hat, ist bei einem abgelaufenen Zertifikat für alle Besucher komplett offline. Mehr zu dieser Einstellung im Glossar unter HSTS und bei der Umstellung von HTTP auf HTTPS.

Prüfliste für Betreiber

  1. Ablaufdatum prüfen und die automatische Erneuerung testen.
  2. Alle Namen im Zertifikat mit allen Adressen vergleichen, unter denen die Website erreichbar ist, auch www und Subdomains.
  3. Prüfen, ob der Server die vollständige Kette samt Zwischenzertifikat ausliefert.
  4. Auf Servern mit mehreren Websites prüfen, ob jede Domain ihr eigenes Zertifikat bekommt.
  5. Alte Protokolle abschalten und TLS 1.2 und TLS 1.3 anbieten.
  6. Nach jeder Änderung die Konfiguration neu laden und mit einem Browser in einem privaten Fenster testen.

Welche Zertifikate für deine Domain ausgestellt wurden und wann sie ablaufen, zeigt der SSL-Check. Ist die Website trotz gültigem Zertifikat nicht erreichbar, hilft Website nicht erreichbar: Fehlersuche Schritt für Schritt weiter.

Ein Mann in den Fünfzigern mit Lesebrille hakt auf einer Werkbank eine Liste ab, daneben ein kleiner Server
Bild: KI-generiert
  1. Organisation net_error_list.h (Fehlercodes des Chromium-Netzwerkstapels). The Chromium Projects. Stand laufend. abgerufen am 29.10.2026
  2. Gesetz RFC 5280: Internet X.509 Public Key Infrastructure Certificate and CRL Profile, Abschnitt 4.1. IETF. Stand Mai 2008. abgerufen am 29.10.2026
  3. Organisation Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates, Version 2.3.1, Abschnitte 4.9.1.1 und 6.3.2. CA/Browser Forum. Stand 04.10.2026. abgerufen am 29.10.2026
  4. Gesetz RFC 9525: Service Identity in TLS, Abschnitt 6.3. IETF. Stand November 2023. abgerufen am 29.10.2026
  5. Organisation Chains of Trust. Let's Encrypt. Stand 08.07.2026. abgerufen am 29.10.2026
  6. Gesetz RFC 7568: Deprecating Secure Sockets Layer Version 3.0. IETF. Stand Juni 2015. abgerufen am 29.10.2026
  7. Gesetz RFC 8996: Deprecating TLS 1.0 and TLS 1.1. IETF. Stand März 2021. abgerufen am 29.10.2026
  8. Organisation Verbindungs- und Ladefehler in Chrome beheben. Google. Stand ohne Datum. abgerufen am 29.10.2026
  9. Gesetz RFC 6797: HTTP Strict Transport Security (HSTS), Abschnitte 8.4 und 12.1. IETF. Stand November 2012. abgerufen am 29.10.2026
  10. Organisation SECerrs.h: Fehlermeldungen der Sicherheitsbibliothek NSS in Firefox. Mozilla. Stand laufend. abgerufen am 29.10.2026
  11. Organisation SSLerrs.h: SSL-Fehlermeldungen der Sicherheitsbibliothek NSS in Firefox. Mozilla. Stand laufend. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.

Weitere Artikel