Zertifikate mit Ablaufdatum

Seit dem 15. März 2026 dürfen öffentlich vertrauenswürdige TLS-Zertifikate höchstens 200 Tage gültig sein, bis 2029 sinkt die Grenze auf 47 Tage. Für Betreiber von Websites heißt das vor allem, dass die Erneuerung kein Kalendereintrag mehr sein sollte.

Am 7. Oktober 2026 hat die Zertifizierungsstelle Let’s Encrypt angekündigt, dass ihre Zertifikate ab dem 10. Februar 2027 standardmäßig nur noch 64 statt 90 Tage gültig sind. Das ist eine Etappe in einem Fahrplan, den das CA/Browser Forum, der Zusammenschluss von Zertifizierungsstellen und Browserherstellern, im April 2025 beschlossen hat. Wer seine Zertifikate automatisch erneuern lässt, bemerkt davon kaum etwas. Wer es nicht tut, sieht den Fehler künftig häufiger, nämlich als Warnseite im Browser.

Was sich geändert hat

Ein TLS-Zertifikat ist das, was hinter dem Schloss-Symbol neben der Adresszeile steckt: Es verschlüsselt die Verbindung und bestätigt, dass die Domain tatsächlich dem Betreiber gehört. Bisher durfte ein solches Zertifikat bis zu 398 Tage gültig sein, also gut ein Jahr. Die Abstimmung über den Fahrplan, offiziell Ballot SC-081v3, lief vom 4. bis 11. April 2025, laut heise mit 29 Ja-Stimmen, keiner Gegenstimme und fünf Enthaltungen.

Seit dem 15. März 2026 gelten höchstens 200 Tage, ab dem 15. März 2027 höchstens 100 Tage und ab dem 15. März 2029 höchstens 47 Tage. Parallel dazu schrumpft die Zeit, in der eine bereits erfolgte Domain-Überprüfung wiederverwendet werden darf, laut Ballot bis auf zehn Tage. Die Regeln gelten für alle öffentlich vertrauenswürdigen Zertifizierungsstellen, also auch für kostenpflichtige Zertifikate mit Jahreslaufzeit.

Was Let’s Encrypt daraus macht

Let’s Encrypt stellt kostenlose Zertifikate aus und wird von sehr vielen Hostern und Content-Management-Systemen im Hintergrund genutzt. Die Stelle liegt mit ihren 90 Tagen ohnehin unter den Grenzen und geht den Weg trotzdem weiter: Ab dem 10. Februar 2027 gilt für neu ausgestellte und erneuerte Zertifikate eine Laufzeit von 64 Tagen, die letzten 90-Tage-Zertifikate laufen voraussichtlich am 11. Mai 2027 ab. Für 2028 ist ein Standard von 45 Tagen angekündigt. Bestehende Zertifikate werden nicht widerrufen.

Interessanter als die Zahlen finden wir einen Hinweis aus der Ankündigung: Wer die Erneuerung im Skript auf eine feste Zahl von Tagen vor Ablauf eingestellt hat, etwa auf 60 oder 80, sollte das ändern. Empfohlen wird eine Erneuerung bei ungefähr zwei Dritteln der Laufzeit oder, noch besser, die Steuerung über ACME Renewal Info, bei der die Zertifizierungsstelle dem Programm mitteilt, wann es erneuern soll.

Warum uns das interessiert

Wir betreiben Webhosting für Kundenprojekte und schauen deshalb bei diesem Thema genau hin. Außerdem hilft die schönste Typografie nichts, wenn der Browser statt der Seite eine Warnung zeigt.

Die Begründung der Browserhersteller halten wir für nachvollziehbar. Die bisherigen Widerrufsverfahren, OCSP und CRL, skalieren laut heise schlecht, und ein gestohlener Schlüssel richtet weniger Schaden an, wenn das Zertifikat ohnehin bald abläuft.

Was wir kritisch sehen

Die Last verschiebt sich zu den Betreibern. Bei 47 Tagen müsste ein von Hand eingespieltes Zertifikat knapp acht Mal im Jahr erneuert werden, und das für jede Domain und jede Subdomain. Auf einem gängigen Webserver mit automatischer Erneuerung ist das unproblematisch, für Firewalls, Kundenportale, Intranet-Systeme oder Software mit eigenem Webserver oft nicht. Ganz rund ist der Fahrplan für solche Systeme nicht.

Dazu kommt, dass Automatisierung ihr eigenes Risiko mitbringt. Ein Erneuerungsskript, das still fehlschlägt, fällt erst am Tag des Ablaufs auf. Wir können beide Seiten verstehen: Die Sicherheitsargumente sind belegt, der Aufwand für kleinere Betriebe ist es auch.

Eine Erneuerung, die von der Erinnerung einer Person abhängt, ist bei 47 Tagen Laufzeit kein Verfahren mehr.

Was Sie jetzt tun können

Der erste Schritt ist eine Bestandsaufnahme: Für welche Domains und Subdomains gibt es Zertifikate, wo liegen sie, wer erneuert sie und wann laufen sie ab. Das betrifft Website, Webshop, Mailserver und Kundenportal ebenso wie alles, was nur intern erreichbar ist. Fragen Sie bei Ihrem Hoster oder Dienstleister nach, ob die Erneuerung über ACME, den Standard für automatische Zertifikate, läuft und ob sie auf die neuen Laufzeiten vorbereitet ist.

Wo Sie selbst Skripte betreiben, suchen Sie nach festen Werten für den Erneuerungszeitpunkt und ersetzen sie durch die Zwei-Drittel-Regel. Richten Sie außerdem eine Überwachung ein, die von außen das tatsächliche Ablaufdatum prüft und bei einem Fehler Alarm schlägt, denn ein Log-Eintrag allein nützt niemandem. Bei gekauften Jahreszertifikaten lohnt die Frage, ob der Anbieter automatisch ausstellen kann.

Wo Zertifikate nicht auf einem Standard-Webserver liegen, sondern in Anwendungen oder Geräten, wird die Automatisierung zu einer kleinen Integrationsaufgabe. Genau da arbeitet unsere Tochterfirma neothink: Software entwickeln und Systeme miteinander verbinden.

Quellen: Let’s Encrypt: 64 day certs (7. Oktober 2026) · CA/Browser Forum: Ballot SC-081v3 (11. April 2025) · heise online: Bericht zur Abstimmung über 47 Tage · Stand: 29. Oktober 2026