Your connection is not private: Bedeutung und Lösung
"Your connection is not private" ist Chromes Warnungsüberschrift für die gesamte Familie der NET::ERR_CERT_*-Zertifikatsfehler, gezeigt immer dann, wenn der Browser ein Zertifikat erhält, dem er nicht vollständig vertrauen kann. Der genaue Code unter der Überschrift, sichtbar durch einen Klick auf "Erweitert", sagt Ihnen, um welches konkrete Problem es sich handelt.
Was die Warnung bedeutet
Anders als ERR_SSL_PROTOCOL_ERROR, das auftritt, bevor überhaupt ein Zertifikat beurteilt wird, bedeutet diese Warnung immer, dass ein Zertifikat empfangen und ausgewertet wurde und an einer bestimmten Prüfung gescheitert ist: seinen Daten, seinem Aussteller, seiner Hostname-Übereinstimmung, oder seinem Widerrufsstatus. Chrome fasst all das unter einer alarmierenden Überschrift zusammen, weil das zugrunde liegende Risiko in beiden Fällen dasselbe ist (die Verbindung spricht möglicherweise nicht mit dem, für den sie sich hält), aber die Lösung hängt vollständig davon ab, welcher konkrete NET::ERR_CERT_*-Code dahintersteckt.
Wie sich die Warnung zeigt
Chrome zeigt eine ganzseitige rote Warnung: "Your connection is not private - Attackers might be trying to steal your information from example.com", mit einem Link "Proceed to example.com (unsafe)", versteckt unter "Advanced". Firefox zeigt "Warning: Potential Security Risk Ahead" mit einem konkreten Fehlercode. Safari zeigt "This Connection Is Not Private". Edge spiegelt Chromes Wortlaut eng.
Was die konkreten Fehlercodes bedeuten
| Code | Was er bedeutet |
|---|---|
| NET::ERR_CERT_DATE_INVALID | Das Gültigkeitsfenster des Zertifikats deckt gerade jetzt nicht ab, entweder weil es abgelaufen, noch nicht gültig ist, oder die Uhr des Besuchergeräts falsch geht. |
| NET::ERR_CERT_AUTHORITY_INVALID | Das Zertifikat wurde nicht von einer Stelle ausgestellt, der der Browser vertraut. Meist ein selbstsigniertes Zertifikat, ein fehlendes Zwischenzertifikat in der Kette, oder ein Zertifikat einer nicht erkannten oder privaten CA. |
| NET::ERR_CERT_COMMON_NAME_INVALID | Das Zertifikat ist gültig, wurde aber nicht für den besuchten Hostnamen ausgestellt. Ein falscher oder fehlender Eintrag in der Subject-Alternative-Name-Liste (SAN) des Zertifikats, oft nach dem Hinzufügen einer neuen Subdomain, ohne das Zertifikat neu auszustellen, um sie abzudecken. |
| NET::ERR_CERT_REVOKED | Die Zertifizierungsstelle hat dieses Zertifikat ausdrücklich vor seinem Ablaufdatum widerrufen, typischerweise weil der private Schlüssel kompromittiert wurde oder das Zertifikat falsch ausgestellt wurde. |
Liegt es an Ihrem Gerät oder an der Website?
Erscheint die Warnung auf vielen verschiedenen Websites, nicht nur einer, prüfen Sie zuerst die Uhr Ihres Geräts: ein stark falsches Datum bricht die Zertifikatsvalidierung überall gleichzeitig und ist insgesamt eine der häufigsten Ursachen dieser Warnung. Passiert es nur bei einer Website und sieht von anderen Geräten und Netzwerken aus gleich aus, muss das Zertifikat selbst am Server behoben werden. Eine SSL-Prüfung von mehreren Standorten bestätigt in einem Durchgang, ob das Zertifikatsproblem überall konsistent oder spezifisch für das Setup eines Besuchers ist.
So beheben Sie "Your connection is not private"
Wenn Sie Besucher sind
- Prüfen Sie Systemdatum und -uhrzeit und stellen Sie sie auf automatische Synchronisation; das allein behebt einen großen Teil der ERR_CERT_DATE_INVALID-Warnungen, die mit der Website nichts zu tun haben.
- Halten Sie in öffentlichem WLAN nach einem Captive Portal Ausschau. Manche Hotel-, Flughafen-, oder Café-Netzwerke fangen die erste HTTPS-Anfrage mit ihrem eigenen Zertifikat ab, um Sie zu einer Login-Seite umzuleiten, was genau diese Warnung auslöst; öffnen Sie zuerst eine einfache HTTP-Website oder die Login-Seite des Netzwerks.
- Prüfen Sie auf HTTPS-Scanning durch ein Antivirenprogramm, das die Verbindung mit seinem eigenen Zertifikat abfängt; es vorübergehend zu deaktivieren und erneut zu versuchen isoliert, ob diese Software die Ursache ist.
- Klicken Sie sich nie durch die Warnung auf einer Website, auf der Sie gerade ein Passwort, Zahlungsdaten, oder andere sensible Informationen eingeben wollen. Die Warnung existiert genau deshalb, weil der Browser nicht bestätigen kann, dass er wirklich mit der beabsichtigten Website spricht; das Umgehen entfernt diese Garantie vollständig.
- Kennen und vertrauen Sie die Website tatsächlich (etwa ein internes Firmenwerkzeug mit selbstsigniertem Zertifikat), ist das die eine Situation, in der es eine vernünftige Entscheidung ist, nach genauem Verständnis, warum die Warnung erschien, über sie hinweg fortzufahren.
Wenn Sie die Website betreiben
- Installieren Sie die vollständige Zertifikatskette, nicht nur das Endzertifikat. ERR_CERT_AUTHORITY_INVALID wird häufig durch ein fehlendes Zwischenzertifikat verursacht, statt durch einen tatsächlich nicht vertrauenswürdigen Aussteller; verifizieren Sie mit
openssl s_client -connect example.com:443 -showcerts, dass die vollständige Kette in der richtigen Reihenfolge ausgeliefert wird. - Stellen Sie das Zertifikat mit den korrekten SAN-Einträgen neu aus, wann immer ERR_CERT_COMMON_NAME_INVALID erscheint, und stellen Sie sicher, dass jeder tatsächlich genutzte Hostname und jede Subdomain aufgelistet sind, nicht nur die nackte Domain.
- Verlängern Sie vor dem Ablauf, nicht danach, und richten Sie eine Erinnerung oder automatisierte Verlängerung ein (etwa Let's Encrypts certbot mit einem Cron-Job), deutlich vor dem Ablaufdatum, statt erst auf die Warnung zu reagieren, sobald Besucher sie melden.
- Wurde ein Zertifikat falsch ausgestellt oder ein privater Schlüssel offengelegt, widerrufen und stellen Sie es sofort neu aus, statt es aktiv zu lassen; ERR_CERT_REVOKED auf dem alten Zertifikat ist das erwartete und korrekte Verhalten, sobald das passiert.
- Nutzen Sie nie ein selbstsigniertes Zertifikat auf einer öffentlich zugänglichen Website. Es ist angemessen für interne Werkzeuge, bei denen jeder Client explizit konfiguriert werden kann, ihm zu vertrauen, löst aber bei jedem gewöhnlichen Besucher einer öffentlichen Website ERR_CERT_AUTHORITY_INVALID aus.
Verwandte Fehler
- ERR_CERT_DATE_INVALID behandelt den Fall abgelaufen-oder-noch-nicht-gültig detaillierter, einschließlich des Uhrenabweichungs-Aspekts.
- ERR_SSL_PROTOCOL_ERROR ist der frühere Fehlschlag, bei dem der Handshake zusammenbricht, bevor überhaupt ein Zertifikat empfangen wird, anders als bei jedem Fall auf dieser Seite.
Firefox, Safari und Edge sortieren dieselben zugrunde liegenden Ursachen in leicht unterschiedliche Bezeichnungen und Farben, aber die Trennung zwischen "liegt es an meinem Gerät" und "liegt es am Zertifikat der Website" gilt bei allen gleich: ein Uhren- oder Abfangproblem auf einer Maschine erzeugt die Warnung überall, wo diese Maschine surft, während ein echter Zertifikatsfehler sie für jeden Besucher erzeugt, der auf diese eine Website trifft, unabhängig davon, welchen Browser er nutzt.
So beugen Sie vor
Ein derart sichtbares Zertifikatsproblem kostet Vertrauen in dem Moment, in dem ein Besucher es sieht, und der Ablauf im Besonderen ist im Voraus vollständig vorhersehbar. SSL-Zertifikats-Ablauf-Monitoring verfolgt die verbleibenden Tage eines Zertifikats und alarmiert, bevor es abläuft, statt nachdem Besucher die Warnung zu sehen beginnen. HostTracker überwacht Websites seit 2004 von über 300 Prüfpunkten in 158 Städten und alarmiert per E-Mail, SMS, Sprachanruf, Slack, Telegram und mehr.
Häufig gestellte Fragen
Ist es jemals sicher, auf "Trotzdem fortfahren" zu klicken?
Nur wenn Sie genau verstehen, warum die Warnung erschien, und der Website trotzdem vertrauen, etwa bei einem internen Werkzeug mit einem selbst eingerichteten selbstsignierten Zertifikat. Fahren Sie nie fort auf einer Website, auf der Sie gerade ein Passwort oder Zahlungsinformationen eingeben wollen.
Warum sehe ich diese Warnung auf jeder Website, nicht nur einer?
Das deutet fast immer auf eine falsche Uhr Ihres eigenen Geräts hin, oder gelegentlich auf Antiviren- oder Firmensoftware, die HTTPS-Traffic auf Ihrer Maschine abfängt. Prüfen Sie zuerst das Systemdatum.
Was ist der Unterschied zwischen einem abgelaufenen und einem widerrufenen Zertifikat?
Ein abgelaufenes Zertifikat hat einfach das Ende seines Gültigkeitsfensters erreicht, ein routinemäßiges und erwartetes Ereignis, wenn es nicht rechtzeitig verlängert wurde. Ein widerrufenes Zertifikat wurde von seinem Aussteller ausdrücklich vorzeitig für ungültig erklärt, meist wegen eines Sicherheitsproblems wie eines kompromittierten privaten Schlüssels.
Ich habe eine neue Subdomain hinzugefügt, und jetzt zeigt sie diese Warnung. Warum?
Die SAN-Liste des bestehenden Zertifikats enthält die neue Subdomain wahrscheinlich nicht. Stellen Sie das Zertifikat neu aus, um jeden tatsächlich genutzten Hostnamen abzudecken, einschließlich jeder neuen Subdomain.
Verursacht eine Hotel- oder Flughafen-WLAN-Login-Seite wirklich eine Zertifikatswarnung?
Ja. Ein Captive Portal, das Ihre erste HTTPS-Anfrage abfängt, um Sie zu seiner Login-Seite umzuleiten, kann kein gültiges Zertifikat für die Website vorweisen, die Sie eigentlich erreichen wollten, der Browser markiert das also korrekt. Sich zuerst beim Portal anzumelden behebt das meist.