Wie lange ist ein SSL-Zertifikat jetzt gültig, und wie wird sich das ändern?

Die maximale Gültigkeit eines SSL-Zertifikats beträgt jetzt 200 Tage, nach 398 Tagen bis zum 15. März 2026. Am 15. März 2027 sinkt sie auf 100 Tage und am 15. März 2029 auf 47 Tage, gemäß den Baseline Requirements, die das CA/Browser Forum für jede Zertifizierungsstelle der Welt festlegt. Let's Encrypt, der größte Aussteller kostenloser Zertifikate, kündigte am 7. Oktober 2026 an, dass seine Zertifikate ab dem 10. Februar 2027 von 90 Tagen auf 64 Tage verkürzt werden. In der Praxis muss ein Zertifikat, das Ihr Unternehmen bisher einmal im Jahr erneuert hat, jetzt mindestens zweimal erneuert werden, dann viermal und dann etwa achtmal. Bleibt die Erneuerung eine Aufgabe, an die jemand denken muss, wird eines Tages ein Kunde Ihre Website öffnen und eine Warnung sehen, dass die Verbindung nicht sicher ist.

Der Zeitplan: von 398 Tagen auf 47

Zertifikat ausgestelltMaximale GültigkeitMaximale Wiederverwendung der Domainvalidierung
Vor dem 15. März 2026398 Tage398 Tage
Ab dem 15. März 2026200 Tage200 Tage
Ab dem 15. März 2027100 Tage100 Tage
Ab dem 15. März 202947 Tage10 Tage

Die letzte Spalte ist wichtiger, als sie aussieht. Die Domainvalidierung ist der Schritt, in dem Sie der Zertifizierungsstelle nachweisen, dass Sie Ihre Domain kontrollieren, indem Sie einen DNS-Eintrag hinzufügen oder eine Datei auf Ihrem Server ablegen. Heute kann eine Validierung 200 Tage lang wiederverwendet werden; ab März 2029 gilt sie nur noch 10 Tage, sodass fast jede Erneuerung eine neue Validierung braucht. Das Forum hat diesen Zeitplan am 11. April 2025 beschlossen, mit 25 Zertifizierungsstellen, die mit Ja stimmten, keiner Gegenstimme und allen vier stimmberechtigten Browserherstellern dafür. Es ist kein Vorschlag, der sich verschieben könnte. Es ist eine Regel, die jede Zertifizierungsstelle befolgt, damit Browser ihren Zertifikaten weiterhin vertrauen.

Was ändert sich bei den kostenlosen Zertifikaten von Let's Encrypt?

Viele kleine und mittelgroße Websites laufen mit kostenlosen Let's-Encrypt-Zertifikaten, oft ohne dass der Inhaber es weiß. Laut der offiziellen Ankündigung und dem veröffentlichten Zeitplan:

  • 14. Oktober 2026: Die Staging-Umgebung beginnt mit der Ausstellung von 64-Tage-Zertifikaten, damit Sie Ihre Systeme vor dem eigentlichen Termin testen können.
  • 10. Februar 2027: Jedes ab diesem Datum ausgestellte oder erneuerte Zertifikat ist 64 Tage gültig, und der Zeitraum für die Wiederverwendung der Autorisierung sinkt von 30 Tagen auf 10 Tage.
  • 16. Februar 2028: Die Gültigkeit sinkt auf 45 Tage, und eine Validierung gilt nur noch 7 Stunden.

Let's Encrypt warnt vor einem häufigen Fehler: Skripte und geplante Aufgaben, die auf ein 90-Tage-Zertifikat ausgelegt sind, mit festen Erneuerungszeitpunkten wie 83, 80 oder 60 Tagen. Diese müssen geändert werden. Empfohlen wird, nach etwa zwei Dritteln der Laufzeit des Zertifikats zu erneuern, also ungefähr an Tag 42 von 64. Unterstützt Ihr Erneuerungsclient ACME Renewal Information (ARI), ist keine Änderung nötig, weil die Zertifizierungsstelle dem Client selbst mitteilt, wann er erneuern soll.

Noch ein Detail: Let's Encrypt hat am 4. Juni 2025 aufgehört, Erinnerungs-E-Mails zum Ablauf zu verschicken. Wenn Sie auf eine E-Mail gewartet haben, die Sie an die Erneuerung erinnert, wird sie nicht kommen.

Was passiert mit Ihrem Unternehmen an dem Tag, an dem das Zertifikat abläuft?

  • Website und Onlineshop: Der Browser zeigt statt Ihrer Website eine ganzseitige Warnung, dass die Verbindung nicht privat ist. Die meisten Besucher schließen die Seite und kommen nicht zurück, und wer weitermacht, gibt seine Kartendaten nur mit Sorge ein.
  • Mobile App: Die App kommuniziert über eine verschlüsselte Verbindung mit Ihrem Server und verweigert die Verbindung, sobald das Serverzertifikat abläuft. Der Nutzer sieht eine allgemeine Fehlermeldung oder einen leeren Bildschirm, ohne zu wissen, warum.
  • Integrationen mit anderen Systemen: Zahlungsbenachrichtigungen, Versandintegrationen und Buchhaltungssysteme laufen alle über verschlüsselte Verbindungen. Ein abgelaufenes Zertifikat stoppt sie lautlos, und Sie erfahren es vielleicht erst, wenn sich ein Kunde, der bezahlt hat, beschwert, dass seine Bestellung nie bestätigt wurde.
  • E-Mail und interne Dashboards: Mailserver, Admin-Panels und Werkzeuge für Mitarbeitende haben ebenfalls Zertifikate, und sie werden meist am häufigsten vergessen, weil niemand sie täglich ansieht.

Sie haben ein kostenpflichtiges Zertifikat für ein ganzes Jahr gekauft. Was hat sich geändert?

Kaufen heißt nicht mehr installieren. Keine Zertifizierungsstelle darf Ihnen heute ein Zertifikat ausstellen, das länger als 200 Tage gültig ist, deshalb verkaufen sie weiterhin ein Jahresabonnement und stellen das Zertifikat innerhalb dieses Zeitraums neu aus. SSL.com etwa erklärt, dass Ihr Kauf weiterhin eine 12-Monats-Lizenz ist, dass es jetzt Zertifikate mit 198 Tagen Gültigkeit ausstellt und dass eine Neuausstellung innerhalb Ihrer Laufzeit keine Zusatzkosten verursacht. Jede Neuausstellung bedeutet aber eine neue Domainvalidierung und eine neue Installation auf dem Server. Ab März 2027 geschieht das mindestens 4 Mal im Jahr, ab März 2029 etwa 8 Mal. Die Frage ist nicht mehr, was das Zertifikat kostet. Sondern wer es installiert, wie oft, und wer dafür geradesteht, wenn es vergessen wird.

Ein Plan in fünf Schritten für Ihr Unternehmen

  1. Erfassen Sie alle Zertifikate: Website, Onlineshop, Server der mobilen App, E-Mail, Admin-Panels und jede Subdomain. Notieren Sie für jedes den Aussteller, das Ablaufdatum und die verantwortliche Person.
  2. Automatisieren Sie die Erneuerung: mit einem Erneuerungsclient auf dem Server oder mit Zertifikaten, die Ihr Cloud-Anbieter oder Ihr Content Delivery Network automatisch verwaltet und erneuert. Läuft Ihr Shop auf einer gehosteten Plattform, fragen Sie dort schriftlich nach: Erneuert sie das Zertifikat selbstständig, und wer kümmert sich darum, wenn die Erneuerung fehlschlägt?
  3. Überwachen Sie den Ablauf mit einem unabhängigen Tool: Gehen Sie nicht davon aus, dass die Automatisierung funktioniert. Überwachungsdienste warnen Sie Tage vor dem Ablauf, und als Let's Encrypt seine Erinnerungs-E-Mails einstellte, verwies es auf einen kostenlosen Überwachungsdienst für bis zu 250 Zertifikate.
  4. Prüfen Sie alte Skripte: Suchen Sie nach festen Zahlen, die auf ein 90-Tage-Zertifikat ausgelegt sind, und testen Sie die Erneuerung gegen die Staging-Umgebung, die am 14. Oktober mit der Ausstellung von 64-Tage-Zertifikaten beginnt.
  5. Benennen Sie den Verantwortlichen im Vertrag: Nehmen Sie in Ihren Hosting- oder Wartungsvertrag eine klare Klausel auf, dass Erneuerung und Überwachung der Zertifikate Sache des Anbieters sind, mit einer festgelegten Reaktionszeit, falls ein Zertifikat abläuft.

Wie Origami hilft

Bei den Websites und Apps, die wir bei Origami entwickeln, ist die Erneuerung der Zertifikate vom ersten Tag an automatisiert, und eine unabhängige Überwachung warnt uns, bevor etwas abläuft, sodass nichts vom Gedächtnis eines Menschen abhängt. Wenn Sie bereits eine Website oder ein System haben, erfassen wir dessen Zertifikate und stellen sie auf automatische Erneuerung um, als Teil des Wartungsservice nach dem Launch, den wir in unserem Artikel über Wartung und Support nach dem Launch beschrieben haben. Siehe auch die Grundlagen der Cybersicherheit für kleine und mittlere Unternehmen.

Quellen