SSL-Zertifikate bald nur noch 47 Tage gültig: Was Unternehmen jetzt tun sollten

Die Gültigkeit von SSL/TLS-Zertifikaten wird in den nächsten Jahren drastisch verkürzt. Seit dem 15. März 2026 dürfen neu ausgestellte Zertifikate nur noch maximal 200 Tage gültig sein, ab März 2029 sind es nur noch 47 Tage. Wer seine Zertifikate heute noch von Hand erneuert, muss das dann etwa alle sechs Wochen tun, für jedes einzelne Zertifikat. Wir zeigen, was auf Unternehmen zukommt, wie sich die Erneuerung automatisieren lässt und ob das kostenlose Let’s Encrypt eine gute Wahl ist.

Der Zeitplan: von 398 auf 47 Tage

Beschlossen hat das CA/Browser Forum, das Gremium aus Zertifizierungsstellen und Browser-Herstellern (Google, Apple, Mozilla, Microsoft), die Verkürzung im April 2025 mit dem sogenannten Ballot SC-081v3. Die Umstellung erfolgt in drei Stufen:

• bis 14. März 2026: maximal 398 Tage
• ab 15. März 2026: maximal 200 Tage (gilt bereits)
• ab 15. März 2027: maximal 100 Tage
• ab 15. März 2029: maximal 47 Tage

Parallel dazu sinkt die Dauer, für die eine einmal durchgeführte Domain-Validierung wiederverwendet werden darf: von bisher 398 Tagen auf nur noch 10 Tage ab 2029. Praktisch bedeutet das, dass bei fast jeder Erneuerung auch die Domain neu bestätigt werden muss.

Betroffen sind alle öffentlich vertrauenswürdigen TLS-Zertifikate, also DV-, OV- und EV-Zertifikate gleichermaßen. Zertifikate aus einer eigenen, internen Zertifizierungsstelle (z. B. Active Directory Certificate Services) sind von der Regel nicht betroffen.

Warum werden die Laufzeiten verkürzt?

Kürzere Laufzeiten sollen das Internet sicherer machen. Wird ein privater Schlüssel gestohlen oder ein Zertifikat fehlerhaft ausgestellt, ist der mögliche Schaden zeitlich stark begrenzt. Außerdem funktioniert der Widerruf von Zertifikaten in der Praxis nur unzuverlässig, kurze Laufzeiten sind hier die robustere Lösung. Und nicht zuletzt wollen die Browser-Hersteller erreichen, dass Zertifikate grundsätzlich automatisiert verwaltet werden.

Was kommt auf Unternehmen zu?

• Deutlich mehr Erneuerungen: Statt einmal im Jahr wird ab 2027 etwa alle drei Monate und ab 2029 rund acht- bis neunmal pro Jahr erneuert. Bei 20 Zertifikaten sind das weit über 150 Vorgänge pro Jahr.
• Höheres Ausfallrisiko: Ein vergessenes Zertifikat führt sofort zu Browser-Warnungen, abgebrochenen Verbindungen oder nicht mehr erreichbaren Diensten.
• Mehr betroffene Systeme als gedacht: Neben der Website nutzen oft auch Exchange- und Mailserver, VPN-Gateways und Firewalls, Remote-Desktop-Gateways, Webmailer, Shops, Kundenportale, NAS-Systeme oder Branchensoftware öffentliche Zertifikate.
• Manuelle Prozesse stoßen an ihre Grenzen: Zertifikat beantragen, Domain validieren, auf dem Server einspielen, Dienste neu starten, bei mehreren Systemen verteilen: Was einmal im Jahr noch machbar war, wird ab 2029 zum Dauerthema.

Möglichkeiten zur Automatisierung

Die gute Nachricht: Für die automatische Verlängerung gibt es einen etablierten Standard, das ACME-Protokoll (Automatic Certificate Management Environment). Ein ACME-Client beantragt das Zertifikat, erledigt die Domain-Validierung, installiert das neue Zertifikat und erneuert es rechtzeitig vor Ablauf, ganz ohne manuelles Eingreifen.

• Webhosting und Server-Panels: Hosting-Oberflächen wie Plesk oder cPanel bringen die automatische Erneuerung bereits mit. Hier genügt es meist, die Funktion zu aktivieren und zu prüfen.
• Linux-Server: Mit Certbot oder acme.sh lassen sich Apache, Nginx und viele weitere Dienste automatisieren. Webserver wie Caddy oder Reverse Proxies wie Traefik erledigen das sogar eingebaut.
• Windows-Server: Mit win-acme lassen sich Zertifikate für IIS, Exchange oder Remote-Desktop-Dienste automatisch erneuern und direkt einbinden.
• Firewalls, VPN und Appliances: Viele aktuelle Firewalls und Appliances unterstützen ACME direkt. Ältere Geräte ohne ACME-Unterstützung sollten per Skript oder über einen vorgeschalteten Reverse Proxy versorgt werden, oder ein Austausch wird eingeplant.
• Kommerzielle Zertifikate: Auch große Zertifizierungsstellen bieten inzwischen ACME-Schnittstellen an. So lassen sich auch kostenpflichtige OV- oder EV-Zertifikate automatisiert ausrollen, meist im Rahmen eines Laufzeit-Abos.
• DNS-Validierung per API: Bei Wildcard-Zertifikaten oder Systemen, die nicht aus dem Internet erreichbar sind, erfolgt die Validierung über einen DNS-Eintrag. Dafür sollte der DNS-Anbieter eine API bereitstellen.
• Überwachung: Automatisierung ersetzt nicht das Monitoring. Eine unabhängige Ablaufüberwachung warnt rechtzeitig, falls eine Erneuerung einmal fehlschlägt.

Wichtig: Starre Intervalle wie „alle 60 Tage erneuern“ funktionieren künftig nicht mehr. Moderne ACME-Clients unterstützen ARI (ACME Renewal Information), damit teilt die Zertifizierungsstelle dem Client selbst mit, wann erneuert werden sollte.

Macht das kostenlose Let’s Encrypt Sinn?

Für die meisten Websites und Webserver lautet die Antwort: ja. Let’s Encrypt stellt seit Jahren kostenlose, in allen Browsern vertrauenswürdige Zertifikate aus und ist von Anfang an auf Automatisierung ausgelegt. Die Zertifikate sind heute schon nur 90 Tage gültig, wer Let’s Encrypt einsetzt, ist also bereits auf kurze Laufzeiten eingestellt. Let’s Encrypt geht sogar voran: Seit Mai 2026 gibt es optional 45-Tage-Zertifikate, ab Februar 2027 sinkt die Standardlaufzeit auf 64 Tage und ab Februar 2028 auf 45 Tage.

Vorteile von Let’s Encrypt

• kostenlos, auch für viele Domains und Subdomains
• vollständig automatisierbar, breite Unterstützung in Servern, Panels und Appliances
• Wildcard-Zertifikate über DNS-Validierung möglich

Grenzen von Let’s Encrypt

• nur domainvalidierte Zertifikate (DV), keine OV- oder EV-Zertifikate mit geprüften Firmendaten
• kein persönlicher Support, keine Garantie- oder Haftungsleistung
• Mengenbegrenzungen (Rate Limits) bei sehr vielen Zertifikaten
• funktioniert nur, wenn das jeweilige System ACME unterstützt

Unsere Empfehlung: Für Websites, Webmailer, Exchange und die meisten Serverdienste ist Let’s Encrypt eine sehr gute Wahl. Wenn Vorgaben von Kunden, Versicherungen oder Branchenregeln ein OV- oder EV-Zertifikat verlangen oder ein Support-Vertrag nötig ist, empfehlen wir ein kommerzielles Zertifikat, dann aber ebenfalls mit automatisierter Erneuerung über ACME. Entscheidend ist nicht, ob das Zertifikat kostenlos ist, sondern ob die Erneuerung zuverlässig automatisch läuft.

Checkliste: So bereiten Sie sich vor

1. Bestandsaufnahme: Welche Zertifikate gibt es, auf welchen Systemen, wann laufen sie ab und wer ist verantwortlich?
2. Systeme prüfen: Unterstützen Server, Firewalls und Appliances ACME? Welche Geräte brauchen eine Zwischenlösung?
3. Automatisierung einrichten: passenden ACME-Client wählen, Validierungsmethode festlegen, Deployment und Dienst-Neustarts automatisieren.
4. Monitoring aktivieren: Ablaufdaten unabhängig überwachen und Warnungen einrichten.
5. Frühzeitig testen: spätestens vor dem 15. März 2027 (100 Tage), dann stehen 2029 keine bösen Überraschungen an.

Wir unterstützen Sie bei der Umstellung

Highlight PC hilft Ihnen, den Überblick über Ihre Zertifikate zu behalten und die Erneuerung zuverlässig zu automatisieren: von der Bestandsaufnahme über die Einrichtung von Let’s Encrypt oder kommerziellen Zertifikaten auf Webservern, Exchange, Firewalls und VPN bis zur Ablaufüberwachung. Sprechen Sie uns gerne an, wir finden die passende Lösung für Ihre Umgebung.

Bildnachweis Titelbild: FlyD auf Unsplash, bearbeitet