Kürzere SSL-Zertifikate: was Agenturen jetzt tun

Es ist ein Freitagnachmittag im März, und der Kunde ruft an, weil seine Website „kaputt" ist. Nichts geht mehr, der Browser zeigt eine rote Warnseite: „Diese Verbindung ist nicht sicher." Kein Hack, kein Ausfall des Servers – das SSL-Zertifikat ist schlicht abgelaufen, und niemand hat es erneuert. Für Besucher sieht es aus, als sei der Shop kompromittiert; Google straft die Seite ab, Kontaktformulare werden nicht mehr abgeschickt. Ein vergessenes Datum, und ein professioneller Auftritt liegt in Trümmern.

Solche Freitagnachmittage werden häufiger, denn die Spielregeln für Zertifikate ändern sich gerade grundlegend. Die maximale Laufzeit von TLS-Zertifikaten, die eine Website per HTTPS absichern, wird in mehreren Stufen drastisch verkürzt – am Ende auf 47 Tage. Wer als Agentur ein Dutzend oder mehr Kundenseiten betreut, kann das nicht länger im Kalender pflegen. Dieser Beitrag erklärt, was genau beschlossen wurde, wann welche Frist greift und wie du daraus statt eines Risikos ein sauberes Standbein machst.

Kürzere SSL-Zertifikate: das steckt hinter dem Beschluss

Hinter der Änderung steht das CA/Browser Forum, das Gremium, in dem Zertifizierungsstellen und Browser-Hersteller wie Apple, Google, Microsoft und Mozilla gemeinsam die Regeln für vertrauenswürdige Zertifikate festlegen. Im April 2025 verabschiedete es mit dem Beschluss SC-081v3 einen verbindlichen Fahrplan, der die maximale Gültigkeit von TLS-Serverzertifikaten schrittweise nach unten schraubt. Wichtig zu verstehen: Das ist kein Vorschlag und keine Empfehlung, sondern eine Vorgabe, die jede öffentlich vertrauenswürdige Zertifizierungsstelle umsetzen muss. Zertifikate, die die neuen Höchstlaufzeiten überschreiten, werden schlicht nicht mehr ausgestellt.

Der Grund für die Verkürzung ist Sicherheit. Ein Zertifikat bestätigt, dass eine Website wirklich die ist, für die sie sich ausgibt. Wird ein privater Schlüssel kompromittiert oder wechselt eine Domain den Besitzer, bleibt ein lang laufendes Zertifikat unter Umständen jahrelang gültig, obwohl es das nicht mehr sein sollte – denn die Sperrmechanismen im Web funktionieren notorisch schlecht. Kürzere Laufzeiten begrenzen dieses Zeitfenster. Der Preis dafür ist Aufwand: Was seltener gültig ist, muss häufiger erneuert werden.

Der Fahrplan: von 398 auf 47 Tage

Noch liegt die Höchstlaufzeit bei 398 Tagen, also gut einem Jahr. Von diesem Wert aus geht es in drei klar terminierten Schritten nach unten. Ab dem 15. März 2026 dürfen neu ausgestellte Zertifikate höchstens 200 Tage gültig sein. Ab dem 15. März 2027 sinkt die Grenze auf 100 Tage. Und ab dem 15. März 2029 gilt die Zielmarke von 47 Tagen – also weniger als sieben Wochen pro Zertifikat.

Der eigentliche Sprengstoff steckt in einer zweiten Zahl, die leicht übersehen wird: Parallel wird auch die Wiederverwendung der Domain-Validierung verkürzt. Bislang kann eine einmal geprüfte Domain-Inhaberschaft (Domain Control Validation, kurz DCV) lange nachgenutzt werden, ohne dass die Prüfung wiederholt werden muss. Bis 2029 sinkt diese Nachnutzung auf 10 Tage. Das bedeutet: Nicht nur das Zertifikat selbst muss häufiger erneuert werden, sondern auch der Nachweis, dass du überhaupt Kontrolle über die Domain hast. Ein rein manueller Prozess, bei dem jemand alle paar Wochen DNS-Einträge setzt oder Bestätigungsdateien hochlädt, wird damit endgültig unhaltbar.

Wer diese Termine für ferne Zukunftsmusik hält, unterschätzt die Dynamik. Schon der erste Schritt auf 200 Tage steht 2026 an, und viele Zertifizierungsstellen ziehen freiwillig schneller nach, weil sie ihre Prozesse ohnehin umstellen. Wer heute noch Ein-Jahres-Zertifikate von Hand verwaltet, sollte die Umstellung nicht auf 2029 vertagen.

Warum Handarbeit endgültig ausfällt

Rechne es an deinem eigenen Kundenstamm durch. Betreust du 20 Websites, hast du bei einer einjährigen Laufzeit im Schnitt knapp zwei Erneuerungen pro Monat – lästig, aber machbar. Bei 47 Tagen Laufzeit vervielfacht sich das: Dieselben 20 Zertifikate müssten dann rund alle sechs Wochen erneuert werden, im Durchschnitt also mehrere pro Woche. Kommen mehrere Subdomains, Mailserver-Zertifikate oder Testumgebungen hinzu, sind es schnell dutzende bis hunderte Zertifikate, wie es auch mittelständische Betriebe längst kennen. Ein Kalendereintrag mit Erinnerung skaliert dabei nicht – und schlimmer noch, er verzeiht keinen einzigen Fehler. Ein übersehenes Datum, ein Mitarbeiter im Urlaub, und die rote Warnseite ist da.

Der entscheidende Satz für Agenturen lautet: Was du nicht kennst, erneuerst du nicht. Der häufigste Grund für abgelaufene Zertifikate ist nicht Faulheit, sondern fehlende Übersicht – ein Zertifikat auf einer alten Subdomain, das niemand mehr auf dem Schirm hatte. Der erste Schritt ist deshalb keine Technik, sondern ein Inventar: eine vollständige Liste, welche Domain, welche Subdomain und welcher Dienst bei welchem Kunden über welches Zertifikat läuft und wann es abläuft. Ohne diese Übersicht ist jede Automatisierung Stückwerk.

Automatisierung mit ACME: der Ausweg

Die gute Nachricht: Für das Problem gibt es eine ausgereifte, kostenlose Lösung, die seit Jahren im Einsatz ist. Sie heißt ACME (Automated Certificate Management Environment) – ein standardisiertes Protokoll, über das Server ihre Zertifikate vollautomatisch beantragen, validieren und erneuern. Bekannt geworden ist es durch Let's Encrypt, die kostenlose Zertifizierungsstelle, die von Anfang an nur 90-Tage-Zertifikate ausgestellt hat und deshalb komplett auf Automatisierung setzt. Millionen Websites erneuern ihre Zertifikate darüber längst, ohne dass je ein Mensch eingreift – die kurzen Laufzeiten, die jetzt zum allgemeinen Standard werden, sind dort seit einem Jahrzehnt Alltag.

In der Praxis übernimmt ein sogenannter ACME-Client die Arbeit auf dem Server. Verbreitete Werkzeuge wie Certbot, acme.sh oder Caddy fordern rechtzeitig vor Ablauf ein neues Zertifikat an, weisen die Domain-Kontrolle automatisch nach – etwa über einen temporären DNS-Eintrag oder eine Datei auf dem Webserver – und binden das erneuerte Zertifikat direkt ein. Ob ein Zertifikat 47 oder 398 Tage gilt, ist dann gleichgültig, weil kein Datum mehr im Kopf oder Kalender gehalten werden muss. Viele gute Hoster und Plattformen haben ACME zudem fest eingebaut; bei ihnen läuft die Erneuerung im Hintergrund, ohne dass du überhaupt etwas einrichten musst. Ein Grund mehr, bei der Wahl des Hostings genau hinzusehen, welche Sicherheitsfunktionen ab Werk mitkommen.

Ein paar Fallstricke solltest du dabei im Blick behalten. Nicht jedes Zertifikat lässt sich gleich leicht automatisieren: Domain-validierte Zertifikate (DV), wie sie die allermeisten Kundenseiten nutzen, funktionieren mit ACME reibungslos. Organisationsvalidierte Zertifikate (OV) oder solche mit erweiterter Prüfung (EV), die manche Kunden aus Prestigegründen wollen, verlangen weiterhin eine manuelle Identitätsprüfung – hier lohnt die ehrliche Frage, ob der Kunde sie wirklich braucht. Auch Zertifikate, die nicht auf einem klassischen Webserver liegen, sondern etwa auf einem Mailserver, einem Load Balancer oder einer Firewall, geraten schnell aus dem Blick, weil sie kein Standard-Client automatisch mitpflegt. Und schließlich brauchst du für die DNS-basierte Validierung einen Provider, dessen Schnittstelle dein ACME-Client ansprechen kann – ein Punkt, den du bei der Auswahl des DNS-Hosters früh klären solltest, bevor die kurzen Fristen ihn zum Engpass machen.

Vom Risiko zum Wartungsbaustein

Der Perspektivwechsel, der sich für Agenturen lohnt: Die verkürzten Laufzeiten sind kein Ärgernis, das man wegdrücken muss, sondern ein handfestes Argument für betreute Wartung. Denn der Kunde, der bisher glaubte, ein Zertifikat sei „einmal eingerichtet und dann gut", steht jetzt vor einem Prozess, den er selbst kaum noch beherrschen kann. Genau hier liegt dein Wert. Zertifikatsmanagement – ein sauberes Inventar, automatisierte Erneuerung, Monitoring der Restlaufzeiten und eine Alarmierung, falls doch einmal etwas hakt – ist ein klar umrissener, wiederkehrender Leistungsbaustein, der ideal in einen Wartungsvertrag passt.

Das Monitoring ist dabei kein Widerspruch zur Automatisierung, sondern ihre Absicherung: Auch ein automatischer Prozess kann scheitern, etwa wenn ein DNS-Eintrag falsch gesetzt ist oder ein Dienst nicht mehr läuft. Eine Überwachung, die dich Tage vor Ablauf warnt, verwandelt einen potenziellen Freitagnachmittag-Notfall in ein ruhiges Ticket. Wer diese Kette einmal für alle Kundenseiten aufgesetzt hat, betreut anschließend das Zehnfache an Zertifikaten mit weniger Aufwand als heute – und schläft ruhiger, weil das Ablaufdatum kein Damoklesschwert mehr ist, sondern eine Zahl, um die sich die Maschine kümmert. Die Verkürzung auf 47 Tage ist damit weniger eine Bedrohung als ein Weckruf: Sie zwingt genau die Professionalisierung herbei, von der am Ende auch deine Agentur profitiert.