AVG Webschutz blockt ganze Website oder einzelne Websiteinhalte: der Grund und die Lösung

Wenn moderne Technik zu modern ist: Wie die AVG-Software HTTP/3 blockierte – und warum unsere Lösung jetzt anderen helfen kann, hier ist unser Blogartikel. Als wir die Website des Internatsgymnasiums Schloss Torgelow Ende Oktober 2025 relauncht haben (ein separater Blogartikel folgt dazu noch!), sollte alles perfekt werden … und das wurde es auch: ein neues WordPress-System, Migration der Websiteinhalte von Typo3 zu WordPress, High-Performance-Hosting auf einem modernen Cloudserver von Hetzner, Top-Scores bei PageSpeed, Barrierefreiheit und Sicherheit und ein UX-Design, das zu den modernsten Schulwebsites weltweit zählen dürfte.

Doch während bei uns alles blitzschnell lief, meldete der Kunde plötzlich: „Die Seite lädt extrem langsam oder gar nicht. Manchmal fehlen Bilder, manchmal ist alles weiß.“

Was zunächst wie ein typischer Cache- oder Browserfehler klang, entpuppte sich nach intensiver Analyse als ein hochspezifisches Zusammenspiel von Firefox, Windows, AVG Webschutz und dem neuen HTTP/3-Protokoll.

Die Symptome: ERR_QUIC_PROTOCOL_ERROR & NS_ERROR_NET_PARTIAL_TRANSFER

In der Entwicklungsumgebung (Staging) kam es zu kuriosen Fehlern:

• Skripte und Bilder luden nicht vollständig.
• In der Browserkonsole tauchten Meldungen wie ERR_QUIC_PROTOCOL_ERROR und NS_ERROR_NET_PARTIAL_TRANSFER auf.
• Dasselbe Bild, das auf der Seite fehlschlug, ließ sich im neuen Tab problemlos öffnen.

Der Verdacht lag nahe: Kein Codefehler, sondern ein Transportproblem – also etwas zwischen Browser, Server und Netzwerk.

Die Spurensuche: Von Theme bis Antivirus

Um Störfaktoren auszuschließen, gingen wir systematisch vor:

• Theme gewechselt → keine Änderung
• Cache deaktiviert → keine Änderung
• Plugins abgeschaltet → keine Änderung
• Firewall & WAF geprüft → nichts Verdächtiges

Erst als wir eine saubere Testumgebung aufsetzten – ein frisches Windows-System mit AVG Antivirus und Firefox – zeigte sich:
Sobald AVG Webschutz aktiv war, traten die Fehler auf. Nach dem Deaktivieren des Webschutz-Moduls lief alles reibungslos.

Parallel unterstütze der Systemadministrator unseres Kunden und meldete: … dass er sich jetzt nochmal durch ca. 15 verschiedene Virenscanner durchgearbeitet hat. Wir haben hierbei nur die kostenlosen Version ausgetestet.
Die neue Webseite läuft nicht bei AVG free, AVG Business, und Avast Free – jeweils in Kombination mit Firefox.

Die Ursache: HTTP/3 über QUIC trifft auf Sicherheitssoftware

HTTP/3 ist die neueste Version des Webprotokolls, das im Gegensatz zu HTTP/2 nicht mehr auf TCP, sondern auf QUIC über UDP (Port 443) setzt. Die Browserkomptatibilität ist bei allen großen Browsern gegeben – siehe Screenshot von https://caniuse.com/http3.

Der Einsatz von HTTP/3 macht Verbindungen theoretisch schneller und stabiler – allerdings nicht überall.

Einige Firewalls, Router und Antivirenlösungen behandeln UDP-Datenverkehr restriktiver. Genau das tat anscheinend auch der DNS/DoS-Scanner von AVG, der den QUIC-Datenstrom fälschlicherweise einschränkte.
Die Folge: Abgebrochene Dateiübertragungen – insbesondere bei größeren Bildern oder JavaScript-Dateien.

Interessant: Auf einer anderen Domain, die auf demselben Server lief, traten keine Probleme auf. Der Unterschied?
Diese Domain blieb auf HTTP/2 (TCP) – also dem älteren, konservativeren Protokoll, das AVG nicht blockierte.

Die Lösung: HTTP/3 abschalten & Browser informieren

Um Stabilität für alle Nutzer sicherzustellen, entschieden wir uns für den pragmatischen Weg:
Wir deaktivierten HTTP/3 für die betroffene Domain und schickten zusätzlich den Header Alt-Svc: clear an alle Browser. Damit wird der Befehl gegeben: „Vergiss HTTP/3 für diese Seite – nutze wieder HTTP/2.“

In der nginx-Konfiguration sah das so aus:

listen 443 ssl http2;
add_header Alt-Svc „clear“ always;

Ab diesem Moment war die Seite sofort stabil bei allen Geräten, allen Browsern und allen AVG-geschützten Rechnern.

Was man daraus lernen kann

Diese Erfahrung war nicht nur für uns, sondern potenziell für Tausende andere Betreiber relevant. Wir hatten bei unserer Recherche vorab via Google nach einer Ursache für das Problem gesucht und auch mit verschiedenen KI-Antwort-Engines das Problem besprochen, aber HTTP/3 als Ursache für so ein Problem beim Einsatz von AVG in Kombination mit dem Firefox-Browser war anscheinend noch nirgendwo öffentlich dokumentiert. Interessanterweise ist wohl die Kombination aus AVG und Firefox eines der Kernprobleme. Ich besprach das Problem mit meiner Frau, die am Internatsgymnasium Torgelow Mathematik und Wirtschaft unterrichtet und sie teilte mir mit, dass sie für den Wirtschaftsunterricht auch eine bestimmte Website für den Wirtschaftsunterricht mit den Schülern aufruft … immer mit dem Hinweis, die Seite nicht mit dem Firefox zu öffnen, weil es Anzeige- und Ladeprobleme gebe, die es bei Edge oder Chrome nicht gibt. Ich nehme an, die Websitebetreiber wissen davon schlicht gar nichts.

Wer heute HTTP/3 aktiviert, läuft Gefahr, dass bestimmte Sicherheitslösungen Inhalte unbemerkt blockieren – besonders unter Windows, Firefox und Antivirus-Systemen mit Webschutz (z. B. AVG, Avast, …).

Auch da müssen die Anbieter der Sicherheitslösungen umbedenken. Mittlerweile setzen ca. 36 Prozent aller Websites HTTP/3 ein. Siehe hier ein Screenshot von https://w3techs.com/technologies/overview/site_element

Ein paar Praxistipps:

• Fehlerbilder wie ERR_QUIC_PROTOCOL_ERROR oder NS_ERROR_NET_PARTIAL_TRANSFER deuten oft auf HTTP/3/QUIC-Probleme hin.
• In Firefox lässt sich das prüfen unter
  about:config → network.http.http3.enabled = false.
• Serverseitig kann man temporär testen, indem man HTTP/3 deaktiviert und Alt-Svc: clear sendet.

Falls nötig, kann man HTTP/3 später gezielt wieder aktivieren – aber nur, wenn sichergestellt ist, dass keine Schutzsoftware mehr in die UDP-Kommunikation eingreift.

Fazit zu HTTP/3 und AVG

Nicht der Code, nicht das Hosting, nicht das CMS, sondern eine Kombination aus modernem Protokoll und übervorsichtigem Virenschutz brachte die Seite ins Straucheln. Unsere Erkenntnis: Performance-Innovationen wie HTTP/3 sind großartig, aber in der Praxis muss man prüfen, ob wirklich alle Glieder der Kette bereit dafür sind. Hätte unser Kunde selbst nicht AVG im Einsatz, es wäre uns ehrlicherweise gar nicht aufgefallen. Auch wenn am Ende nur ein Promillewert an Nutzern von den Ladeproblemen betroffen wäre, ist es dennoch ärgerlich.

Dank der gründlichen Analyse unseres Entwicklerteams läuft schlosstorgelow.de nun schnell, sicher und stabil. Wir teilen diese Erkenntnis, damit auch andere Webentwickler, Administratoren und Agenturen schneller zum Ziel kommen, wenn ähnliches passiert.