SSL-Zertifikat-Laufzeit: bis 2029 nur noch 47 Tage

Die SSL-Zertifikat-Laufzeit sinkt schrittweise, und ein abgelaufenes Zertifikat kündigt sich selten an: Am Montagmorgen zeigt der Browser „Ihre Verbindung ist nicht privat“, Outlook meldet Zertifikatsfehler oder der VPN-Client verweigert die Verbindung. Bisher passierte das bei einem Jahreszertifikat einmal im Jahr; künftig wird daraus ein Vorgang, der sich alle paar Wochen wiederholt. Dieser Beitrag erklärt den Zeitplan und was IT-Verantwortliche jetzt vorbereiten sollten.

SSL-Zertifikat-Laufzeit: was beschlossen wurde

TLS-Zertifikate (oft noch SSL-Zertifikate genannt) sorgen dafür, dass eine Verbindung verschlüsselt ist und der Server wirklich der ist, für den er sich ausgibt. Welche Regeln für öffentlich vertrauenswürdige Zertifikate gelten, legt das CA/Browser Forum fest, ein Gremium aus Zertifizierungsstellen und Browserherstellern. Im April 2025 hat es mit dem Beschluss SC-081v3 folgenden Zeitplan verabschiedet:

Die erste Stufe ist bereits in Kraft. Zertifikate, die Sie seit dem 15. März 2026 kaufen, gelten höchstens 200 Tage, auch wenn Sie ein „Jahreszertifikat“ bezahlt haben. Viele Anbieter verkaufen deshalb Abonnements, bei denen Sie innerhalb der bezahlten Zeit mehrfach neu ausstellen.

Die zweite Spalte wird oft übersehen. Bevor eine Zertifizierungsstelle ein Zertifikat ausstellt, prüft sie, dass Sie die Domain kontrollieren, etwa über einen DNS-Eintrag oder eine Datei auf dem Webserver. Dieses Prüfergebnis durfte bisher lange wiederverwendet werden. Ab 2029 sind es nur noch zehn Tage. Praktisch heißt das: Fast jede Neuausstellung erfordert eine neue Domain-Prüfung. Wer das von Hand per Mail-Bestätigung erledigt, hat dann regelmäßig Arbeit damit.

Wichtig für die Einordnung: Die Regeln betreffen öffentlich vertrauenswürdige Zertifikate, also solche, denen Browser und Betriebssysteme ohne Zutun vertrauen. Zertifikate aus einer eigenen internen Zertifizierungsstelle, etwa aus den Active-Directory-Zertifikatsdiensten, sind davon nicht direkt betroffen.

Warum die Zertifikatslaufzeit sinkt

Hinter der kürzeren SSL-Zertifikat-Laufzeit stehen vor allem drei Gründe. Erstens ist ein gestohlener oder versehentlich veröffentlichter privater Schlüssel nur so lange nutzbar, wie das zugehörige Zertifikat gilt; kurze Laufzeiten verkleinern dieses Zeitfenster. Zweitens werden die Angaben im Zertifikat, vor allem die Domain-Kontrolle, häufiger neu geprüft und sind damit aktueller. Drittens lassen sich neue kryptografische Verfahren schneller flächendeckend einführen, wenn der gesamte Bestand ohnehin alle paar Wochen erneuert wird, ein Punkt, der mit Blick auf die Migration zur Post-Quanten-Kryptografie an Gewicht gewinnt. Der Zwang zur Automatisierung ist dabei ausdrücklich gewollt.

Let's Encrypt geht einen eigenen Weg

Let's Encrypt stellt seit Jahren kostenlose Zertifikate mit 90 Tagen Laufzeit aus und verkürzt ebenfalls. Laut eigener Ankündigung wechselt das Standardprofil am 10. Februar 2027 auf 64 Tage und am 16. Februar 2028 auf 45 Tage. Seit Mai 2026 gibt es bereits ein optionales Profil mit 45 Tagen. Außerdem verschickt Let's Encrypt seit Juni 2025 keine Erinnerungsmails mehr vor dem Ablauf. Wer sich darauf verlassen hat, bekommt heute keine Warnung mehr.

Was das für den Betrieb bedeutet

Bei einer SSL-Zertifikat-Laufzeit von 47 Tagen und einer Erneuerung mit etwas Vorlauf kommen auf jedes Zertifikat rund acht bis neun Erneuerungen pro Jahr. Bei zehn Zertifikaten sind das über 80 Vorgänge im Jahr, jeweils mit Ausstellen, Einspielen, Dienst neu starten und Kontrolle. Von Hand ist das nicht mehr zuverlässig zu leisten. Es geht nicht darum, ob irgendwann eines abläuft, sondern wann.

Die Lösung heißt Automatisierung: das SSL-Zertifikat automatisch erneuern lassen. Der etablierte Standard dafür ist ACME (Automatic Certificate Management Environment). Ein ACME-Client auf dem Server beantragt das Zertifikat, weist die Kontrolle über die Domain automatisch nach, spielt das Zertifikat ein und wiederholt das rechtzeitig vor Ablauf.

Gängige ACME-Werkzeuge

Domain-Prüfung per DNS

Für Server, die aus dem Internet nicht per HTTP erreichbar sind, ist die Prüfung über einen DNS-Eintrag (DNS-01) meist der bessere Weg. Der ACME-Client legt dazu kurzzeitig einen TXT-Eintrag an. Das setzt voraus, dass Ihr DNS-Anbieter eine Programmierschnittstelle hat und der Client einen Zugangsschlüssel bekommt. Dieser Schlüssel ist sicherheitskritisch, denn wer ihn hat, kann Ihre DNS-Einträge ändern. Beschränken Sie ihn deshalb, wo möglich, auf die nötigen Einträge. Hinweise dazu finden Sie in unserem Beitrag zum sicheren Betrieb von DNS-Servern.

Zuerst: das Inventar

Bevor Sie automatisieren, müssen Sie wissen, wo überall Zertifikate stecken. In mittelständischen Netzen finden sich typischerweise:

Erfassen Sie zu jedem Zertifikat: Name, Gerät, Aussteller, Ablaufdatum, wer es erneuert und wie. Bei Geräten, die kein ACME können, etwa ältere Drucker oder Verwaltungsoberflächen, gibt es drei Wege: ein Zertifikat aus der internen Zertifizierungsstelle verwenden, das Gerät hinter einen Reverse Proxy stellen, der das Zertifikat automatisch erneuert, oder das Gerät beim nächsten Austausch durch eines mit ACME-Unterstützung ersetzen.

Exchange verdient besondere Aufmerksamkeit. Nach dem Tausch muss das Zertifikat den Exchange-Diensten zugewiesen und die IIS-Bindung aktualisiert werden. Testen Sie den automatischen Ablauf deshalb einmal bewusst außerhalb der Geschäftszeiten, bevor Sie sich darauf verlassen.

Überwachen statt hoffen

Automatisierung kann still scheitern: Der DNS-Zugangsschlüssel wurde geändert, die Firewall blockiert die Prüfung, ein Update hat den Client verändert. Darum gehört jedes öffentliche Zertifikat in die Überwachung. Ein Monitoring-System prüft die Restlaufzeit und meldet, wenn sie unter eine Schwelle fällt, bei kurzen Laufzeiten etwa unter 14 Tage. Wie Sie ein solches System aufbauen, beschreibt unser Beitrag zum IT-Monitoring.

Falls es doch passiert: Die typischen Ursachen und Sofortmaßnahmen bei Zertifikatswarnungen im Browser haben wir auf der Seite „Verbindung nicht sicher“ zusammengestellt.

Checkliste: Erste Schritte

Wie DAVINCI unterstützt

Wir erfassen die Zertifikate in Ihrer Umgebung, richten ACME-Automatisierung auf Firewall, Exchange und Webservern ein und nehmen die Restlaufzeiten in die Überwachung auf. Für Firewalls verweisen wir auf unsere Leistungen rund um Firewalls. Sprechen Sie uns über die Kontaktseite an.

Verwandte Themen: Wer hier weiterdenkt, liest bei E-Mail-Verschlüsselung, DNS und Standortvernetzung weiter.