Kaffee läuft. Wir auch. Noch bis 18:00 Uhr erreichbar.

Kürzere Zertifikatslaufzeiten: Was Sie jetzt prüfen sollten

·

Blogger Bernhard

Das kleine Schloss in der Adresszeile ist das, was Besucher von einer Website erwarten – und was niemand bemerkt, solange es da ist. Dahinter steckt ein TLS-Zertifikat (umgangssprachlich oft noch „SSL-Zertifikat“), und das hat ein Ablaufdatum. Läuft es ab, zeigt der Browser statt Ihrer Startseite eine Warnung, und Mailprogramme, Apps oder der Fernzugriff auf das NAS verweigern womöglich die Verbindung.

Bisher war das ein Thema für einmal im Jahr. Das ändert sich gerade Schritt für Schritt: Die Laufzeiten öffentlicher Zertifikate werden bis 2029 auf 47 Tage verkürzt, und die kostenlose Zertifizierungsstelle Let’s Encrypt hat am 7. Oktober 2026 ihren nächsten Schritt angekündigt. Dieser Beitrag klärt, wen das betrifft, wer sich entspannt zurücklehnen kann und was Sie jetzt prüfen sollten.

Was ändert sich?

Die Regeln für öffentlich vertrauenswürdige Zertifikate legt das CA/Browser Forum fest, ein Gremium aus Zertifizierungsstellen und Browserherstellern. Im April 2025 hat es mit dem Beschluss „SC-081“ einen Stufenplan verabschiedet. Die maximale Laufzeit für neu ausgestellte Zertifikate sinkt demnach so:

  • bis 14. März 2026: 398 Tage, also gut ein Jahr,
  • ab 15. März 2026: 200 Tage,
  • ab 15. März 2027: 100 Tage,
  • ab 15. März 2029: 47 Tage.

Parallel verkürzt sich die Frist, wie lange eine einmal durchgeführte Domain-Prüfung wiederverwendet werden darf – bis 2029 auf 10 Tage. Praktisch heißt das: Auch die Bestätigung „Diese Domain gehört wirklich Ihnen“ muss künftig deutlich häufiger erfolgen.

Die Stufe vom März 2026 ist übrigens schon spürbar: Ein Zertifikat, das am 15. März ausgestellt wurde, ist nach unserer Rechnung seit Anfang Oktober abgelaufen. Wer also im Frühjahr ein „Jahreszertifikat“ eingespielt hat, sollte nachsehen, ob es wirklich noch bis zum nächsten Frühjahr läuft.

Let’s Encrypt: 64 Tage ab Februar 2027

Let’s Encrypt stellt seit Jahren 90-Tage-Zertifikate aus und geht nun früher als vorgeschrieben weiter herunter. Laut Ankündigung vom 7. Oktober 2026 gilt:

  • seit 14. Oktober 2026: In der Testumgebung („Staging“) werden 64-Tage-Zertifikate ausgestellt, damit Betreiber ihre Abläufe vorab prüfen können.
  • ab 10. Februar 2027: 64 Tage werden Standard für alle.
  • ab 2028: voraussichtlich 45 Tage als Standard; in der früheren Ankündigung vom Dezember 2025 war dafür der 16. Februar 2028 genannt.

Bestehende Zertifikate werden nicht verkürzt oder widerrufen. Die neue Laufzeit greift jeweils bei der nächsten Erneuerung. Als Grund nennt Let’s Encrypt das geringere Risiko, wenn ein Schlüssel kompromittiert oder ein Zertifikat fehlerhaft ausgestellt wurde: Ein kurzlebiges Zertifikat ist schlicht schneller aus dem Verkehr.

Wen betrifft das – und wen nicht?

Wahrscheinlich nichts zu tun

  • Website im Baukasten oder Webhosting-Paket mit automatischem Zertifikat: Wenn der Hoster das Zertifikat selbst ausstellt und erneuert – häufig ein kostenloses Let’s-Encrypt-Zertifikat, das im Kundenbereich nur „aktiviert“ wurde –, liegt die Arbeit beim Anbieter. Ein kurzer Blick in den Kundenbereich, ob dort „automatische Verlängerung“ steht, schadet trotzdem nicht.
  • Cloud-Dienste wie Microsoft 365: Die Zertifikate für deren Server verwaltet der Anbieter.
  • Rein interne Zertifikate: Selbst signierte Zertifikate oder solche aus einer eigenen, internen Zertifizierungsstelle fallen nicht unter die Regeln für öffentliche Zertifikate.

Handlungsbedarf

  • Gekaufte Zertifikate, die von Hand eingespielt werden: etwa auf einem eigenen Mailserver, einem Exchange-Server im Haus, einer Firewall oder einem VPN-Zugang, auf dem NAS oder einem Webserver, den jemand „damals eingerichtet“ hat. Hier wird aus „einmal im Jahr“ erst „etwa halbjährlich“, ab 2027 „etwa alle drei Monate“ und ab 2029 „etwa alle sechs Wochen“ – mit etwas Puffer eher monatlich. Auch wer ein Mehrjahrespaket gekauft hat, muss das Zertifikat innerhalb dieser Zeit entsprechend häufiger neu ausstellen lassen und installieren.
  • Eigene Let’s-Encrypt-Automatik mit festen Intervallen: Skripte oder Programme, die stur „alle 60 Tage“ erneuern, kommen mit 64-Tage-Zertifikaten nur noch knapp hin, mit 45 Tagen nicht mehr. Let’s Encrypt rät ausdrücklich, Cronjobs, Skripte und Anleitungen nach fest eingetragenen Werten wie 83, 80 oder 60 Tagen zu durchsuchen.
  • Abläufe mit Handarbeit am Ende: Das neue Zertifikat wird zwar automatisch geholt, aber jemand muss es danach noch in ein zweites Gerät kopieren oder einen Dienst neu starten. Diese Lücke wird mit jeder Verkürzung teurer.

Schritt 1: Herausfinden, wo überhaupt Zertifikate stecken

Der häufigste Stolperstein ist nicht die Technik, sondern dass niemand mehr weiß, welches Gerät welches Zertifikat nutzt. Eine einfache Liste genügt:

  1. Adressen sammeln: Website, Shop, Webmail, Kundenportal, Fernzugriff auf NAS oder Server, VPN-Portal – alles, was von außen per HTTPS erreichbar ist.
  2. Ablaufdatum nachsehen: Im Browser lassen sich über das Symbol links neben der Adresse die Zertifikatsdetails öffnen. Dort stehen der Aussteller (zum Beispiel „Let’s Encrypt“) und das Datum „Gültig bis“.
  3. Zuständigkeit klären: Wer erneuert – der Hoster, ein Programm auf dem Gerät, ein Dienstleister oder eine Person mit Kalendereintrag? Bei „eine Person mit Kalendereintrag“ besteht Handlungsbedarf.

Als Anhaltspunkt: Steht als Aussteller Let’s Encrypt, deutet das auf eine Automatik hin – sicher ist es nicht, denn auch Let’s-Encrypt-Zertifikate lassen sich von Hand holen. Bei einem kommerziellen Aussteller und einer Laufzeit von rund einem Jahr oder rund 200 Tagen sollten Sie genauer hinsehen, wie die Erneuerung bisher ablief.

Schritt 2: Automatisieren statt erinnern

Bei 47 Tagen Laufzeit ist ein Erinnerungstermin im Kalender kein Konzept mehr, sondern ein Ausfall mit Ansage. Let’s Encrypt formuliert es nüchtern: Manuelle Erneuerung wird nicht empfohlen. Der Weg führt über das ACME-Protokoll, mit dem ein Programm Zertifikate selbstständig beantragt und erneuert. Manche NAS-Systeme, Router, Firewalls und Webserver bringen dafür bereits eine eingebaute Funktion mit; ob Ihr Gerät das kann, steht in dessen Dokumentation.

Wo das nicht geht, gibt es zwei ehrliche Optionen: das Gerät hinter einen vorgeschalteten Dienst stellen, der die Zertifikate automatisch verwaltet (etwa einen sogenannten Reverse Proxy), oder das Gerät mittelfristig ersetzen. Ein Gerät, das sich nur von Hand mit Zertifikaten füttern lässt, wird mit jeder Stufe des Stufenplans lästiger.

Für vorhandene Let’s-Encrypt-Automatik: ARI und die Zwei-Drittel-Regel

Neuere ACME-Programme unterstützen „ACME Renewal Information“ (ARI), seit Juni 2025 als RFC 9773 standardisiert. Dabei fragt das Programm die Zertifizierungsstelle, wann es erneuern soll, statt einem festen Zeitplan zu folgen. Laut Let’s Encrypt ist, wer einen Client mit ARI nutzt, für die Umstellung gerüstet. Das verbreitete Werkzeug Certbot beherrscht ARI seit Version 4.1.0 vom Juni 2025.

Ohne ARI gilt die Faustregel von Let’s Encrypt: Erneuern, wenn etwa zwei Drittel der Laufzeit verstrichen sind. Bei 64 Tagen also nach rund 42 Tagen, bei 45 Tagen nach rund 30. Seit 14. Oktober lässt sich das in der Staging-Umgebung von Let’s Encrypt gefahrlos ausprobieren, bevor es im Februar ernst wird.

Schritt 3: Überwachen – denn die Erinnerungsmail gibt es nicht mehr

Viele haben sich jahrelang auf eine Mail von Let’s Encrypt verlassen, die kurz vor Ablauf kam. Diesen Dienst hat Let’s Encrypt am 4. Juni 2025 eingestellt. Wenn eine Automatik also still und leise ausfällt – geänderte Firewall-Regel, abgelaufenes Passwort beim DNS-Anbieter, voller Datenträger –, merkt das heute oft erst der Kunde, der vor einer Browserwarnung steht.

Sinnvoll ist deshalb eine unabhängige Überwachung, die Sie warnt, wenn ein Zertifikat sich dem Ablauf nähert. Let’s Encrypt verweist dafür selbst auf externe Dienste, unter anderem ein kostenloses Angebot für bis zu 250 Zertifikate. Auch manche Monitoring-Lösungen, die ohnehin für Website oder Server im Einsatz sind, können das. Wichtig ist nur: Die Warnung muss bei einer Person ankommen, die sie liest – nicht in einem Sammelpostfach, das niemand öffnet.

Wer ohnehin gerade die eigene Domain im Blick hat, kann bei der Gelegenheit auch die Mail-Einträge prüfen; was dort wichtig ist, steht in „SPF, DKIM, DMARC: Warum Ihre Firmen-Mails im Spam landen“.

Grenzen und offene Punkte

  • Die Termine für 2027 und 2029 sind vom CA/Browser Forum beschlossen. Maßgeblich für Sie ist, was Ihr Zertifikatsanbieter tatsächlich ausstellt.
  • Für den 45-Tage-Schritt bei Let’s Encrypt nennt die aktuelle Ankündigung nur „2028“; das genaue Datum stammt aus einer älteren Mitteilung und kann sich noch ändern.
  • Ob ein bestimmtes NAS, ein Router oder eine Firewall Zertifikate automatisch erneuert und ARI unterstützt, hängt von Modell und Softwarestand ab. Eine pauschale Aussage dazu ist nicht möglich – im Zweifel hilft nur ein Blick in die Herstellerdokumentation.
  • Ob sich die Preise für kostenpflichtige Zertifikate durch die häufigeren Neuausstellungen ändern, ist Sache der einzelnen Anbieter und hier nicht bewertet.

Fazit: Kein Grund zur Panik, aber einer für eine Liste

Für die meisten Websites auf gängigem Webhosting dürfte sich praktisch nichts ändern – dort erneuert in der Regel der Anbieter automatisch. Ärger droht dort, wo ein Zertifikat von Hand gekauft, kopiert und eingespielt wird, oder wo eine selbst gebaute Automatik mit festen Zeitabständen arbeitet. Die sinnvolle Reihenfolge: Zertifikate erfassen, Zuständigkeit klären, Erneuerung automatisieren und eine unabhängige Warnung einrichten. Bis Februar 2027 ist dafür genug Zeit – sofern man nicht bis Januar wartet. Und wie bei Router-Firmware gilt auch hier: „Läuft doch noch“ ist kein Konzept.

Sie sind nicht sicher, welche Geräte in Ihrem Betrieb Zertifikate nutzen und wer sie erneuert? DGH-IT erstellt die Übersicht gern mit Ihnen und klärt, wo sich eine Automatik lohnt – ohne Verkaufsdruck.

Quellen & weiterführende Informationen

Alle Quellen abgerufen am 01.11.2026.

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert