Chrome schiebt dem stillen HTTP einen Riegel vor. Wie heise am 22. Oktober 2026 berichtet, gilt mit Chrome 155 die Warnung vor unverschlüsselten Verbindungen standardmäßig für alle Nutzer. Anfang 2026 war sie nur für Nutzer des erweiterten Schutzes von Safe Browsing aktiv.
SO FUNKTIONIERT DIE NEUE WARNUNG
Der Browser versucht jede Verbindung zuerst per HTTPS aufzubauen. Klappt das nicht, erscheint eine Warnung, und Chrome fragt ausdrücklich nach Erlaubnis, bevor es die HTTP-Verbindung herstellt. Google begründet das so: Schon eine einzelne HTTP-Verbindung kann Angreifern den Einstieg bieten, etwa um Nutzer auf Schadseiten umzuleiten. Die bisherige Kennzeichnung komme laut Google zu spät, werde übersehen und erscheine bei kurzen Weiterleitungen gar nicht.
DIE AUSNAHMEN
- Nur beim ersten Besuch: Danach fragt Chrome nicht erneut, solange du die Seite nicht mindestens zwei Wochen lang meidest.
- Lokale Adressen: Seiten ohne öffentlich vertrauenswürdiges HTTPS-Zertifikat, etwa Hostnamen wie „intranet“ oder IPs wie 192.168.0.1, lösen standardmäßig keine Warnung aus. Google stuft sie als weniger riskant ein, weil Angreifer Zugang zum lokalen Netz brauchen.
EINSTELLUNG UND HINTERGRUND
Die Funktion läuft über die Option „Immer verschlüsselte Verbindungen verwenden“, die auf Desktop und Android standardmäßig aktiviert ist. In den Einstellungen lässt sie sich deaktivieren. Laut heise laufen bereits 95 bis 99 Prozent der Chrome-Seitenaufrufe über HTTPS. Google hatte die Änderung im Oktober des Vorjahres angekündigt und hält eine vollständige HTTPS-Nutzung für das Ziel.
BONUS IN CHROME 155
Die Version bringt außerdem einen Schutz vor ClickFix-Angriffen im erweiterten Schutzmodus: Chrome erkennt verdächtig kopierte Befehle und warnt, wenn Safe Browsing sie als gefährlich einstuft. heise empfiehlt das Update auf Version 155 zudem wegen zahlreicher Sicherheitslücken.
WAS DAS FÜR DEIN HOMELAB HEISST
Interne Dienste unter lokaler IP oder kurzem Hostnamen bleiben meist ungestört. Anders sieht es aus, wenn du einen Dienst unter einem öffentlichen Domainnamen ohne gültiges Zertifikat betreibst: Dann erscheint künftig beim ersten Aufruf die Rückfrage. Die Lösung ist dieselbe wie immer — ein Reverse-Proxy mit Let’s-Encrypt-Zertifikat, ob über Caddy, Nginx Proxy Manager oder Traefik.