SSL-Zertifikate: aus einem Jahr sind 200 Tage geworden

Das Schloss in der Adresszeile ist eines der wenigen Sicherheitszeichen, die Kunden wirklich sehen. Und es ist das einzige, das von allein kaputtgeht — an einem Datum, das vor Monaten festgelegt wurde.

Dieses Datum kommt jetzt deutlich öfter.

Was sich geändert hat

Seit dem 15. März 2026 darf ein neu ausgestelltes TLS-Zertifikat höchstens 200 Tage gelten. Vorher waren es 398, also gut ein Jahr. Und dabei bleibt es nicht: Ab März 2027 sind 100 Tage die Grenze, ab März 2029 noch 47.

Beschlossen hat das nicht der Gesetzgeber, sondern das CA/Browser Forum — der Kreis, in dem Zertifizierungsstellen und Browserhersteller gemeinsame Regeln festlegen. Praktisch ist das dasselbe: Wer sich nicht daran hält, dessen Zertifikat akzeptiert der Browser nicht.

Warum überhaupt

Ein Zertifikat sagt: Diese Seite ist wirklich die, für die sie sich ausgibt. Fällt der zugehörige private Schlüssel jemandem in die Hände, gilt diese Zusage weiter — für den Rest der Laufzeit.

Es gibt zwar einen Rückrufweg, aber der funktioniert in der Praxis schlecht; viele Browser prüfen ihn nur oberflächlich. Die Laufzeit ist deshalb das wirksamere Mittel: Was kürzer gilt, ist kürzer gefährlich. Nebenbei bereitet die Umstellung den Wechsel auf Verfahren vor, die auch gegen Quantenrechner halten sollen — und der wird ohne Automatisierung gar nicht funktionieren.

Was jetzt zu tun ist — je nachdem, woher dein Zertifikat kommt

Fall eins: Es kommt aus dem Hosting-Paket. Dann steht dahinter fast immer Let's Encrypt, und das läuft seit jeher in 90-Tage-Schritten automatisch durch. Wer nicht sicher ist, wo die eigene Seite überhaupt liegt, findet das in Wo steht deine Webseite eigentlich? heraus. Für dich ändert sich nichts. Das ist der beste Fall, und es ist der häufigste.

Fall zwei: Du hast es gekauft. Ein Zertifikat mit Jahresrechnung, das jemand einmal im Jahr manuell einspielt — meist bei einer Seite, die vor Jahren eingerichtet und danach nie angefasst wurde. Das ist der Fall, der ab jetzt regelmäßig wehtut. Bei der nächsten Verlängerung lohnt die Frage, ob es das gekaufte Zertifikat überhaupt noch braucht. Für eine normale Firmenwebseite: nein.

Fall drei: eigener Server. Dann gehört ACME eingerichtet — das Verfahren, mit dem sich ein Server sein Zertifikat selbst holt und erneuert. Certbot und acme.sh sind die üblichen Werkzeuge, Caddy und Traefik bringen es gleich mit. Ein Nachmittag Arbeit, danach nie wieder ein Kalendereintrag.

Der Teil, den fast alle übersehen

Zertifikate sitzen nicht nur auf der Webseite. Sie sitzen auf dem Mailserver, im VPN, in der Telefonanlage, auf dem NAS, im Kassensystem, manchmal auf einer Kamera oder der Heizungssteuerung.

Diese Zertifikate erneuert kein Hoster automatisch. Sie fallen aus, wenn niemand hinsieht — und der Ausfall sieht dann nicht aus wie ein abgelaufenes Zertifikat, sondern wie „Outlook fragt dauernd nach dem Passwort" oder „das VPN geht nicht mehr". Man sucht an der falschen Stelle, oft stundenlang.

Was ich Betrieben rate

Eine Liste anlegen. Welche Zertifikate gibt es, wo laufen sie, wer stellt sie aus, wann laufen sie ab. Das ist ein Blatt Papier und erledigt neunzig Prozent des Problems.

Alles automatisieren, was sich automatisieren lässt. Bei 200 Tagen kann man von Hand noch mithalten. Bei 47 nicht mehr — das wären acht Termine im Jahr, pro Zertifikat.

Eine Warnung einrichten, keine Erinnerung. Ein Kalendereintrag erinnert dich daran, etwas zu tun. Eine Überwachung meldet sich, wenn es nicht passiert ist. Nur das zweite hilft, wenn die Automatik einmal stillschweigend hängenbleibt.

Wer das Hosting bei uns hat, muss sich um nichts davon kümmern; das läuft automatisch und wird überwacht. Interessant ist der Punkt für alle anderen — und für jedes Gerät im Haus, das ein eigenes Zertifikat hat.