ERR_SSL_VERSION_OR_CIPHER_MISMATCH: So beheben Sie den Fehler (alle Browser)

Was bedeutet ERR_SSL_VERSION_OR_CIPHER_MISMATCH?

ERR_SSL_VERSION_OR_CIPHER_MISMATCH ist ein Browserfehler, der auftritt, wenn Ihr Browser und der Webserver sich nicht auf eine gemeinsame TLS-Protokollversion oder Verschlüsselungs-Cipher-Suite einigen können — während des SSL/TLS-Handshakes. Der Browser blockiert die Verbindung vollständig, da kein sicherer Kanal aufgebaut werden kann.

Jede HTTPS-Verbindung beginnt mit einem TLS-Handshake. Dabei sendet der Browser eine Liste der von ihm unterstützten TLS-Versionen und Cipher Suites (das sogenannte ClientHello). Der Server wählt eine davon aus, die er ebenfalls unterstützt, und antwortet (ServerHello). Gibt es keine Übereinstimmung — der Server bietet nur Protokolle oder Cipher an, die der Browser als veraltet eingestuft hat oder nicht kennt — schlägt der Handshake sofort mit diesem Fehler fehl.

Der zugrunde liegende Chromium-Fehlercode lautet net::ERR_SSL_VERSION_OR_CIPHER_MISMATCH. In Firefox wird derselbe Fehler als SSL_ERROR_NO_CYPHER_OVERLAP angezeigt. Beide bedeuten dasselbe: Client und Server haben keine gemeinsame Grundlage für eine sichere Verbindung.

Wie der Fehler in jedem Browser aussieht

Verschiedene Browser zeigen unterschiedliche Fehlermeldungen für denselben zugrunde liegenden TLS-Aushandlungsfehler an. Die vollständige Chrome-Fehlermeldung lautet: "Diese Website kann keine sichere Verbindung bereitstellen. [Domain] verwendet ein nicht unterstütztes Protokoll."

Was verursacht ERR_SSL_VERSION_OR_CIPHER_MISMATCH?

Dieser Fehler hat sowohl serverseitige als auch clientseitige Ursachen. Wenn der Fehler auf einer bestimmten Website auftritt, liegt das Problem fast sicher am Server. Wenn er auf vielen Websites auftritt, stört etwas auf Ihrem Gerät oder in Ihrem Netzwerk die Verbindung.

• Server verwendet veraltetes TLS 1.0 oder TLS 1.1 — Chrome, Edge, Firefox und Safari haben die Unterstützung für TLS 1.0 und 1.1 im Jahr 2020 eingestellt. Wenn ein Server nur diese alten Protokolle anbietet, verweigern moderne Browser die Verbindung. Dies ist die häufigste serverseitige Ursache.

• Schwache oder veraltete Cipher Suites — Cipher Suites wie RC4 (seit Chrome 48 im Jahr 2016 entfernt), 3DES und Export-Grade-Cipher werden von allen modernen Browsern blockiert. Wenn der Server nur diese anbietet, schlägt der Handshake fehl.

• SHA-1-signiertes Zertifikat — Browser vertrauen seit 2017 keinen SHA-1-Zertifikaten mehr. Wenn Ihr Zertifikat SHA-1 statt SHA-256 verwendet, wird es abgelehnt.

• Abgelaufenes SSL-Zertifikat — Ein abgelaufenes Zertifikat kann in einigen Browsern diesen Fehler auslösen, anstatt des häufigeren ERR_CERT_DATE_INVALID, insbesondere in Kombination mit anderen Fehlkonfigurationen.

• Zertifikats-Namensabweichung — Das SSL-Zertifikat wurde für example.com ausgestellt, aber die Website wird unter www.example.com aufgerufen (oder einer Subdomain, die nicht vom Zertifikat abgedeckt wird).

• Unvollständige Zertifikatskette — Fehlende Zwischenzertifikate verhindern, dass der Browser die Vertrauenskette verifizieren kann. Erfahren Sie mehr in unserem Leitfaden zur SSL-Zertifikatskette.

• Cloudflare/CDN-Fehlkonfiguration — Wenn Ihre Website Cloudflare nutzt, ist das SSL-Zertifikat möglicherweise noch nicht aktiv (dauert bis zu 24 Stunden), der DNS-Eintrag steht auf DNS-only statt Proxied, oder eine mehrstufige Subdomain wird nicht vom Universal-Zertifikat abgedeckt.

• Altes Betriebssystem — Windows XP, Android 4.x und andere ältere Betriebssysteme unterstützen weder TLS 1.2 noch moderne Cipher Suites und können daher keine Verbindung zu Servern herstellen, die diese erfordern.

• Antivirus-HTTPS-Scanning — Sicherheitssoftware wie Avast, Kaspersky oder Bitdefender fängt HTTPS-Verbindungen mit eigenen Zertifikaten ab, was zu Cipher-Abweichungen führen kann.

• Browser oder Gerät muss aktualisiert werden — Sehr alte Browserversionen unterstützen möglicherweise die Cipher Suites nicht, die der Server erfordert.

So beheben Sie ERR_SSL_VERSION_OR_CIPHER_MISMATCH (für Nutzer)

Wenn Sie diesen Fehler beim Surfen sehen, hat die Website wahrscheinlich ein serverseitiges SSL-Problem. Es gibt jedoch mehrere Dinge, die Sie zuerst auf Ihrer Seite versuchen können. Wenn der Fehler nur auf einer Website auftritt, springen Sie zu den Lösungen für Website-Betreiber — das Problem liegt am Server. Wenn er auf mehreren Websites auftritt, versuchen Sie diese Nutzer-Lösungen.

Lösung 1: SSL-Status leeren (Windows)

Windows speichert SSL-Zertifikate und Sitzungsdaten separat vom Browser. Veraltete oder beschädigte Einträge in diesem systemweiten Cache können dauerhafte Cipher-Mismatch-Fehler verursachen, auch nachdem der Browser-Cache geleert wurde.

Öffnen Sie das Startmenü und suchen Sie nach Internetoptionen (oder drücken Sie Win+R und geben Sie inetcpl.cpl ein). Wechseln Sie zum Tab Inhalte und klicken Sie auf SSL-Status löschen. Klicken Sie auf OK und starten Sie Ihren Browser neu.

Lösung 2: Browser-Cache und Cookies leeren

Gespeicherte HSTS-Richtlinien (HTTP Strict Transport Security) oder alte SSL-Sitzungstickets können Ihren Browser dazu zwingen, Verbindungen mit veralteten Parametern herzustellen.

• Chrome/Edge: Drücken Sie Strg+Umschalt+Entf → stellen Sie auf Gesamte Zeit → aktivieren Sie Bilder und Dateien im Cache und Cookies → klicken Sie auf Daten löschen

• Firefox: Drücken Sie Strg+Umschalt+Entf → stellen Sie auf Alles → aktivieren Sie Cache und Cookies → klicken Sie auf Jetzt löschen

• Safari: Safari-Menü → Einstellungen → Datenschutz → Websitedaten verwalten → Alle entfernen

Für eine einzelne Domain können Sie auch den HSTS-Eintrag in Chrome löschen: Navigieren Sie zu chrome://net-internals/#hsts → unter "Delete domain security policies" → geben Sie die Domain ein → klicken Sie auf Delete.

Lösung 3: QUIC-Protokoll deaktivieren

Das QUIC-Protokoll von Chrome (HTTP/3 über UDP) kann manchmal die TLS-Aushandlung auf Servern stören, die es nicht ordnungsgemäß unterstützen, oder wenn Netzwerkgeräte UDP auf Port 443 blockieren.

• Schritt 1: Geben Sie chrome://flags/#enable-quic in die Adressleiste ein

• Schritt 2: Setzen Sie Experimental QUIC protocol auf Disabled

• Schritt 3: Klicken Sie auf Relaunch, um Chrome neu zu starten

Wenn der Fehler verschwindet, lag das Problem an einem QUIC/HTTP/3-Konflikt. Sie können QUIC deaktiviert lassen — Seiten werden über Standard-HTTPS (HTTP/2 über TCP) ohne sichtbaren Unterschied geladen.

Lösung 4: Browser und Betriebssystem aktualisieren

Ältere Browser und Betriebssysteme unterstützen möglicherweise nicht die TLS-Versionen oder Cipher Suites, die moderne Websites erfordern. Dies ist eine häufige Ursache auf älteren Systemen.

Aktualisieren Sie Chrome unter chrome://settings/help. Aktualisieren Sie Edge unter edge://settings/help. Stellen Sie bei Ihrem Betriebssystem sicher, dass Sie mindestens Windows 10, macOS 10.15 oder eine aktuelle Linux-Distribution verwenden. Windows XP und Windows Vista unterstützen TLS 1.2 nicht nativ und werden diesen Fehler auf nahezu jeder modernen Website anzeigen.

Lösung 5: Antivirus-HTTPS-Scanning deaktivieren

Antivirenprogramme, die HTTPS-Datenverkehr scannen (Avast, Kaspersky, Bitdefender, ESET, Norton), fungieren als Man-in-the-Middle-Proxy — sie fangen den TLS-Handshake ab und präsentieren dem Browser ihr eigenes Zertifikat. Dies kann zu Cipher-Abweichungen führen, wenn das Antivirenprogramm nicht dieselben Cipher wie der ursprüngliche Server unterstützt.

Suchen Sie in Ihrem Antivirenprogramm nach Einstellungen mit den Namen HTTPS-Scanning, SSL-Scanning, Web-Schutz oder Scanning verschlüsselter Verbindungen und deaktivieren Sie diese vorübergehend. Wenn der Fehler behoben wird, fügen Sie die betroffene Domain zur Ausnahmeliste des Antivirenprogramms hinzu, anstatt die Funktion dauerhaft deaktiviert zu lassen.

Lösung 6: Inkognito-/Privatmodus verwenden

Der Inkognito-Modus verwendet einen sauberen Browserzustand ohne gespeicherte Daten, Cookies oder Erweiterungen. Wenn die Website im Inkognito-Modus funktioniert, aber nicht im normalen Modus, verursacht eine Browsererweiterung, gespeicherte Daten oder ein beschädigtes Profil den Fehler.

Öffnen Sie den Inkognito-Modus mit Strg+Umschalt+N (Chrome/Edge) oder Strg+Umschalt+P (Firefox). Wenn die Website funktioniert, gehen Sie zurück und leeren Sie Ihren Cache (Lösung 2) oder deaktivieren Sie Erweiterungen einzeln, um den Verursacher zu finden.

Lösung 7: VPN oder Proxy deaktivieren

VPNs und HTTP-Proxys befinden sich zwischen Ihrem Browser und dem Webserver. Einige VPNs führen eine SSL-Inspektion durch oder leiten Verbindungen über Server mit eingeschränkter Cipher-Unterstützung weiter. Unternehmens-Proxys verwenden häufig SSL-Interception, die Cipher-Abweichungen auslösen kann.

Trennen Sie vorübergehend Ihre VPN-Verbindung und versuchen Sie, die Website direkt zu laden. Wenn sie ohne VPN funktioniert, versuchen Sie, zu einem anderen VPN-Serverstandort zu wechseln, oder kontaktieren Sie Ihren VPN-Anbieter bezüglich der TLS-Kompatibilität.

So beheben Sie ERR_SSL_VERSION_OR_CIPHER_MISMATCH (für Website-Betreiber)

Wenn Nutzer diesen Fehler auf Ihrer Website melden, liegt das Problem in der SSL/TLS-Konfiguration Ihres Servers. Die folgenden Lösungen beheben die Grundursachen — von Zertifikatsproblemen bis hin zu Protokoll- und Cipher-Einstellungen.

Lösung 1: SSL-Zertifikat überprüfen

Überprüfen Sie zunächst, ob Ihr SSL-Zertifikat gültig ist, nicht abgelaufen ist und die richtige Domain abdeckt. Verwenden Sie den SSL-Checker von DNS Robot, um sofort den Zertifikatsstatus, das Ablaufdatum, den Aussteller und die Vollständigkeit der Kette zu prüfen.

Häufige Zertifikatsprobleme, die diesen Fehler verursachen:

• Abgelaufenes Zertifikat — Let's-Encrypt-Zertifikate laufen alle 90 Tage ab. Wenn die automatische Erneuerung fehlschlägt, läuft Ihr Zertifikat still ab und Browser verweigern die Verbindung.

• Falsche Domain — Das Zertifikat deckt example.com ab, aber die Website wird unter www.example.com oder einer Subdomain betrieben. Das Zertifikat muss exakt zur Domain passen oder ein Wildcard enthalten (*.example.com).

• SHA-1-Zertifikat — Alle großen Browser haben SHA-1-Zertifikate 2017 abgelehnt. Wenn Ihr Zertifikat noch SHA-1 verwendet, stellen Sie es mit SHA-256 neu aus.

• Selbstsigniertes Zertifikat — Nur in Entwicklungsumgebungen vertrauenswürdig. Produktionsseiten benötigen ein Zertifikat von einer anerkannten Zertifizierungsstelle.

# Check certificate details from command line
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | openssl x509 -noout -dates -subject -issuer -fingerprint -sha256

# Check which TLS versions the server supports
nmap --script ssl-enum-ciphers -p 443 yourdomain.com

# Renew Let's Encrypt certificate
sudo certbot renew --force-renewal

Lösung 2: TLS 1.2 und TLS 1.3 aktivieren

Alle modernen Browser erfordern mindestens TLS 1.2. Wenn Ihr Server nur TLS 1.0 oder 1.1 anbietet, zeigen Browser ERR_SSL_VERSION_OR_CIPHER_MISMATCH an. Aktivieren Sie sowohl TLS 1.2 als auch TLS 1.3 — deaktivieren Sie alles Ältere.

# Nginx — in nginx.conf or site config
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;

# Apache — in httpd.conf or ssl.conf
SSLProtocol -all +TLSv1.2 +TLSv1.3
SSLHonorCipherOrder on

# After changing, restart your web server:
sudo systemctl restart nginx    # or apache2

Testen Sie nach der Aktualisierung mit dem SSL-Checker von DNS Robot oder Qualys SSL Labs, ob nur TLS 1.2 und 1.3 aktiv sind.

Lösung 3: Cipher Suites aktualisieren

Selbst mit aktiviertem TLS 1.2 verursacht die Verwendung veralteter Cipher Suites denselben Fehler. Browser blockieren RC4 (seit 2016), 3DES, Export-Grade-Cipher und NULL-Cipher. Ihr Server muss moderne AEAD-Cipher wie AES-GCM oder ChaCha20-Poly1305 anbieten.

# Nginx — modern cipher configuration
ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305';
ssl_prefer_server_ciphers off;  # Let client choose (TLS 1.3 best practice)

# Apache — modern cipher configuration
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384
SSLHonorCipherOrder off

Lösung 4: Vollständige Zertifikatskette installieren

Eine unvollständige Zertifikatskette — bei der der Server nur sein eigenes Zertifikat sendet, aber nicht die Zwischenzertifikate — kann ERR_SSL_VERSION_OR_CIPHER_MISMATCH in einigen Browsern und auf bestimmten Geräten auslösen. Der Server muss die vollständige Kette vom Leaf-Zertifikat bis zur Zwischen-CA senden.

Bei Let's Encrypt verwenden Sie immer fullchain.pem (nicht cert.pem). Bei anderen CAs laden Sie das Zwischenzertifikat aus der Dokumentation Ihrer CA herunter und verketten Sie es mit Ihrem Zertifikat.

# Nginx — use fullchain, not just cert
ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem;

# Apache
SSLCertificateFile /etc/letsencrypt/live/yourdomain.com/fullchain.pem
SSLCertificateKeyFile /etc/letsencrypt/live/yourdomain.com/privkey.pem

# Verify chain is complete
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | grep -E "(depth|verify|Certificate chain)"

Lösung 5: Zertifikats-Namensabweichung beheben

Wenn Ihr SSL-Zertifikat nicht die exakte Domain oder Subdomain abdeckt, auf die zugegriffen wird, kann der TLS-Handshake mit einem Cipher-Mismatch-Fehler fehlschlagen. Dies passiert häufig, wenn:

• www vs. ohne www — Das Zertifikat deckt example.com ab, aber nicht www.example.com. Lösung: Verwenden Sie ein Zertifikat, das beide abdeckt, oder besorgen Sie sich ein Wildcard-Zertifikat (*.example.com).

• Subdomain nicht abgedeckt — Das Zertifikat deckt example.com ab, aber der Nutzer besucht app.example.com. Ein Wildcard-Zertifikat deckt Subdomains der ersten Ebene ab, aber keine mehrstufigen wie staging.app.example.com.

• Völlig falsche Domain — Der Server präsentiert ein Zertifikat für eine andere Domain (häufig bei Shared Hosting oder falsch konfigurierten Virtual Hosts).

Prüfen Sie, welche Domain Ihr Zertifikat abdeckt, mit dem SSL-Checker von DNS Robot — er zeigt die Liste der Subject Alternative Names (SANs) mit allen Domains und Subdomains an, die vom Zertifikat abgedeckt werden.

Lösung 6: Cloudflare-spezifische Lösungen

Wenn Ihre Website Cloudflare nutzt und Besucher ERR_SSL_VERSION_OR_CIPHER_MISMATCH sehen, liegt das Problem in der Regel an der Konfiguration des SSL-Proxys von Cloudflare.

• Zertifikat noch nicht aktiv — Das Universal SSL von Cloudflare benötigt 15 Minuten bis 24 Stunden zur Aktivierung, nachdem Sie eine Domain hinzugefügt haben. Überprüfen Sie den Zertifikatsstatus im Cloudflare-Dashboard unter SSL/TLS → Edge Certificates. Es muss "Active" anzeigen.

• DNS-Eintrag auf DNS-only gesetzt — Der DNS-Eintrag muss auf Proxied (orangefarbene Wolke) gesetzt sein, damit Cloudflare sein SSL-Zertifikat bereitstellt. Ist er auf DNS-only (graue Wolke) gesetzt, wird die Verbindung nicht über Cloudflare geleitet und stattdessen das SSL-Zertifikat Ihres Ursprungsservers verwendet.

• Mehrstufige Subdomain — Das Universal-Zertifikat von Cloudflare deckt nur example.com und *.example.com (eine Ebene) ab. Für sub.sub.example.com benötigen Sie ein Advanced Certificate, Total TLS oder ein benutzerdefiniertes Zertifikat.

• SSL/TLS-Modus-Abweichung — Setzen Sie im Cloudflare-Dashboard unter SSL/TLS den Verschlüsselungsmodus auf Full (Strict), wenn Ihr Ursprungsserver ein gültiges Zertifikat hat, oder auf Full, wenn Sie ein Cloudflare Origin Certificate verwenden.

Lösung 7: CDN-SSL-Konfiguration überprüfen

Wenn Ihre Website ein CDN verwendet (CloudFront, Fastly, Akamai oder einen Reverse Proxy), beendet das CDN die TLS-Verbindung mit dem Besucher. SSL-Fehlkonfigurationen auf CDN-Ebene verursachen diesen Fehler, selbst wenn die SSL-Konfiguration Ihres Ursprungsservers einwandfrei ist.

• CDN-Zertifikat abgelaufen oder fehlt — Stellen Sie sicher, dass das CDN über ein gültiges SSL-Zertifikat für Ihre Domain verfügt. Bei AWS CloudFront bedeutet dies ein ACM-Zertifikat. Bei anderen CDNs überprüfen Sie, ob Ihr benutzerdefiniertes Zertifikat hochgeladen und aktiv ist.

• CDN-TLS-Version zu alt — Einige CDN-Konfigurationen erlauben standardmäßig TLS 1.0. Aktualisieren Sie die Mindest-TLS-Version Ihres CDNs auf 1.2.

• SNI nicht unterstützt — Wenn das CDN mehrere Domains von einer IP aus bedient, muss es Server Name Indication (SNI) unterstützen, um das richtige Zertifikat für jede Domain zu präsentieren.

So testen Sie Ihre SSL-Konfiguration

Überprüfen Sie nach Änderungen, ob Ihre SSL-Konfiguration korrekt ist. Diese Tools helfen Ihnen, Probleme zu erkennen, bevor Ihre Besucher es tun.

• [DNS Robot SSL-Checker](/ssl-checker) — Schnelle Prüfung von Zertifikatsstatus, Ablaufdatum, Kettenvollständigkeit und Aussteller. Ergebnisse in Sekunden.

• Qualys SSL Labs — Tiefgehende Analyse von TLS-Versionen, Cipher Suites, Protokollunterstützung und bekannten Schwachstellen. Vergibt eine Buchstabennote (Ziel: A oder A+).

• OpenSSL CLI — Testen Sie über die Kommandozeile mit openssl s_client -connect domain.com:443, um den rohen Handshake, die Zertifikatskette und den ausgehandelten Cipher zu sehen.

• Chrome DevTools — Öffnen Sie DevTools (F12) → Tab Sicherheit → zeigt die TLS-Version, Cipher Suite und Zertifikatsdetails der aktuellen Verbindung.

# Quick OpenSSL check — shows protocol, cipher, and certificate
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com 2>/dev/null | grep -E "(Protocol|Cipher|subject|issuer|Not After)"

# Test specific TLS version support
openssl s_client -connect yourdomain.com:443 -tls1_2 2>/dev/null | head -5  # Test TLS 1.2
openssl s_client -connect yourdomain.com:443 -tls1_3 2>/dev/null | head -5  # Test TLS 1.3

Verwandte SSL/TLS-Fehler

Chrome hat mehrere SSL-bezogene Fehlercodes. Sie alle weisen auf unterschiedliche Phasen eines TLS-Fehlers hin.

Beginnen Sie bei jedem dieser SSL-Fehler damit, das Zertifikat mit dem SSL-Checker von DNS Robot zu überprüfen. Er zeigt den Zertifikatsstatus, die Kette, das Ablaufdatum und die unterstützten Protokolle in einem Scan an. Lesen Sie auch unsere Anleitungen zu ERR_SSL_PROTOCOL_ERROR und Ihre Verbindung ist nicht privat für detaillierte Lösungen.