Backup erstellen, SSL-Zertifikat aktivieren, WordPress-Adresse auf https:// ändern, Datenbank mit einem serialisierungssicheren Tool durchsuchen und ersetzen, serverseitigen 301-Redirect setzen, Mixed-Content beheben, alles testen und HSTS erst ganz zum Schluss aktivieren. Genau in dieser Reihenfolge, nicht anders. Werkzeuge wie Let’s Encrypt und WP-CLI erledigen die technische Arbeit, eine Agentur wie Werbeeinfach übernimmt es bei komplexeren Setups komplett.
Kurz gesagt:
- Bei der Umstellung auf HTTPS bei WordPress ist die richtige Reihenfolge entscheidend, um eine vollständige Erreichbarkeit sicherzustellen.
- Ein vollständiges Backup sollte immer vor der Aktivierung des SSL-Zertifikats und der DNS-Änderung erstellt werden.
- Server-seitige Redirects mittels .htaccess oder Nginx sind schneller und bewahren den SEO-Wert besser als PHP-Weiterleitungen.
- Bei der Datenbank-Umstellung ist ein serialisierungssicherer Search-and-Replace mit WP-CLI zu empfehlen, um Fehler in Multisite- oder Page-Builder-Installationen zu vermeiden.
- Nach der Umstellung auf HTTPS unbedingt auf Mixed Content prüfen und entsprechende Ressourcen auf HTTPS umstellen, um Browser-Warnungen zu verhindern.
Inhaltsverzeichnis
- Schritt für Schritt: Backup, Zertifikat und WordPress-Adresse ändern
- Server-seitige Redirects und Proxy-Konfiguration richtig einrichten
- Datenbank sicher von HTTP auf HTTPS umstellen
- Mixed Content erkennen und dauerhaft beheben
- HSTS und Sicherheitsheader: Erst testen, dann aktivieren
- Was nach der Umstellung noch zu tun ist
- Wann sich eine Agentur für die Umstellung lohnt
- Eine professionelle Agentur übernimmt Ihre HTTPS-Umstellung komplett.
- Quellen
- FAQ
Schritt für Schritt: Backup, Zertifikat und WordPress-Adresse ändern
Die https-Umstellung bei WordPress scheitert selten am Zertifikat selbst. Sie scheitert an der Reihenfolge. Wer die Site-URL ändert, bevor das Zertifikat aktiv ist, oder die Datenbank ersetzt, bevor ein Backup existiert, produziert im schlimmsten Fall eine unerreichbare Seite. Deshalb zuerst die Basis:
- Vollständiges Backup anlegen. Dateien und Datenbank getrennt sichern, am besten über das Hosting-Panel oder ein Plugin wie UpdraftPlus. Ohne diesen Schritt gibt es bei einem Fehler keinen Weg zurück.
- SSL-Zertifikat besorgen und aktivieren. Let’s Encrypt stellt kostenlose, automatisch verlängerbare Zertifikate bereit und ist bei den meisten deutschen Hostern bereits im Panel integriert. Kostenpflichtige Zertifikate bieten teils erweiterte Garantien oder Organisationsvalidierung, für die reine Verschlüsselung einer WordPress-Seite reicht Let’s Encrypt in der Regel völlig aus.
- Installation prüfen. Je nach Hoster läuft die Aktivierung über ein Klick-Panel, über Certbot per SSH oder über den Support. Manche Anbieter aktivieren HTTPS automatisch, sobald eine Domain angelegt wird, andere verlangen eine manuelle Bestätigung. Ein kurzer Blick in die Hosting-Dokumentation erspart hier Rätselraten.
- WordPress-Adresse umstellen. Unter Einstellungen → Allgemein beide Felder (WordPress-Adresse und Site-Adresse) auf
https://setzen. Ist das Dashboard nicht erreichbar, lässt sich das Gleiche überWP_HOMEundWP_SITEURLin derwp-config.phperzwingen. Die offizielle WordPress-Dokumentation beschreibt beide Wege und nennt zusätzlich die WP-CLI-Variante für Fälle ohne Dashboard-Zugriff. - Cache und Sessions leeren. Objekt-Cache, Seiten-Cache und aktive Logins können nach der Umstellung veraltete HTTP-Verweise ausliefern. Einmal komplett leeren, dann neu testen.
Profi-Tipp: Aktivieren Sie das Zertifikat mindestens einen Tag vor der eigentlichen URL-Umstellung und prüfen Sie per Browser, ob https://ihredomain.de bereits ohne Warnung lädt. Erst dann WordPress umstellen.
Server-seitige Redirects und Proxy-Konfiguration richtig einrichten
Ein 301-Redirect auf Serverebene ist schneller als jede PHP-Lösung und überträgt den SEO-Wert der alten URLs korrekt, wie InspectWP beschreibt. PHP-Weiterleitungen laden erst das komplette WordPress, bevor sie umleiten, das kostet Zeit und Serverlast.
- Apache (.htaccess): Eine
RewriteCond %{HTTPS} offmit anschließendemRewriteRuleaufhttps://%{http_host}%{request_uri}erledigt die Weiterleitung zuverlässig. - Nginx: Ein separater
server-Block auf Port 80 mitreturn 301 https://$host$request_uri;übernimmt die gleiche Aufgabe. - Hinter Load Balancer oder Reverse-Proxy: Terminiert der Proxy die HTTPS-Verbindung, sieht WordPress oft nur HTTP und erzeugt eine Redirect-Schleife. Die Lösung liegt in der Auswertung des
X-Forwarded-Proto-Headers in derwp-config.php, damit WordPress erkennt, dass die Verbindung eigentlich verschlüsselt ist. - Erscheint im Browser
ERR_TOO_MANY_REDIRECTS, liegt fast immer genau dieser Proxy-Konflikt vor, nicht ein fehlerhaftes Zertifikat.
Datenbank sicher von HTTP auf HTTPS umstellen
Interne Links, Bildpfade und Widget-Einstellungen in der Datenbank enthalten oft noch http://. Ein einfaches Suchen-und-Ersetzen per SQL zerstört dabei häufig serialisierte Daten, etwa in Theme-Optionen oder Page-Buildern.
- WP-CLI löst das serialisierungssicher: Zuerst ein Testlauf mit
wp search-replace 'http://ihredomain.de' 'https://ihredomain.de' --dry-run, danach die echte Ausführung ohne das Flag. InspectWP empfiehlt genau diesen Weg als zuverlässigste Methode. - Better Search Replace als Plugin-Alternative, wenn kein SSH-Zugang besteht. Bei sehr großen Tabellen oder Multisite-Installationen stößt das Plugin aber schneller an Performance-Grenzen als die CLI-Variante.
- Bei Page-Buildern wie Elementor oder bei Multisite-Netzwerken zusätzlich die tabellenübergreifende Option nutzen, sonst bleiben einzelne Subsites unberührt.
- Nach der Ersetzung Stichproben auf mehreren Seiten prüfen und den Cache komplett leeren.
Profi-Tipp: Exportieren Sie vor dem echten Lauf eine zusätzliche SQL-Sicherung nur der Datenbank, getrennt vom großen Backup. So lässt sich ein fehlerhafter Search&Replace in Sekunden zurückrollen.
Mixed Content erkennen und dauerhaft beheben
Mixed Content entsteht, wenn eine HTTPS-Seite noch Bilder, Skripte oder Schriftarten über http:// lädt. Das Chromium-Projekt hat diese Warnungen in den letzten Jahren deutlich verschärft, Browser blockieren aktive Inhalte inzwischen standardmäßig, passive Inhalte wie Bilder werden meist nur noch markiert.
Genau daran erkennt man oft das Symptom „Bilder laden nicht mehr“ nach einer HTTPS-Umstellung, betroffene Elemente werden vom Browser schlicht blockiert oder als unsicher gekennzeichnet.
- Browser-DevTools öffnen, Reiter Console und Network prüfen, dort listet der Browser jede blockierte oder als unsicher markierte Ressource einzeln auf.
- Crawling-Tools und Online-SSL-Checker durchsuchen die komplette Seite und finden auch Verweise, die im Quellcode versteckt sind.
- SSL Insecure Content Fixer behebt viele dieser Warnungen automatisch und ist eine schnelle Zwischenlösung. Dauerhaft sollte die Bereinigung aber über den Datenbank-Replace laufen, das Plugin selbst weist darauf hin, dass es ergänzend zur eigentlichen Ursachenbehebung gedacht ist.
- Eine Content-Security-Policy mit
upgrade-insecure-requestshebt verbliebene HTTP-Aufrufe automatisch auf HTTPS an, ohne dass jeder einzelne Verweis händisch gepatcht werden muss.
HSTS und Sicherheitsheader: Erst testen, dann aktivieren
HTTP Strict Transport Security zwingt Browser, eine Domain ausschließlich über HTTPS aufzurufen, das schützt vor sogenannten Downgrade-Angriffen. Genau deshalb ist Eile hier fehl am Platz: HSTS sollte erst aktiviert werden, wenn die komplette Website inklusive aller Subdomains fehlerfrei über HTTPS läuft.
- Zunächst mit einer kurzen
max-age(etwa einen Tag) testen, erst nach erfolgreicher Prüfung auf Monate oder ein Jahr verlängern. includeSubDomainsbetrifft wirklich jede Subdomain, auch Mailserver oder Staging-Umgebungen müssen dann HTTPS-fähig sein.- Ein Eintrag in die HSTS-Preload-Liste lässt sich kaum rückgängig machen, das sollte erst nach Wochen stabilen Betriebs erfolgen.
- Ergänzend lohnen sich Content-Security-Policy, X-Frame-Options und X-Content-Type-Options, mehr dazu in unserem Beitrag zur WordPress-Sicherheit und Schutzmaßnahmen.
Was nach der Umstellung noch zu tun ist
Die technische Migration ist erst die halbe Arbeit, danach folgt die Nachbereitung für Suchmaschinen und Monitoring:
- Neue https-Property in der Google Search Console anlegen und die Sitemap dort erneut einreichen.
- Analytics- und Tag-Manager-Konfiguration auf die neuen URLs prüfen, sonst reißen Tracking-Daten ab.
- Canonical-Tags im Quellcode kontrollieren, sie müssen konsequent auf
https://zeigen. - Edge-Caches und CDN vollständig leeren, sonst liefern sie tagelang alte HTTP-Versionen aus.
- Mit Tools wie Screaming Frog oder einem Online-SSL-Checker die komplette Seite crawlen und verbliebene HTTP-Verweise aufspüren.
- Server-Logs und Redirect-Reports im Blick behalten, ungewöhnliche 404- oder Redirect-Häufungen deuten auf übersehene Altlasten hin.
Die Auswirkungen auf die Sichtbarkeit sind bei korrekter Umsetzung gering bis positiv, Google behandelt einen 301-Redirect von HTTP auf HTTPS als reguläre Adressänderung. Wird die Reihenfolge missachtet, drohen dagegen doppelte Inhalte, verlorene Rankings und tagelange Indexierungsprobleme.
Wann sich eine Agentur für die Umstellung lohnt
Bei einer einzelnen Visitenkarten-Website lässt sich die HTTPS-Umstellung oft an einem Nachmittag selbst erledigen. Anders sieht es aus, sobald ein Shop mit tausenden Produkten, eine Multisite-Installation oder ein Setup hinter Load Balancer und CDN im Spiel ist.
- Große WooCommerce-Shops mit vielen serialisierten Produktdaten brauchen einen sorgfältig getesteten Search&Replace, ein Fehler dort kann Bestellungen oder Warenkörbe beschädigen.
- Multisite-Netzwerke verlangen die Umstellung jeder einzelnen Subsite, nicht nur der Hauptdomain.
- Proxy- und CDN-Konfigurationen erzeugen erfahrungsgemäß die hartnäckigsten Redirect-Schleifen, weil der
X-Forwarded-Proto-Header oft übersehen wird.
Werbeeinfach begleitet WordPress- und WooCommerce-Projekte seit über 14 Jahren, von der Plugin-Entwicklung bis zur laufenden WordPress-Wartung inklusive Sicherheitsupdates. Genau solche Migrationen mit Proxy-Setups oder großen Datenmengen gehören zum Alltag der Agentur.
Eine professionelle Agentur übernimmt Ihre HTTPS-Umstellung komplett.
Eine professionelle Agentur ist die Alternative zum eigenständigen Try-and-Error mit Plugins und Tutorials: Statt Stunden mit Backup-Tools, Search&Replace-Befehlen und Redirect-Debugging zu verbringen, können Sie die Umstellung an ein Team übergeben, das Zertifikat, Datenbank, Redirects und Nachbereitung in einem Zug abarbeitet, ohne dass Ihr Shop währenddessen offline geht.
Das lohnt sich besonders für WooCommerce-Shops mit großem Produktkatalog, für Multisite-Netzwerke und für Websites hinter CDN oder Load Balancer, also genau die Fälle, in denen ein einzelner übersehener Header oder ein fehlerhafter Datenbank-Replace teuer wird. Professionelle Agenturen betreuen WordPress-Projekte aus verschiedenen Branchen bundesweit, von Onlineshops bis zu Dienstleistungsunternehmen, und bieten neben der reinen Migration auch laufende Wartungsverträge an, die Zertifikatsverlängerung und Sicherheitsupdates dauerhaft abdecken. Einen Überblick über alle Leistungen rund um Migration, Sicherheit und Performance finden Sie auf der Leistungsseite von Werbeeinfach. Wer zusätzlich einen WooCommerce-Shop plant oder überarbeiten möchte, findet passende Unterstützung auf der Seite zur WooCommerce-Agentur. Schreiben Sie Werbeeinfach für eine erste Einschätzung Ihrer aktuellen Konfiguration, bevor Sie selbst mit der Umstellung beginnen.
Quellen
- Let’s Encrypt
- WordPress
- SSL Insecure Content Fixer – Plugin
- Chromium Blog – No more mixed messages about HTTPS
FAQ
Wie kann ich WordPress auf HTTPS umstellen?
Backup erstellen, SSL-Zertifikat über Let’s Encrypt oder den Hoster aktivieren, die Adresse unter Einstellungen → Allgemein auf https:// ändern, die Datenbank per WP-CLI ersetzen und einen serverseitigen 301-Redirect einrichten.
Wie stelle ich meine Homepage auf HTTPS um?
Der Ablauf ist bei jeder Homepage gleich: Zertifikat aktivieren, WordPress-Adresse umstellen, interne Links in der Datenbank ersetzen, Redirect setzen und anschließend auf Mixed Content prüfen. Bei kleinen Seiten dauert das oft weniger als eine Stunde.
Ist WordPress noch zeitgemäß?
Ja. WordPress erhält regelmäßige Sicherheits- und Funktionsupdates und unterstützt HTTPS, HSTS und moderne Sicherheitsheader ohne Einschränkung. Mit einer laufenden Wartung und aktuellen Updates bleibt eine WordPress-Website technisch auf dem aktuellen Stand.
Wann HTTP und wann HTTPS?
HTTP hat als offener Standard für den produktiven Betrieb heute praktisch keine Berechtigung mehr, Browser markieren unverschlüsselte Seiten zunehmend als unsicher. HTTPS sollte auf jeder öffentlich erreichbaren Website eingesetzt werden, unabhängig davon, ob Formulare, Logins oder ein Shop laufen.
Warum laden nach der Umstellung Bilder nicht mehr?
Meist liegt Mixed Content vor: Die Seite läuft bereits über HTTPS, einzelne Bilder oder Skripte werden aber noch über http:// eingebunden und deshalb vom Browser blockiert. Ein Datenbank-Replace mit WP-CLI oder kurzfristig das Plugin SSL Insecure Content Fixer beheben das zuverlässig.
