TLS-Zertifikate gelten jetzt 200 Tage. Das bricht als Nächstes.

Am 15. März 2026 ist die erste Stufe der Verkürzung öffentlich vertrauenswürdiger Zertifikate durch das CA/Browser Forum in Kraft getreten. Die maximale Gültigkeitsdauer neu ausgestellter, öffentlich vertrauenswürdiger TLS-Zertifikate beträgt nun 200 Tage statt der bisherigen 398. 1

Das ist erst der Anfang. Der Fahrplan sieht 100 Tage ab dem 15. März 2027 und 47 Tage ab dem 15. März 2029 vor. Derselbe Zeitplan verkürzt auch, wie lange sich Validierungsergebnisse für Domains und IP-Adressen wiederverwenden lassen: Antragsteller müssen die Kontrolle über Domains und IP-Adressen häufiger nachweisen. Bei OV- und EV-Zertifikaten sinkt die Wiederverwendung der Subject Identity Information mit der Stufe im März 2026 von 825 auf 398 Tage. 1

Der Fahrplan geht auf den Antrag SC-081 im CA/Browser Forum zurück, eingebracht von Apple und im Verfahren des Forums unter Beteiligung großer Ökosystemmitglieder wie Apple, Google, Mozilla und Sectigo entwickelt. 2

Sperrlisten allein haben nie gereicht

Kürzere Laufzeiten sind in erster Linie eine Sicherheitsmaßnahme und keine Formalie. Der Antragstext führt aus, dass bestehende Mechanismen zum Zertifikatsstatus wie CRLs und OCSP im Maßstab des Internets an Grenzen stoßen – bei Datenschutz, Geschwindigkeit, Aktualität und Genauigkeit. Kürzere Zertifikate ersetzen das Sperren nicht, aber sie verkürzen die Zeit, in der ein kompromittiertes oder fälschlich ausgestelltes Zertifikat im öffentlichen Internet noch brauchbar ist. 2

Die Auswirkungen auf den Betrieb sind erheblich. Der Schritt von maximal 398 Tagen auf 47 Tage bedeutet im selben Zeitraum rund 8,5-mal so viele mögliche Erneuerungszyklen. Schon die Zwischenstufe von 100 Tagen im März 2027 ist kurz genug, um jeden Prozess zu zerbrechen, der noch auf Kalendererinnerungen, Tickets von Hand oder darauf setzt, dass sich nach einer Ablaufwarnung jemand einloggt.

Vier Dinge, die sich in diesem Quartal lohnen

Fangen Sie mit einer Bestandsaufnahme an. Viele Organisationen haben keine vollständige Liste aller Zertifikate, die sie betreiben – und Automatisierung kann nichts erneuern, von dessen Existenz niemand weiß. Certificate-Transparency-Logs sind ein guter Weg, um öffentlich sichtbare Zertifikate für Ihre Domains aufzuspüren.

Automatisieren Sie danach jeden Dienst, der TLS nutzt. Das ACME-Ökosystem hat die automatische Erneuerung zum Standard gemacht – mit Werkzeugen wie Let's Encrypt, Certbot, acme.sh, lego und der eingebauten Zertifikatsverwaltung von Caddy. Wählen Sie ein Verfahren und vereinheitlichen Sie es.

Vergessen Sie die Systeme nicht, die keine klassischen Websites sind. Mailserver, Load Balancer, interne APIs, Monitoring-Plattformen, VPN-Konzentratoren und IPMI-Schnittstellen hängen alle an Zertifikaten und bekommen oft weniger Aufmerksamkeit als Webserver.

Überwachen Sie den Ablauf schließlich von außen. Nur auf die Erneuerungsjobs zu alarmieren, reicht nicht: Ein Job kann erfolgreich durchlaufen, während Auslieferung, DNS-Validierung, Firewallregeln oder der Neustart des Dienstes scheitern. Prüfen Sie das Zertifikat, das Nutzer im Internet tatsächlich bekommen.

Managed-Plattformen haben hier ein Problem

Automatisierung ist unkompliziert, wenn Sie das Betriebssystem kontrollieren. Schwieriger wird es, wenn die Plattform den Erneuerungsvorgang verbirgt.

Viele Managed-Hosting-Produkte stellen Zertifikate über ein Control Panel oder ein anbieterverwaltetes System aus, mit wenig Zugriff auf ACME-Hooks oder die Auslieferung der Zertifikate. Mit einem Zeitfenster von 398 Tagen war das beherrschbar. Bei 100 und schließlich 47 Tagen werden Kunden immer stärker davon abhängig, dass die Automatisierung des Anbieters jedes Mal funktioniert.

Root-Zugriff nimmt eine große Abhängigkeit heraus

Wir geben Root-Zugriff, weil Kontrolle genau bei solchen betrieblichen Anforderungen zählt.

Unsere VPS laufen auf KVM-Virtualisierung mit vollem Root-Zugriff, und unsere VDS-Pakete bieten dieselbe Kontrolle in größerem Maßstab. Sie installieren Ihren bevorzugten ACME-Client, wählen Ihren eigenen Erneuerungsrhythmus und schreiben eigene Deployment-Hooks für nginx, HAProxy, Postfix oder jeden anderen Dienst, der neue Zertifikate braucht.

Weil Ihnen die VM gehört, hängen Ausstellung und Erneuerung nicht an unserem Control Panel oder an einer anbieterverwalteten Zertifikatsautomatik. Ihre Infrastruktur, Ihre Automatisierung, Ihre Zertifikate.

Das deckt auch anspruchsvollere Aufbauten ab. Sie können DNS-01-Challenges über Ihren eigenen DNS-Anbieter abwickeln, eine zentrale Zertifikatsautomatik für mehrere Server betreiben oder Zertifikate an interne Dienste verteilen, die gar nicht direkt aus dem Internet erreichbar sind.

Wenn Sie Dienste an mehreren Standorten betreiben – Tirana, Skopje, Amsterdam oder Dublin –, funktioniert derselbe Ansatz überall, denn jeder Server bleibt ein Linux-System unter Ihrer Kontrolle.

Die Pakete beginnen bei 5 €/Monat, wir akzeptieren Krypto, und es gibt keine KYC-Pflicht. Starten Sie einen Server und richten Sie Ihre Zertifikatsautomatik noch heute ein.

Der eigentliche Stichtag ist der März 2027

Am 15. März 2027 werden viele Organisationen die Folgen spüren. Ein Fenster von 100 Tagen ist kurz genug, dass vierteljährliche Handprozesse nicht mehr sicher in den Erneuerungszyklus passen.

Sie haben Zeit, sich vorzubereiten. Die Automatisierung einzurichten kostet Minuten – verglichen mit dem Schaden, den ein abgelaufenes Zertifikat anrichtet.

Häufige Fragen

Sind SSL-Zertifikate jetzt auf 200 Tage begrenzt?

Für neu ausgestellte, öffentlich vertrauenswürdige TLS-Zertifikate von öffentlichen Zertifizierungsstellen: ja. Private Zertifikate und interne PKI-Systeme unterliegen den Regeln des CA/Browser Forums nicht.

Betrifft das Zertifikate von Let's Encrypt?

Die Änderung gilt für öffentlich vertrauenswürdige Zertifikate insgesamt. Dienste wie Let's Encrypt setzen ohnehin auf das ACME-Protokoll, wer die automatische Erneuerung also bereits eingerichtet hat, ist auf kürzere Laufzeiten weitgehend vorbereitet.

Müssen private Zertifikate die 200-Tage-Grenze einhalten?

Nein. Die Regeln des CA/Browser Forums gelten für öffentlich vertrauenswürdige Zertifikate, die von Browsern und Betriebssystemen genutzt werden. Private PKI-Installationen wählen ihre Laufzeiten selbst.

Was passiert, wenn Zertifikate nur noch 47 Tage gelten?

Für die meisten Dienste, die aus dem Internet erreichbar sind, wird Automatisierung faktisch zur Pflicht. Manuelle Erneuerung wird immer riskanter, je kürzer die Zeit zwischen Ausstellung und Ablauf wird.

Quellen

1. TLS Certificate Lifetimes Will Officially Reduce to 47 Days, DigiCert
2. Ballot SC-081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods, CA/Browser Forum Server Certificate Working Group