Es gibt Änderungen, die man erst bemerkt, wenn sie zum zweiten Mal zuschlagen. Diese hier ist eine davon: Die maximale Laufzeit von SSL-Zertifikaten sinkt in Stufen, und zwar erheblich.
Beschlossen hat das im April 2025 das CA/Browser Forum, in dem Browserhersteller und Zertifizierungsstellen ihre gemeinsamen Regeln festlegen. Eingebracht wurde der Antrag von Apple, mitgetragen von Google, Mozilla und den grossen Ausstellern. Der Fahrplan steht damit fest und ist nicht verhandelbar — wer ein öffentlich vertrauenswürdiges Zertifikat will, bekommt es nur noch zu diesen Bedingungen.
Der Fahrplan
Bis zum 15. März 2026 waren 398 Tage erlaubt, also gut ein Jahr. Seit dem 15. März 2026 sind es 200 Tage. Ab dem 15. März 2027 sinkt die Grenze auf 100 Tage, ab dem 15. März 2029 auf 47 Tage.
Der Grund ist derselbe wie schon bei den kurzen Laufzeiten von Let's Encrypt, über die wir im Januar geschrieben haben: Ein gestohlener Schlüssel lässt sich in der Praxis kaum zuverlässig zurückrufen, weil viele Programme die Sperrlisten schlicht nicht abfragen. Ein Zertifikat, das ohnehin bald abläuft, begrenzt den Schaden von selbst.
Für Ihre Website ändert sich nichts
Das ist die Entwarnung, und sie gilt für die allermeisten Leser. Wer eine Website bei einem Hoster betreibt, bei dem die Zertifikate automatisch erneuert werden, merkt von der ganzen Sache nichts. Bei uns läuft das über acme.sh auf Web- und Mailservern; ob ein Zertifikat 90, 47 oder sechs Tage gilt, ist für einen Automaten kein Unterschied.
Wenn Sie unsicher sind, wie das bei Ihnen läuft: Das ist eine Frage, die Ihr Anbieter in einem Satz beantworten können sollte. Wie Zertifikate überhaupt funktionieren, steht in unserer Erklärung zu SSL, TLS und HTTPS.
Das Problem liegt neben der Website
Interessant wird es dort, wo kein Automat arbeitet. In den meisten Betrieben gibt es mehr Zertifikate, als auf den ersten Blick sichtbar ist:
Der Mailserver, wenn er im Haus steht. Das VPN, über das die Aussendienstleute hereinkommen. Die Weboberfläche des NAS im Keller. Das Kassensystem. Die Fernwartung der Telefonanlage. Das Kundenportal, das eine Agentur vor Jahren aufgesetzt hat. Ein Testsystem, das nie abgeschaltet wurde.
Solche Zertifikate hat oft jemand einmal von Hand installiert und sich einen Kalendereintrag gemacht. Bei einem Jahr Laufzeit funktioniert das. Bei 200 Tagen wird es lästig, bei 100 Tagen unhaltbar, bei 47 Tagen unmöglich — dann wären es acht Erneuerungen pro Jahr und Gerät.
Und ein abgelaufenes Zertifikat auf dem Mailserver ist kein Schönheitsfehler. Es bedeutet, dass Mailprogramme die Verbindung verweigern und niemand mehr Mail abrufen kann, bis jemand eingreift.
Der Punkt, der in kaum einer Meldung steht
Neben der Laufzeit sinkt noch etwas anderes, und das trifft auch die, die längst automatisiert haben: Wie lange eine Zertifizierungsstelle eine einmal durchgeführte Domain-Prüfung wiederverwenden darf.
Bisher waren das ebenfalls 398 Tage — die Stelle prüfte einmal, dass Ihnen die Domain gehört, und stellte danach ein Jahr lang aus. Auch diese Frist sinkt schrittweise, bis 2029 auf zehn Tage.
Damit reicht es nicht mehr, dass die Ausstellung automatisch läuft. Auch der Nachweis, dass die Domain Ihnen gehört, muss automatisch gelingen — über einen DNS-Eintrag, den die Software selbst setzt, oder über eine Datei, die sie auf dem Webserver ablegt. Wer dafür vor Jahren einmal von Hand einen TXT-Eintrag beim Registrar gesetzt hat, bei dem bricht die Erneuerung irgendwann ab, obwohl doch «alles automatisch» ist.
Das ist der Grund, warum die Umstellung mehr ist als eine Terminfrage.
Und die gekauften Mehrjahres-Zertifikate?
Die gibt es faktisch nicht mehr, auch wenn Händler weiterhin Pakete über zwei oder drei Jahre verkaufen. Was Sie kaufen, ist die Berechtigung, in diesem Zeitraum immer wieder ein neues, kurzlaufendes Zertifikat abzuholen. Das Abholen und Einbauen bleibt Ihre Aufgabe.
Wer also für ein Gerät ein bezahltes Zertifikat einsetzt, sollte prüfen, ob das überhaupt nötig ist. Für die meisten Zwecke tut ein kostenloses Zertifikat mit automatischer Erneuerung denselben Dienst — und zwar besser, weil niemand daran denken muss.
Was jetzt zu tun ist
Machen Sie eine Liste. Ein Blatt Papier genügt: Welches Gerät, welcher Dienst hat ein eigenes Zertifikat, wann läuft es ab, und wer erneuert es? In vielen Betrieben ist allein diese Liste die Erkenntnis, weil zwei oder drei Einträge auftauchen, an die niemand mehr gedacht hat.
Prüfen Sie bei jedem Eintrag, ob die Erneuerung automatisch läuft — und zwar einschliesslich der Domain-Prüfung. Wo sie es nicht tut, haben Sie bis März 2027 Zeit, das zu ändern. Danach wird es eng.
Sorgen Sie für eine Warnung, bevor es abläuft. Eine Überwachung, die sich zehn Tage vorher meldet, ist bei kurzen Laufzeiten kein Luxus mehr, sondern die Grundausstattung. Genau das gehört zu unserem Monitoring.
Wenn Sie nicht wissen, wo überall Zertifikate im Einsatz sind: Das lässt sich von aussen weitgehend feststellen. Fragen Sie uns.