Kürzere Laufzeit von SSL-Zertifikaten: Erneuerung automatisieren

Die maximale Laufzeit von SSL-Zertifikaten wird schrittweise verkürzt. Öffentlich vertrauenswürdige Zertifikate, die ab dem 15. März 2026 ausgestellt werden, dürfen höchstens 200 Tage gültig sein, ab dem 15. März 2027 höchstens 100 Tage und ab dem 15. März 2029 nur noch 47 Tage (CA/Browser Forum Baseline Requirements). Ein Zertifikat mit einem Jahr Laufzeit erhalten Sie also nicht mehr, und ein manueller Austausch müsste immer häufiger wiederholt werden. Damit Website, Onlineshop und Integrationen nicht wegen eines abgelaufenen Zertifikats ausfallen, brauchen Sie ein Inventar aller Zertifikate, eine automatische Erneuerung, eine Domainvalidierung ohne menschliches Eingreifen und ein unabhängiges Monitoring, das Sie warnt, wenn eine Erneuerung fehlschlägt.

Umgangssprachlich heißen sie SSL-Zertifikate, technisch handelt es sich um Zertifikate für das TLS-Protokoll, auf dem HTTPS aufbaut. Wenn Ihr Hoster das Zertifikat automatisch erneuert, genügt es meist, die Erneuerung zu prüfen und ein Monitoring zu ergänzen. Den größten Aufwand verursachen Systeme mit manueller oder eigener Erneuerung.

Was sich ändert und ab wann

Regeln für alle öffentlich vertrauenswürdigen Zertifikate

Die Regeln für Zertifikate, denen Browser vertrauen, legt das CA/Browser Forum fest – ein freiwilliger Zusammenschluss von Zertifizierungsstellen sowie Anbietern von Browsern und anderer Software. Für eine Unternehmenswebsite sind in seinen Baseline Requirements zwei Fristen wichtig, die schrittweise verkürzt werden: die maximale Laufzeit eines Zertifikats und der Zeitraum, in dem eine Zertifizierungsstelle eine bereits durchgeführte Prüfung der Kontrolle über die Domain wiederverwenden darf (Baseline Requirements, Abschnitte 4.2.1 und 6.3.2).

Zertifikat ausgestellt	Maximale Laufzeit des Zertifikats	Maximale Wiederverwendung der Domainvalidierung
vor dem 15. März 2026	398 Tage	398 Tage
ab dem 15. März 2026	200 Tage	200 Tage
ab dem 15. März 2027	100 Tage	100 Tage
ab dem 15. März 2029	47 Tage	10 Tage

Für ein Unternehmen bedeutet das, dass es die Kontrolle über seine Domain immer häufiger nachweisen muss. Es reicht deshalb nicht, die Validierung beim ersten Zertifikat einmal von Hand einzurichten – sie muss bei jeder Erneuerung zuverlässig funktionieren.

Let’s Encrypt: 45 Tage und keine E-Mail-Erinnerungen mehr

Die kostenlose Zertifizierungsstelle Let’s Encrypt stellt im Standardprofil Zertifikate mit 90 Tagen Laufzeit aus. Im Dezember 2025 hat sie einen Zeitplan für die Verkürzung veröffentlicht: Das optionale Profil tlsserver stellt ab dem 13. Mai 2026 Zertifikate mit 45 Tagen Laufzeit aus, das Standardprofil classic soll am 10. Februar 2027 auf 64 Tage und am 16. Februar 2028 auf 45 Tage umgestellt werden. Die Wiederverwendung der Domainvalidierung im Standardprofil sinkt von heute 30 Tagen auf 10 Tage im Februar 2027 und auf 7 Stunden im Februar 2028. Die Änderungen greifen bei der ersten Erneuerung nach diesen Terminen (Let’s Encrypt: Decreasing Certificate Lifetimes to 45 Days).

Außerdem hat Let’s Encrypt am 4. Juni 2025 den Versand von E-Mails über den bevorstehenden Ablauf von Zertifikaten eingestellt und empfiehlt stattdessen einen Monitoring-Dienst eines Drittanbieters (Let’s Encrypt: Ending Support for Expiration Notification Emails). Wenn Sie sich auf diese E-Mails verlassen haben, kommt von Let’s Encrypt keine Erinnerung mehr.

Praxisbeispiel: fünf Adressen eines Unternehmens

Das folgende Beispiel ist illustrativ und beschreibt keinen echten Kunden; die Adressen verwenden die Beispieldomain example.com. Bei der Bestandsaufnahme stellt ein kleineres Unternehmen fest, dass die Zertifikate seiner fünf HTTPS-Adressen jeweils anders verwaltet werden:

Adresse	Wie das Zertifikat heute erneuert wird	Risiko bei kürzerer Laufzeit	Maßnahme
www.example.com – WordPress auf Managed Hosting	automatisch über den Hoster	gering, solange die Domain auf das Hosting zeigt	Erneuerung beim Hoster prüfen und externes Monitoring ergänzen
eshop.example.com – eigener Server	ACME-Client, den ein Scheduler alle 60 Tage startet	hoch: ein festes Intervall reicht nicht mehr aus	tägliche Prüfung und Erneuerung nach ARI oder nach zwei Dritteln der Laufzeit
b2b.example.com – Portal hinter einem Load Balancer	kommerzielles Zertifikat, vor März 2026 für ein Jahr gekauft und manuell hochgeladen	hoch: das nächste Zertifikat gilt höchstens 200 Tage, ab dem 15. März 2027 höchstens 100 Tage	über ACME oder die Schnittstelle des Anbieters automatisieren, einschließlich Bereitstellung auf dem Load Balancer
*.example.com – interne Tools	Wildcard-Zertifikat, TXT-Eintrag im DNS manuell hinzugefügt	hoch: manuelle DNS-Änderungen bei immer häufigerer Validierung	DNS-01 mit eingeschränktem API-Zugriff auf das DNS
staging.example.com	niemand	mittel: das Zertifikat läuft unbemerkt ab	automatisieren oder die Adresse abschalten

Das größte Risiko ist also nicht die Hauptwebsite, sondern es sind die Systeme mit eigener oder manueller Erneuerung: der Onlineshop, das B2B-Portal und das Wildcard-Zertifikat. Der Scheduler des Onlineshops mit einem Intervall von 60 Tagen funktioniert bei den heutigen 90-Tage-Zertifikaten. Bei 64-Tage-Zertifikaten ab Februar 2027 bleiben jedoch nur 4 Tage Puffer, und bei 45-Tage-Zertifikaten würde das Zertifikat ablaufen, bevor es erneuert wird. Let’s Encrypt schreibt ausdrücklich, dass ein festes Intervall von 60 Tagen bei 45-Tage-Zertifikaten nicht ausreicht, und rät von manueller Erneuerung ab (Let’s Encrypt).

Umsetzung Schritt für Schritt

Erstellen Sie ein Inventar. Notieren Sie für jede Domain und Subdomain mit HTTPS, wer das Zertifikat ausstellt, wo es installiert ist (Server, Load Balancer, CDN, Mailserver), wie es erneuert wird, wer dafür verantwortlich ist und wann es abläuft. Vergessen Sie Staging-Umgebungen, alte Kampagnenseiten und API-Adressen nicht.
Legen Sie den Erneuerungsweg fest. Wenn Hosting oder CDN das Zertifikat verwalten, prüfen Sie, ob die Erneuerung wirklich automatisch läuft. Auf eigenen Servern verwenden Sie einen Client für das ACME-Protokoll (Automated Certificate Management Environment). Behalten Sie die manuelle Erneuerung nur als vorübergehende Ausnahme mit einem Termin für die Ablösung.
Wählen Sie die Domainvalidierung. Bei der Methode HTTP-01 legt der Client eine Datei unter http://example.com/.well-known/acme-challenge/ ab, und die Zertifizierungsstelle ruft sie über Port 80 ab. Bei der Methode DNS-01 erstellt der Client einen TXT-Eintrag mit dem Namen _acme-challenge (Let’s Encrypt: Challenge Types). Die Auswahl behandelt die Tabelle im nächsten Abschnitt genauer.
Legen Sie den Zeitpunkt der Erneuerung fest. Wenn Ihr Client es unterstützt, aktivieren Sie ARI (ACME Renewal Information). Nach dem Standard RFC 9773 kann die Zertifizierungsstelle dem Client ein Zeitfenster für die Erneuerung vorschlagen, zum Beispiel eine frühere Erneuerung vor einem massenhaften Widerruf von Zertifikaten (RFC 9773). Wie ARI aktiviert wird, hängt vom jeweiligen Client ab. Ohne ARI sollte der Scheduler die Zertifikate häufig prüfen – wir empfehlen täglich – und sie nach etwa zwei Dritteln der Laufzeit erneuern, was Let’s Encrypt als akzeptables Verhalten nennt (Let’s Encrypt).
Automatisieren Sie die Bereitstellung. Jedes System, das das Zertifikat an Besucher ausliefert, muss das erneuerte Zertifikat verwenden: der Webserver nach einem Reload, der Load Balancer, das CDN und der Mailserver. Eine neue Datei auf der Festplatte reicht nicht, wenn der Server weiterhin das alte Zertifikat ausliefert.
Aktivieren Sie ein unabhängiges Monitoring. Prüfen Sie das Zertifikat, das die Adresse tatsächlich ausliefert, nicht die Datei auf dem Server. Die Warnung sollte an eine konkrete Person gehen, wenn die Erneuerung nicht in der erwarteten Zeit erfolgt ist – zum Beispiel bei einem 45-Tage-Zertifikat, das nach 30 Tagen erneuert wird, sobald weniger als 10 Tage verbleiben. Ein Monitoring, das vor nicht erneuerten Zertifikaten warnt, empfiehlt auch Let’s Encrypt.
Testen Sie die Automatisierung vorab. Wenn Ihr ACME-Client die Auswahl eines Profils unterstützt, können Sie die kürzere Laufzeit schon jetzt ausprobieren: Das optionale Profil tlsserver stellt Zertifikate mit 45 Tagen Laufzeit aus, und Let’s Encrypt nennt es auch für Tests geeignet. Weitere Änderungen spielt Let’s Encrypt etwa einen Monat vor den Produktionsterminen in seine Testumgebung (Staging) ein (Let’s Encrypt).
Bereiten Sie einen Ablauf für den Notfallaustausch vor. In bestimmten Fällen, etwa bei einer Kompromittierung des privaten Schlüssels, muss die Zertifizierungsstelle ein Zertifikat innerhalb von 24 Stunden widerrufen (Baseline Requirements, Abschnitt 4.9.1.1). Halten Sie fest, wer das Zertifikat außerplanmäßig austauscht und wie, und üben Sie den Ablauf mindestens einmal im Jahr.

Wie Sie Domainvalidierung und Erneuerungsweg wählen

Entscheidend ist, wo das Zertifikat läuft und wer das DNS verwaltet. Die Eigenschaften der Methoden in der Tabelle stammen aus der Dokumentation von Let’s Encrypt, die Empfehlungen sind unsere (Let’s Encrypt: Challenge Types).

Situation	Empfohlener Weg	Worauf Sie achten sollten
Website auf einem Hosting oder hinter einem CDN, das das Zertifikat selbst ausstellt	Automatisierung des Anbieters	Erneuerung nach DNS- oder Proxy-Änderungen prüfen und externes Monitoring ergänzen
Ein einzelner Server, aus dem Internet über Port 80 erreichbar	ACME-Client mit HTTP-01	weder Firewall noch Passwort noch Wartungsmodus dürfen die Validierungsdatei blockieren
Mehrere Server hinter einem Load Balancer	DNS-01 oder zentrale Ausstellung und Verteilung des Zertifikats	bei HTTP-01 muss die Validierungsdatei auf allen Servern verfügbar sein
Wildcard-Zertifikat oder ein aus dem Internet nicht erreichbarer Server	DNS-01	DNS-API-Schlüssel mit minimalen Rechten oder ein delegierter Eintrag `_acme-challenge`
System ohne Unterstützung für Automatisierung	vorübergehend manuell mit Monitoring, danach Ersatz oder ein Reverse Proxy vor dem System	ab dem 15. März 2027 höchstens 100 Tage, ab dem 15. März 2029 höchstens 47 Tage Laufzeit

DNS-01 ist nur sinnvoll, wenn Ihr DNS-Anbieter eine API für automatische Änderungen anbietet. Ein vollständiger API-Zugriff auf das DNS, der auf dem Webserver gespeichert ist, vergrößert die Folgen eines möglichen Angriffs; Let’s Encrypt empfiehlt deshalb eng begrenzte Zugangsdaten oder die Validierung von einem separaten Server aus. Der Validierungseintrag lässt sich per CNAME in eine eigene Zone delegieren. Wenn der Anbieter nicht bestätigen kann, dass sich eine DNS-Änderung verbreitet hat, muss der Client ausreichend lange warten, oft bis zu einer Stunde. Die dritte Methode, TLS-ALPN-01, ist laut Let’s Encrypt für die meisten Nutzer nicht geeignet; sie eignet sich vor allem für große Hosting-Anbieter (Let’s Encrypt: Challenge Types).

Im Dezember 2025 hat Let’s Encrypt angekündigt, gemeinsam mit Partnern im CA/Browser Forum und in der IETF die neue Validierungsmethode DNS-PERSIST-01 zu standardisieren, bei der sich der TXT-Eintrag nicht bei jeder Erneuerung ändert (Let’s Encrypt). Bevor Sie sie in Ihre Planung einbeziehen, prüfen Sie, ob Ihre Zertifizierungsstelle und Ihr ACME-Client sie bereits unterstützen.

Vorteile und Abwägungen

Die kürzere Laufzeit hat einen Sicherheitsgrund: Laut Let’s Encrypt begrenzt sie die Folgen einer Kompromittierung und macht den Widerruf von Zertifikaten effizienter (Let’s Encrypt). Für ein Unternehmen liegt der Hauptnutzen der Automatisierung darin, dass der Zertifikatstausch kein Ereignis mehr ist, an das jemand denken muss. Rechnen Sie jedoch mit folgenden Abwägungen:

Die Validierung braucht Zugriff. HTTP-01 erfordert Port 80 auf allen Servern, DNS-01 Zugriff auf das DNS. Beide Zugänge müssen abgesichert werden.
Mehr bewegliche Teile. Scheduler, Bereitstellung und Monitoring müssen gepflegt werden, und jemand muss die Warnungen lesen.
Abhängigkeit von der Zertifizierungsstelle. Wenn die Erneuerung mit ausreichendem Vorlauf beginnt, überbrücken Sie einen kurzen Ausfall der Zertifizierungsstelle mit einem erneuten Versuch.
Ältere Systeme. Manche Geräte und Anwendungen unterstützen keine Automatisierung und brauchen deshalb einen Proxy oder Ersatz.

Wann wenig genügt: Wenn Sie eine einzige Website auf einem Hosting haben, das Zertifikate selbst erneuert, reicht es oft, die Erneuerung beim Hoster zu prüfen und ein externes Monitoring zu ergänzen. Ein größeres Projekt lohnt sich bei mehreren Domains, eigenen Servern, B2B-Portalen und Integrationen.

Häufige Fehler

Der Scheduler erneuert in einem festen Intervall, zum Beispiel alle 60 Tage, statt nach ARI oder der verbleibenden Laufzeit.
Das Unternehmen wartet auf eine E-Mail der Zertifizierungsstelle, die Let’s Encrypt nicht mehr verschickt.
Das Zertifikat wird erneuert, aber Webserver, Load Balancer oder CDN liefern weiter das alte aus.
Firewall, Geoblocking, ein Passwort auf der Staging-Umgebung oder der Wartungsmodus blockieren die Validierungsdatei, die Let’s Encrypt wiederholt von mehreren Standorten abrufen kann. Eine normale Weiterleitung auf HTTPS ist kein Problem – Let’s Encrypt folgt bis zu 10 Weiterleitungen, aber nur auf die Ports 80 oder 443 (Let’s Encrypt: Challenge Types).
Ein vollständiger DNS-API-Schlüssel liegt direkt auf dem Webserver.
Im DNS sammeln sich alte TXT-Einträge _acme-challenge; wird die Antwort zu groß, lehnt Let’s Encrypt die Validierung ab.
Nur eine Person kennt den Ablauf, und er ist nirgends dokumentiert.

Checkliste

Bevor die kürzere Laufzeit Ihre Zertifikate erreicht, haken Sie Folgendes ab:

das Inventar enthält alle Domains, Subdomains, Installationsorte und Verantwortlichen,
jedes Zertifikat wird automatisch erneuert oder hat eine dokumentierte vorübergehende Ausnahme mit Ablösetermin,
die Erneuerung richtet sich nach ARI oder der verbleibenden Laufzeit, nicht nach einem festen Intervall,
die Domainvalidierung läuft ohne menschliches Eingreifen und mit minimalen Rechten,
das erneuerte Zertifikat wird automatisch überall bereitgestellt, wo es verwendet wird,
ein externes Monitoring prüft das Zertifikat, das die Adresse tatsächlich ausliefert, und warnt eine konkrete Person,
die Automatisierung wurde in der Testumgebung der Zertifizierungsstelle getestet,
der Ablauf für den Austausch eines Zertifikats innerhalb von 24 Stunden ist dokumentiert und geübt.

Häufige Fragen

Gilt die kürzere Laufzeit auch für kostenpflichtige Zertifikate?

Ja. Die Baseline Requirements gelten für alle öffentlich vertrauenswürdigen TLS-Zertifikate, unabhängig vom Preis. Let’s Encrypt schreibt, dass alle öffentlich vertrauenswürdigen Zertifizierungsstellen ähnliche Änderungen vornehmen werden. Durch einen Anbieterwechsel umgehen Sie die kürzere Laufzeit nicht.

Reicht es, wenn der Hoster das Zertifikat erneuert?

Bei einer einfachen Website auf Managed Hosting oft ja. Prüfen Sie aber, ob der Hoster die Zertifikate für alle Subdomains erneuert und was nach einer DNS-Änderung oder der Einführung eines CDN passiert. Ein externes Monitoring empfehlen wir auch in diesem Fall, weil E-Mail-Erinnerungen von Let’s Encrypt nicht mehr ankommen.

Wann brauche ich eine DNS-Validierung statt HTTP?

Bei Wildcard-Zertifikaten, die die Methode HTTP-01 nicht unterstützt, bei Servern, die aus dem Internet nicht erreichbar sind, und oft auch bei mehreren Servern hinter einem Load Balancer. DNS-01 setzt jedoch einen DNS-Anbieter mit API und die sichere Aufbewahrung der Zugangsdaten voraus.

Wie schnell müssen wir ein Zertifikat außerplanmäßig austauschen können?

Rechnen Sie in Stunden, nicht in Wochen. In genau festgelegten Fällen, etwa bei einer Kompromittierung des Schlüssels, muss die Zertifizierungsstelle ein Zertifikat innerhalb von 24 Stunden widerrufen. Automatische Erneuerung und ein dokumentierter Ablauf gehören deshalb auch zur Notfallvorsorge.

Möchten Sie Ihre Zertifikate im Griff behalten?

Wir helfen Ihnen, ein Inventar Ihrer Zertifikate zu erstellen und automatische Erneuerung, Domainvalidierung und Monitoring für Website, Onlineshop und B2B-Portal einzurichten. Sehen Sie sich an, wie wir Webdesign und Webentwicklung sowie Prozessautomatisierung angehen, oder schreiben Sie uns direkt.

Quellen

CA/Browser Forum: Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates – maximale Laufzeit von Zertifikaten, Wiederverwendung der Domainvalidierung und Widerruf innerhalb von 24 Stunden
Let’s Encrypt: Decreasing Certificate Lifetimes to 45 Days – Zeitplan von Let’s Encrypt, ARI sowie Empfehlungen zu Automatisierung und Monitoring
Let’s Encrypt: Ending Support for Expiration Notification Emails – Ende der E-Mail-Erinnerungen vor dem Ablauf
Let’s Encrypt: Challenge Types – Validierungsmethoden HTTP-01, DNS-01 und TLS-ALPN-01
RFC 9773: ACME Renewal Information (ARI) Extension – Standard für ein empfohlenes Zeitfenster zur Erneuerung