> ## Content Index > Fetch the complete content index at: https://sakis.tech/llms.txt > Use this file to discover other available public pages before exploring further. # Chrome warnt vor HTTP: was dein Heimnetz betrifft - URL: https://sakis.tech/chrome-http-warnung/ - Published: 2026-10-26T15:31:31.000Z - Updated: 2026-10-26T15:31:31.000Z - Description: Chrome fragt jetzt nach, bevor eine Seite unverschlüsselt lädt. Router und Pi-hole unter ihrer IP bleiben verschont, fritz.box und home.arpa vermutlich nicht. Warum das so ist und was du tun kannst. - Author: Sakis - Tags: news, sicherheit, netzwerk Die Website des Kleingartenvereins läuft seit Jahren ohne Schloss in der Adresszeile, und gestört hat das bisher niemanden. Jetzt stellt sich Chrome davor: Bevor die Seite lädt, kommt eine Warnseite, und erst wenn du zustimmst, geht es unverschlüsselt weiter. Google hat am 21\. Oktober bekanntgegeben, dass die Einstellung „Immer verschlüsselte Verbindungen verwenden“ ab sofort für alle Chrome-Nutzer eingeschaltet ist. Von selbst an war sie bisher nur bei denen, die in Chrome den erweiterten Schutzmodus gewählt hatten. Für dein Heimnetz gleich vorweg: Der Router unter seiner IP-Adresse, etwa 192.168.178.1, und der Pi-hole unter seiner bleiben ohne Warnung. Bei zwei Endungen, die im Heimnetz verbreitet sind, sieht es anders aus, und eine davon steht in unserer eigenen Anleitung. ## Was Chrome vor einer HTTP-Seite jetzt tut HTTP ist die Sprache, in der dein Browser Webseiten abholt, und sie ist unverschlüsselt. Das ist wie eine Postkarte: Wer sie unterwegs in der Hand hat, kann sie lesen und, wenn er will, etwas dazuschreiben. HTTPS ist dieselbe Sprache im verschlossenen Umschlag, mit einem Ausweis des Absenders dabei. Laut Google laufen ohnehin schon 95 bis 99 Prozent aller Seitenaufrufe in Chrome verschlüsselt. Chrome probiert deshalb bei jeder Adresse zuerst HTTPS. Klappt das, merkst du nichts. Klappt es nicht, kommt die Warnseite, und du entscheidest: zurück oder trotzdem weiter. Hast du einer Seite einmal zugestimmt, fragt Chrome laut Google erst wieder, wenn du sie mindestens zwei Wochen lang nicht besucht hast. Eine Seite, die du täglich öffnest, kostet dich also genau einen Klick. Das alte „Nicht sicher“ in der Adresszeile kam immer zu spät. Es erscheint erst, wenn die unverschlüsselte Verbindung schon steht, und bei einer kurzen Weiterleitung über HTTP taucht es laut heise gar nicht auf. Die neue Nachfrage kommt vorher, und das halte ich für den eigentlichen Fortschritt. Ein Warnschild hinter der Kurve hat noch niemanden gebremst. Wie oft dich das trifft, hat Google in den ersten Wochen gemessen: Fast 95 Prozent der Nutzer am Rechner sahen in einer Woche keine einzige Warnung, weniger als ein Prozent sahen drei oder mehr. Angekündigt hatte Google den Schritt schon im Oktober 2025 für Chrome 154, heise nennt jetzt Chrome 155\. Wichtiger als die Nummer ist der Schalter, zu dem kommen wir noch. ![Schaubild in vier Schritten: Chrome probiert zuerst HTTPS. Private Adressen wie 192.168.x.x, Namen ohne Punkt, .lan und .local lässt es ohne Frage durch. Bei öffentlichen Namen ohne HTTPS, wozu auch fritz.box und .home.arpa zählen können, zeigt es eine Warnseite. Nach einer Zustimmung fragt es erst nach zwei Wochen ohne Besuch wieder.](https://sakis.tech/content/images/2026/10/grafik-24.png) Vier Stationen zwischen Adresszeile und Seite. Neu ist die dritte. ## Router, NAS, Pi-hole: welche Adressen Chrome in Ruhe lässt Ausgenommen sind Seiten, die gar kein öffentlich anerkanntes Zertifikat bekommen können. **Zertifikat?** Der Ausweis einer Website. Eine Stelle, der dein Browser vertraut, stellt ihn aus, und zwar nur für einen Namen, der weltweit genau einem gehört. Für 192.168.178.1 bekommt niemand so einen Ausweis, denn unter dieser Adresse steht in Millionen Wohnungen eine andere Kiste. Google nennt als Beispiele lokale IP-Adressen wie 192.168.0.1 und Namen ohne Punkt wie `intranet/`. Der Leitfaden, den das Chromium-Projekt für Website-Betreiber schreibt, ergänzt `localhost`, also den eigenen Rechner, und Namen, die nicht eindeutig sind, etwa `staging.local`. Chromium ist der offene Unterbau von Chrome, sein Quellcode ist öffentlich. Fürs Heimnetz ergibt das diese Liste: | Adresse | Fragt Chrome? | Warum | | -------------------------------- | ----------------------------- | ------------------------------------------ | | http://192.168.178.1 | nein | lokale IP-Adresse | | http://pihole/admin | nein | Name ohne Punkt | | http://nas.lan, http://nas.local | nein | Endung steht in keiner öffentlichen Liste | | http://fritz.box | beim ersten Aufruf, erwartbar | .box ist eine echte Endung | | http://kuma.home.arpa | beim ersten Aufruf, erwartbar | home.arpa steht in der öffentlichen Liste | | http://jellyfin.deine-domain.de | beim ersten Aufruf | öffentlicher Name, laut Chromium-Leitfaden | Die beiden Zeilen mit „erwartbar“ sind meine Ableitung. Google sagt zu diesen Endungen kein Wort, deshalb hier der Weg dahin. Im Chromium-Quellcode gilt ein Name nur dann als nicht eindeutig, wenn seine Endung bei keiner öffentlichen Registry steht, also bei keiner Stelle, die Namen weltweit vergibt. Welche Endungen das sind, steht in der Public Suffix List, einer öffentlichen Textdatei. `box` steht drin, als Registry ist die Firma Intercap eingetragen. `home.arpa` steht auch drin. `lan` und `local` stehen nicht drin. Nachprüfen kannst du das selbst, die Liste ist unten bei den Quellen verlinkt. Bei `home.arpa` steckt darin eine kleine Absurdität. RFC 8375, der Standard, der die Endung 2018 für Heimnetze reserviert hat, bestimmt sie wörtlich für den „non-unique use“, den nicht eindeutigen Gebrauch. Chromium fragt, ob ein Name nicht eindeutig ist, schaut in die Liste und sagt: nein. Das betrifft auch uns. In der Anleitung zum [Nginx Proxy Manager](https://sakis.tech/nginx-proxy-manager-installieren/) heißen die Dienste `kuma.home.arpa`, und dabei bleibe ich. Für Namen im eigenen Haus ist die Endung weiter die sauberste, weil sie mit keiner echten Domain zusammenstößt. Der Preis ist nach dieser Logik eine Nachfrage pro Dienst, und solange du ihn mindestens alle zwei Wochen öffnest, kommt sie nicht wieder. Bei der FritzBox gibt es einen kürzeren Ausweg, falls dich die Nachfrage stört: Tipp statt `fritz.box` die IP-Adresse der Box ein. Lokale IP-Adressen nimmt Google ausdrücklich aus. ## Dein Homelab unter eigener Domain Die letzte Zeile der Tabelle betrifft alle, die ihren Diensten Namen unter einer eigenen Domain geben, etwa `jellyfin.deine-domain.de`, und sie per [Wildcard-Eintrag in Pi-hole](https://sakis.tech/pi-hole-wildcard-dns/), einer Regel für alle Namen unter dieser Domain, auf einen Rechner im Haus zeigen lassen. Hier muss ich nichts ableiten, der Chromium-Leitfaden sagt es selbst: Ein Server ohne HTTPS unter einem öffentlichen Namen kann die Warnung auslösen, nach dem Klick auf Weiter läuft alles wie bisher. Dass der Name bei dir zu Hause auf eine private Adresse zeigt, nennt der Leitfaden nicht als Ausnahme. Wer hier Ruhe will, gibt den Diensten HTTPS. Mit eigener Domain geht das, ohne einen Port nach draußen zu öffnen: Let's Encrypt, eine kostenlose Ausgabestelle für Zertifikate, prüft über einen kurzzeitigen Eintrag bei deinem Domain-Anbieter, dass dir die Domain gehört, und stellt dann ein Zertifikat aus, auch für Dienste, die nur im Heimnetz laufen. Nginx Proxy Manager, der Pförtner, der alle Anfragen annimmt und an den richtigen Dienst weiterreicht, kann das von Haus aus. Warum so ein [Reverse Proxy](https://sakis.tech/was-ist-ein-reverse-proxy-einfach-erklart-furs-homelab/) der richtige Ort für Zertifikate ist, steht hier schon. Übers Knie brechen würde ich trotzdem nichts. Ein Klick pro Dienst ist kein Notfall, und wer ohnehin mit HTTPS im Heimnetz geliebäugelt hat, bekommt jetzt einen Grund mehr, nicht den ersten. Wenn du wissen willst, wo bei dir überhaupt noch HTTP läuft, hilft Chrome selbst. Die Einstellung hat eine zweite Stufe, die auch vor privaten Websites warnt. Einen Abend lang eingeschaltet, hält sie dich an jeder unverschlüsselten Oberfläche im Haus an, vom Drucker bis zum NAS. Danach stellst du zurück auf öffentliche Websites. Die Idee stammt aus dem Chromium-Leitfaden, der Firmen rät, die Einstellung vorab einzuschalten, um ihre HTTP-Reste zu finden. ## Ausschalten geht, ich würde es lassen Die Einstellung steht unter `chrome://settings/security` im Abschnitt „Sichere Verbindungen“, der Schalter heißt „Immer verschlüsselte Verbindungen verwenden“. Darunter wählst du, ob Chrome nur vor öffentlichen oder auch vor privaten Websites warnt. Abschalten lässt sich das Ganze am Rechner und unter Android. Ich würde den Schalter anlassen. Bei einer Seite, die du kennst, kostet die Nachfrage einen Klick. Bei einer Seite, die du nicht kennst, hält sie dich kurz an: beim Link aus einer Mail, der über eine HTTP-Weiterleitung läuft, oder im Café-WLAN, wo jemand die Postkarte mitlesen kann. Wer wegen der einen Vereinsseite alles abschaltet, verliert den Schutz für alle anderen Seiten. Betreibst du selbst eine kleine Website, etwa die vom Verein, reicht HTTPS am Ziel nicht. Laut Chromium-Leitfaden muss jede Station einer Weiterleitung verschlüsselt erreichbar sein. Leitet deine Adresse ohne www auf die mit www weiter, braucht auch die ohne www ein Zertifikat, sonst warnt Chrome, obwohl am Ende alles verschlüsselt ist. Bei welcher Adresse hat Chrome dich schon angehalten? Schreib sie in die Kommentare, gern mit Endung, dann sehen wir, wie oft es `.box` und `.home.arpa` wirklich trifft. Wenn du solche Meldungen lieber gesammelt liest: Der Newsletter fasst sonntags die Woche zusammen, diese hier eingeschlossen. sakis@homelab:\~$ echo "bleib neugierig — und mach backups" ## Quellen - [Google: Chrome Now Warns Before Insecure HTTP Connections (21.10.2026, Standard für alle, Ausnahmen für private Adressen, zwei Wochen, erste Rollout-Zahlen)](https://blog.google/security/chrome-now-warns-before-insecure-http-connections/?ref=sakis.tech) - [Google Security Blog: HTTPS by default (28.10.2025, Ankündigung für Chrome 154, öffentliche und private Seiten, 95 bis 99 Prozent HTTPS)](https://blog.google/security/https-by-defau/?ref=sakis.tech) - [Chromium: Adapting your website for Chrome's Ask-before-HTTP warning (localhost, staging.local, öffentliche Namen, Weiterleitungsketten, Enterprise-Richtlinien)](https://chromium.googlesource.com/chromium/src/+/main/docs/security/ask-before-http/ask-before-http-adoption-guide.md?ref=sakis.tech) - [Google Chrome-Hilfe: Sicherheit in Chrome verwalten (Schalter „Immer verschlüsselte Verbindungen verwenden“, öffentliche und private Websites)](https://support.google.com/chrome/answer/10468685?co=GENIE.Platform%3DDesktop&hl=de&ref=sakis.tech) - [Chromium-Quellcode: net/base/url\_util.cc (IsHostnameNonUnique: private IPs und Endungen ohne öffentliche Registry)](https://raw.githubusercontent.com/chromium/chromium/main/net/base/url%5Futil.cc?ref=sakis.tech) - [Chromium-Quellcode: chrome/browser/ssl/https\_upgrades\_util.cc (ShouldExemptNonUniqueHostnames: Ausnahme außer im strengen Modus)](https://raw.githubusercontent.com/chromium/chromium/main/chrome/browser/ssl/https%5Fupgrades%5Futil.cc?ref=sakis.tech) - [Public Suffix List (Einträge box und home.arpa; keine Einträge lan, local, internal)](https://publicsuffix.org/list/public%5Fsuffix%5Flist.dat?ref=sakis.tech) - [RFC 8375: Special-Use Domain 'home.arpa.' (Mai 2018, „non-unique use in residential home networks“)](https://www.rfc-editor.org/rfc/rfc8375.html?ref=sakis.tech) - [heise online: Chrome: Google macht Schluss mit unsicheren HTTP-Verbindungen (22.10.2026, Chrome 155, „Nicht sicher“ erst nach dem Aufbau)](https://www.heise.de/news/Chrome-Google-macht-Schluss-mit-unsicheren-HTTP-Verbindungen-11497052.html?ref=sakis.tech) - [Android Authority: Google Chrome is done warning you about insecure websites after the fact (21.10.2026)](https://www.androidauthority.com/google-chrome-https-security-warnings-default-3725570/?ref=sakis.tech)