Chrome warnt jetztvor deiner Website.

Chrome beantwortet die Frage inzwischen für dich. Google hatte angekündigt, dass „Always Use Secure Connections" mit Chrome 154 im Oktober 2026 zum Standard wird — weil Chrome seit Version 153 (8. September 2026) aber alle zwei Wochen erscheint statt alle vier, ist Chrome 154 schon am 22. September 2026 stabil ausgeliefert worden. Die Umstellung läuft also seit Ende September. Eine Vorstufe lief bereits seit April 2026 für alle Nutzer mit erweitertem Safe Browsing. Besucher bekommen dann vor dem ersten Aufruf einer öffentlichen Seite ohne HTTPS eine Warnung angezeigt (Google Online Security Blog).

Das ist ein Unterschied ums Ganze. Bis jetzt stand neben der Adresse ein graues „Nicht sicher", das die meisten übersehen haben. Jetzt steht eine Seite davor.

Nehmen wir das zum Anlass für eine ehrliche Bestandsaufnahme. Nicht nach Geschmack — sondern nach Stichtagen, die man nachschlagen kann.

Prüfung 1: Die Adresszeile

Tipp http://deinedomain.de ein, ohne das s. Springt die Adresse auf https:// um?

Wenn nicht, läuft deine Seite unverschlüsselt. Chrome markiert das seit Juli 2018 als „nicht sicher" — und jetzt kommt eine Warnseite davor. Ein Zertifikat gibt es bei praktisch jedem Hoster kostenlos.

Prüfung 2: Der Quelltext

Rechtsklick auf die Seite, „Seitenquelltext anzeigen" (oder Strg+U). Dann mit Strg+F nach diesen Begriffen suchen. Jeder Treffer hat ein Datum.

.swf oder shockwave-flash

Adobe hat den Flash Player am 31. Dezember 2020 eingestellt und blockiert seit dem 12. Januar 2021 die Ausführung von Flash-Inhalten (Adobe). Chrome hat Flash mit Version 88 komplett entfernt. Was da eingebunden ist, läuft in keinem aktuellen Browser mehr. Das ist kein Schönheitsfehler, das ist ein Loch in der Seite.

jquery-1., jquery-2. oder jquery-3.0 bis jquery-3.4

Hier lohnt der genaue Blick, denn die beiden bekannten Cross-Site-Scripting-Lücken decken unterschiedliche Bereiche ab: CVE-2020-11022 ab Version 1.12.0 und CVE-2020-11023 schon ab 1.0.3 — beide bis vor 3.5.0, behoben im April 2020. Ob sie sich ausnutzen lassen, hängt zusätzlich davon ab, wie die Seite fremdes HTML verarbeitet. Die zweite wird laut NVD im CISA-Katalog bekannt ausgenutzter Schwachstellen geführt — sie wird also tatsächlich angegriffen, was den Versionsstand zum Prüfanlass macht.

<frameset oder <frame

Frames sind im HTML Living Standard als nicht konform gelistet (WHATWG, Obsolete features). Dieselbe Liste führt <font>, <center>, <marquee> und das Attribut bgcolor.

Ein <table> um das ganze Seitengerüst

Hier muss man genau sein, weil es oft falsch zitiert wird: Tabellen sind nicht veraltet. Unzulässig ist nur ihre Verwendung zum Layouten. Der Standard sagt wörtlich: „Tables must not be used as layout aids." Begründet wird das mit Barrierefreiheit — Screenreader kommen damit schlecht zurecht (WHATWG, Tabular data).

<!--[if IE, document.all, ActiveXObject

Code für den Internet Explorer. Die IE11-Desktop-Anwendung ist am 15. Juni 2022 aus dem Support gefallen und wurde auf Windows 10 dauerhaft deaktiviert (Microsoft Lifecycle). Das schadet meist nicht aktiv, datiert die Seite aber eindeutig.

Kein <meta name="viewport"

Dann ist die Seite nicht für Handys gebaut. Google hat die Mobile-First-Indexierung im Oktober 2023 abgeschlossen und bewertet Seiten anhand der mobilen Fassung (Google Search Central). Das ist kein fehlender Bonus — das ist die Bewertungsgrundlage.

fonts.googleapis.com oder fonts.gstatic.com

Google Fonts werden dynamisch nachgeladen, die IP des Besuchers geht dabei an Google. Dazu gleich mehr, denn die Rechtslage wird fast immer verkürzt wiedergegeben.

Prüfung 3: Dein Handy

Ruf deine Seite auf dem eigenen Smartphone auf. Musst du seitlich scrollen? Zum Lesen zoomen? Sind Links zu klein, um sie sicher zu treffen?

Und der zweite, weniger offensichtliche Test: Fehlen auf dem Handy Inhalte, die am Desktop da sind? Google verlangt ausdrücklich Inhaltsgleichheit — was in der mobilen Version fehlt, geht nicht in den Index ein.

Prüfung 4: Das Impressum

Hier stehen die verräterischsten Sachen, und sie sind in dreißig Sekunden geprüft.

„Angaben gemäß § 5 TMG"

Das Telemediengesetz ist am 14. Mai 2024 außer Kraft getreten. Die Impressumspflicht steht seither in § 5 DDG, dem Digitale-Dienste-Gesetz. Dass noch TMG dasteht, ist für sich genommen kein belegter Rechtsverstoß — ein Urteil dazu habe ich nicht gefunden. Aber es ist ein zuverlässiges Datum: Diese Seite wurde seit Mai 2024 nicht angefasst.

Ein Link auf die EU-Streitschlichtungsplattform

Das ist der härtere Fund. Die zugrundeliegende ODR-Verordnung wurde durch die Verordnung (EU) 2024/3228 aufgehoben, die Plattform hat seit März 2025 keine neuen Beschwerden mehr angenommen und ist zum 20. Juli 2025 abgeschaltet. Der Link zeigt ins Leere.

Die IHK Schwaben weist darauf hin, dass ein fortbestehender Verweis auf die nicht mehr existierende Plattform als irreführend gewertet werden kann. Ein toter Pflichtlink ist also schlechter als gar keiner.

„TTDSG" in der Datenschutzerklärung

Heißt seit dem 14. Mai 2024 TDDDG. Gleiche Kategorie wie das TMG: kein Drama, aber ein Datumsstempel.

Prüfung 5: Der Cookie-Banner

§ 25 TDDDG ist eindeutig formuliert:

„Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat."

Ohne Einwilligung geht es nur in zwei Fällen: wenn der alleinige Zweck die Übertragung einer Nachricht über ein Telekommunikationsnetz ist, oder wenn der Zugriff unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen.

Drei Dinge, die danach nicht in Ordnung sind:

• Ein Banner mit nur „OK" oder „Verstanden" und ohne gleichwertige Ablehnen-Möglichkeit — das ist ein Hinweis, keine Einwilligung
• Vorausgewählte Häkchen
• Gar kein Banner, obwohl Google Analytics, Google Maps oder ein YouTube-Video eingebunden ist

Prüfung 6: Facebook-Reste

Such im Quelltext nach connect.facebook.net. Ein direkt eingebundener Like-Button oder eine Like-Box überträgt Besucherdaten, bevor jemand etwas anklickt.

Der EuGH hat 2019 in der Sache Fashion ID (C-40/17) entschieden, dass der Seitenbetreiber dafür gemeinsam verantwortlich ist und die Einwilligung vor der Datenerhebung vorliegen muss. Zulässig sind Lösungen, bei denen vor dem aktiven Klick keine Daten fließen.

Prüfung 7: Hosting und CMS

Dafür brauchst du Zugangsdaten, aber nicht mehr.

Welche PHP-Version läuft?

Steht im Hosting-Panel. Abgleichen mit der offiziellen Versionsliste von php.net: PHP 8.1 ist seit dem 31. Dezember 2025 End of Life, PHP 8.0 seit 2023, PHP 7.4 seit 2022. php.net formuliert es so, dass Nutzer veralteter Versionen „may be exposed to unpatched security vulnerabilities" — ungepatchten Lücken also, die in neueren Versionen längst geschlossen sind. Dazu kommt ein praktisches Problem: Aktuelle CMS- und Plugin-Versionen setzen Mindest-PHP-Versionen voraus. Altes PHP blockiert also die Update-Fähigkeit.

Steht im WordPress-Dashboard ein roter Hinweis, den man nicht wegklicken kann?

Dann läuft eine Version, die seit Juli 2025 keine Sicherheitsupdates mehr bekommt. Das WordPress-Sicherheitsteam hat die Rückportierung für die Versionen 4.1 bis 4.6 im Juni 2025 angekündigt und im Juli 2025 eingestellt; betroffene Installationen bekommen einen nicht schließbaren Hinweis eingeblendet.

Wie viele ausstehende Plugin-Updates gibt es?

Zur Einordnung eine Zahl von Patchstack, einem Anbieter von WordPress-Sicherheitsprodukten — also mit eigenem Interesse an hohen Zahlen: 2025 wurden 11.334 neue Schwachstellen gemeldet, 91 % davon in Plugins, nur sechs im WordPress-Kern. Bemerkenswert ist ein anderer Wert aus derselben Auswertung: 46 % hatten zum Zeitpunkt der Veröffentlichung noch keinen Patch. Updates allein lösen das Problem also nicht vollständig.

Der Punkt, an dem fast alle falsch zitieren: Google Fonts

Du wirst gelesen haben, dass die dynamische Einbindung von Google Fonts 100 Euro Schadensersatz kostet. Das geht auf genau ein Urteil zurück:

LG München I, 20.01.2022 (Az. 3 O 17493/20): 100 € Schadensersatz nach Art. 82 DSGVO, weil die IP-Adresse ohne Einwilligung an Google übertragen wurde. Ein berechtigtes Interesse wurde verneint, weil dieselbe Funktion auch ohne Google möglich ist.

Seitdem haben drei Entscheidungen dieses Urteil überholt:

1. LG München I, 30.03.2023 (Az. 4 O 13063/22): Dasselbe Gericht erklärte die darauf folgende Abmahnwelle für rechtsmissbräuchlich. Wer einen Verstoß gezielt provoziert, um Ansprüche daraus zu begründen, verstößt gegen § 242 BGB.
2. EuGH, 04.05.2023 (C-300/21): Der bloße DSGVO-Verstoß begründet für sich genommen keinen Schadensersatz — ein tatsächlich entstandener Schaden muss nachgewiesen werden.
3. BGH, 28.08.2025 (Az. VI ZR 258/24): Der Bundesgerichtshof hat die Kernfragen dem EuGH vorgelegt — unter anderem, ob ein immaterieller Schaden vorliegt, wenn der Verstoß bewusst und massenhaft automatisiert provoziert wurde. Die Entscheidung steht aus.

Was daraus folgt: Die lokale Einbindung ist weiterhin der saubere Weg, kostet nichts und ist in zehn Minuten gemacht. Aber die Drohkulisse „das kostet dich 100 Euro pro Besucher" ist 2026 nicht mehr haltbar. Wer dir damit etwas verkaufen will, zitiert ein Urteil von 2022 und verschweigt die drei Entscheidungen danach.

Was ich bewusst nicht behaupte

Es kursieren Faustregeln wie „eine Website hält drei bis fünf Jahre" oder „Unternehmensseiten sind im Schnitt sieben Jahre alt". Ich habe keine Erhebung gefunden, auf die sich das zurückführen ließe. Die Zahlen stammen aus Agenturtexten ohne Methodik.

Deshalb steht in diesem Artikel keine Altersangabe, sondern eine Liste von Stichtagen. Die kann man nachschlagen, und sie gelten unabhängig davon, wie alt die Seite rechnerisch ist.

Die weichen Zeichen

Zum Schluss die Dinge, die kein Verstoß sind, aber sofort auffallen:

• „© 2016" im Fußbereich
• Der letzte Blogbeitrag ist von 2019
• Eine Faxnummer steht prominenter als die Mobilnummer
• „Optimiert für 1024 × 768"
• Ein Besucherzähler oder ein Gästebuch

Davon geht nichts kaputt. Aber wer deinen Namen empfohlen bekommen hat und dann auf einer solchen Seite landet, zieht seine Schlüsse — und zwar über den Betrieb, nicht über die Website.

Die Kurzfassung

Drei Funde entscheiden, ob es dringend ist:

1. Kein HTTPS. Chrome stellt gerade auf die Warnseite um. Das ist der einzige Punkt auf dieser Liste, bei dem deine Besucher etwas sehen — und zwar bevor die Seite lädt.
2. Veraltetes PHP oder CMS ohne Sicherheitsupdates. Das ist kein Schönheitsproblem, sondern ein Risiko, das geprüft gehört.
3. Der tote EU-Streitschlichtungslink. Schnell behoben und potenziell irreführend, solange er drinsteht.

Diese drei würde ich diese Woche anschauen. „Alles andere kann warten" wäre allerdings zu einfach: Was zuerst drankommt, entscheidet der konkrete Befund. Eine Seite mit ausnutzbarer Lücke oder laufender unzulässiger Datenübertragung ist dringender als ein toter Link — auch wenn der schneller behoben ist.

Die Rechtshinweise sind eine Orientierung, keine Rechtsberatung.