HTTPS und SEO: Ranking-Effekt, sichere Migration und häufige Fehler

Die Frage nach HTTPS und SEO ist 2026 weitgehend geklärt: Laut dem Web Almanac 2024 von HTTP Archive werden 95,6 % der mobilen Startseiten inzwischen über HTTPS ausgeliefert. Offen bleiben praktische Fragen: Wie stark wiegt das Protokoll im Ranking, wie zieht eine ältere Website ohne Traffic-Verlust um, und welche Konfigurationsfehler kosten noch Positionen? Dieser Leitfaden beantwortet sie mit Googles eigener Dokumentation.

Was ist HTTPS und wie funktioniert es?

HTTPS (Hypertext Transfer Protocol Secure) ist HTTP über eine verschlüsselte TLS-Verbindung. Der Server legt ein TLS-Zertifikat vor (oft noch SSL-Zertifikat genannt), das eine Zertifizierungsstelle ausgestellt hat; der Browser prüft es und verschlüsselt dann den gesamten Datenaustausch mit der Website. Das Zertifikat ist an Ihre Domainnamen gebunden, die über das DNS aufgelöst werden, und kann von Ihrem Hoster oder von einem vorgeschalteten CDN ausgeliefert werden.

Zertifikate gibt es in drei Validierungsstufen: Domain Validation (DV), Organization Validation (OV) und Extended Validation (EV). Für SEO macht die Stufe keinen Unterschied: Google prüft, ob die Verbindung gültig ist, nicht welcher Zertifikatstyp sie absichert. Ein DV-Zertifikat, kostenlos und in Minuten ausgestellt, reicht für die meisten Websites; OV und EV prüfen zusätzlich das Unternehmen hinter der Domain, was manche Banken oder Konzerne aus eigenen Gründen verlangen.

Beeinflusst HTTPS das SEO-Ranking?

Ja, aber deutlich weniger als Inhalte und Links. Die Antwort hat zwei Ebenen: das offizielle Ranking-Signal und die indirekten Effekte, die im Alltag mehr zählen.

Was Google 2014 angekündigt hat

Am 7. August 2014 erklärte Google im Beitrag HTTPS as a ranking signal, es handle sich „nur um ein sehr schwaches Signal, das weniger als 1 % der weltweiten Suchanfragen betrifft und weniger Gewicht hat als andere Signale wie hochwertige Inhalte“. Derselbe Beitrag empfahl Zertifikate mit 2048-Bit-Schlüssel und warnte davor, die HTTPS-Website in der robots.txt zu blockieren. HTTPS wirkt wie ein Tie-Breaker: Es kann zwei Seiten ähnlicher Qualität trennen, hebt aber keine schwache Seite über eine starke.

Was Googles Dokumentation heute sagt

Googles Dokumentation zur Nutzerfreundlichkeit von Seiten nennt „Werden Ihre Seiten auf sichere Weise bereitgestellt?“ als Frage zur Selbsteinschätzung und stellt dann klar: „Abgesehen von den Core Web Vitals helfen andere Aspekte der Nutzerfreundlichkeit Ihrer Website nicht direkt, in den Suchergebnissen höher zu ranken.“ Zusammen mit der Ankündigung von 2014 ergibt sich ein stimmiges Bild: HTTPS wird als Grundlage erwartet, und der Ranking-Gewinn durch die Umstellung ist gering. Die bestätigten Google-Rankingfaktoren ordnen es neben Relevanz, Qualität und Links ein.

Die indirekten Effekte, die mehr zählen

• Vertrauen und Conversions. Seit Chrome 68 im Juli 2018 kennzeichnet Chrome jede HTTP-Seite in der Adressleiste als „Nicht sicher“, wie im Chromium-Blog angekündigt. Eine Warnung neben einem Formular oder Checkout kostet Klicks und Umsatz, deshalb gehört HTTPS ebenso zu UX-SEO wie zum technischen SEO.
• Eine kanonische Version. Google zählt die Auslieferung über HTTP oder HTTPS zu den Faktoren, mit denen es eine kanonische URL auswählt. Eine Website, die auf beiden Protokollen antwortet, verteilt ihre Signale auf Duplikate, bis Google sie zusammenführt.
• Geschwindigkeit. Browser unterstützen HTTP/2 und HTTP/3 nur über verschlüsselte Verbindungen. HTTPS ist also die Eintrittskarte zu den Protokollen, die der Page Experience und den Core Web Vitals helfen.
• Analytics. Wechselt ein Besucher von einer HTTPS-Seite auf eine HTTP-Seite, entfernen Browser standardmäßig den Referrer. Eine HTTP-Website sieht dadurch einen Teil ihres Verweis-Traffics als direkten Traffic.

Wie stellt man ohne Traffic-Verlust von HTTP auf HTTPS um?

Der Wechsel auf HTTPS ändert jede URL der Website, Google behandelt ihn daher als Websiteumzug. Der Leitfaden zu Websiteumzügen mit URL-Änderungen liefert die Methode; die folgende Checkliste wendet sie auf einen Protokollwechsel an. Es gilt dieselbe Sorgfalt wie bei jeder SEO-Migration.

1. Zertifikat installieren und testen

Wählen Sie ein Zertifikat, das alle genutzten Hostnamen abdeckt (example.com und www.example.com sowie jede Subdomain). Kostenlose Zertifikate von Let's Encrypt, Ihrem Hoster oder CDN wirken für SEO genauso wie kostenpflichtige. Richten Sie die automatische Verlängerung ein: Ein abgelaufenes Zertifikat zeigt jedem Besucher eine ganzseitige Browserwarnung.

2. Alle URLs erfassen und zuordnen

Crawlen Sie die HTTP-Website und exportieren Sie ihre URLs aus Sitemaps, Analytics und Server-Logs, einschließlich Bildern, PDFs und anderer Dateien. Jede HTTP-URL muss auf denselben Pfad unter HTTPS zeigen.

3. Mixed Content beheben

Eine HTTPS-Seite, die Bilder, Skripte oder Stylesheets über HTTP lädt, erzeugt Mixed Content: Browser blockieren oder markieren diese Ressourcen. Ersetzen Sie fest eingetragene http://-Links in Templates, Datenbank und CMS-Einstellungen.

4. 301-Weiterleitungen in einem Schritt einrichten

Google empfiehlt serverseitige permanente Weiterleitungen (301 oder 308). Leiten Sie http://example.com/page direkt auf https://www.example.com/page weiter, ohne Umweg über eine HTTP-www-Version. Prüfen Sie eine Stichprobe alter URLs mit einem Redirect-Checker, auch die Seiten mit Backlinks.

5. Alle internen Signale aktualisieren

Lassen Sie kanonische URLs, hreflang-Tags, interne Links, strukturierte Daten und XML-Sitemaps direkt auf die HTTPS-URLs zeigen. Ein Canonical-Checker findet schnell Seiten, die noch ein HTTP-Canonical angeben.

6. Search Console einrichten

Legen Sie eine Domain-Property oder die HTTPS-URL-Präfix-Properties an und reichen Sie die neue Sitemap ein. Laut Googles Dokumentation ist das Tool zur Adressänderung für einen Wechsel von HTTP auf HTTPS nicht nötig: Es gilt nur für Domainwechsel.

7. HSTS aktivieren, sobald alles läuft

Der Header Strict-Transport-Security weist Browser an, für Ihre Domain immer HTTPS zu verwenden. Beginnen Sie mit einer kurzen Dauer und erhöhen Sie sie auf ein Jahr (max-age=31536000), wenn jede Subdomain sicher HTTPS unterstützt. Prüfen Sie den Header mit einem HTTP-Header-Checker.

8. Weiterleitungen behalten und überwachen

Google rät, Weiterleitungen mindestens ein Jahr beizubehalten; sie dauerhaft zu behalten ist vertretbar. Rechnen Sie mit einigen Wochen Schwankungen, während Google die Website neu crawlt.

Welche HTTPS-Fehler schaden dem SEO noch?

• Beide Protokolle aktiv. Die HTTP-Version antwortet mit 200 statt 301 und erzeugt ein vollständiges Duplikat der Website.
• Weiterleitungsketten. HTTP zu HTTPS, dann ohne www zu www, dann ein abschließender Schrägstrich: drei Sprünge, wo einer reicht. Jeder Sprung bremst Crawling und Besucher.
• 302 statt 301. Eine temporäre Weiterleitung sendet ein schwächeres Signal dazu, welche URL dauerhaft gilt. Nutzen Sie eine 301-Weiterleitung.
• Alte HTTP-Links in eigenen Profilen. Weiterleitungen fangen sie ab, doch aktualisierte Links in Social-Media-Profilen, Verzeichnissen und Unternehmenseinträgen sparen einen Sprung und senden ein klareres Signal.
• HTTP-Canonicals in Templates. Die Seite leitet auf HTTPS weiter, nennt aber die HTTP-URL als kanonisch: zwei widersprüchliche Signale.
• Ein abgelaufenes oder unpassendes Zertifikat. Besucher sehen eine Fehlerseite, und Crawler können den Inhalt womöglich nicht abrufen.
• HSTS-Preload zu früh. Wer die Domain in die Preload-Listen der Browser einträgt, bevor jede Subdomain HTTPS unterstützt, macht diese Subdomains unerreichbar, und die Entfernung dauert.

Die kostenlose Chrome-Erweiterung von Sorank zeigt On-Page-Fehler wie Canonicals und Weiterleitungen an, während Sie Ihre eigenen Seiten besuchen.

HTTPS, KI-Crawler und GEO

ChatGPT, Claude, Perplexity und Gemini nutzen Crawler, die Ihre Seiten abrufen, bevor sie sie zitieren können. Diese Crawler folgen denselben Regeln wie ein Browser: Ein Zertifikatsfehler, eine Weiterleitungsschleife oder eine blockierende HTTPS-robots.txt verhindern das Lesen der Seite, und sie kann nicht zitiert werden. Unser Leitfaden zur robots.txt für KI-Crawler erklärt, welche Bots Sie zulassen sollten. Eine einzige HTTPS-Version jeder URL bündelt Zitate zudem auf eine Adresse, was die Messung mit dem Tracking von KI-Erwähnungen erleichtert.

HTTPS: die Grundlage, danach die eigentliche Arbeit

HTTPS bringt einen kleinen Ranking-Vorteil, beseitigt ein Vertrauensproblem und wird mit einer sauberen 301 pro URL migriert. Danach hängt das Ranking von dem ab, was Google deutlich stärker gewichtet: nützliche Inhalte, interne Verlinkung und Autorität. Sorank übernimmt diesen Teil im Autopilot: Keyword-Recherche, optimierte Artikel auf Ihrem HTTPS-Blog, interne Verlinkung und natürliche Backlinks.