Kennen Sie das? Man ruft eine Website auf und der Browser schlägt Alarm: "Ihre Verbindung ist nicht privat." Meistens steckt kein Angriff dahinter, sondern etwas viel Banaleres: ein abgelaufenes SSL/TLS-Zertifikat, das jemand hätte verlängern müssen. Bisher passierte das einer Firma vielleicht alle ein, zwei Jahre. Diese Zeiten sind vorbei. Die maximale Laufzeit von Zertifikaten schrumpft in mehreren Stufen drastisch, und damit wird die manuelle Verlängerung vom lästigen Termin zum Betriebsrisiko.
Was sich ändert und wann
Beschlossen hat die Verkürzung das CA/Browser Forum, das Gremium aus Zertifizierungsstellen und Browser-Herstellern, dessen Regeln faktisch für das gesamte Web gelten. Der Fahrplan:
| Stichtag | Maximale Laufzeit neuer Zertifikate |
|---|---|
| bis 14.03.2026 | 398 Tage |
| seit 15.03.2026 | 200 Tage |
| ab 15.03.2027 | 100 Tage |
| ab 15.03.2029 | 47 Tage |
Die erste Stufe ist also bereits Realität: Wer heute ein Zertifikat kauft, bekommt maximal 200 Tage. Ab März 2027 halbiert sich das noch einmal. Und zum Ende des Jahrzehnts reden wir über eine Verlängerung etwa alle sechs Wochen, pro Zertifikat.
Warum das Ganze? Kürzere Laufzeiten begrenzen den Schaden, wenn ein privater Schlüssel gestohlen oder ein Zertifikat fehlerhaft ausgestellt wurde. Ein kompromittiertes Zertifikat, das nur noch Wochen statt eines Jahres gültig ist, ist für Angreifer schlicht weniger wert. Sicherheitstechnisch ist die Entscheidung darum richtig. Organisatorisch ist sie für alle, die Zertifikate von Hand verwalten, ein Problem.
Was das praktisch bedeutet
Rechnen wir kurz. Ein Unternehmen mit fünf Zertifikaten (Website, Shop, Mailserver, VPN, ein internes System) hatte bisher rund fünf Verlängerungen pro Jahr. Ab 2027 sind es etwa 18, ab 2029 über 40. Jede einzelne davon ist eine Gelegenheit, etwas zu vergessen.
Und die Folgen eines vergessenen Zertifikats sind unangenehm konkret:
- Website und Shop: Besucher sehen eine bildschirmfüllende Warnung. Die meisten drehen sofort ab. Für einen Shop ist das ein Totalausfall mit Ansage.
- E-Mail: Mailclients melden Zertifikatsfehler, im schlimmsten Fall wird Mailverkehr nicht mehr angenommen oder zugestellt.
- VPN und interne Dienste: Der Außendienst kommt nicht mehr ins Firmennetz, Schnittstellen zwischen Systemen brechen ab.
Dazu kommt der Reputationsschaden: Eine Browserwarnung auf der eigenen Website wirkt auf Kunden wie ein ungepflegter Schaufensterbereich, nur öffentlicher.
Die Lösung heißt Automatisierung
Die gute Nachricht: Das Problem ist technisch längst gelöst. Mit dem ACME-Protokoll, bekannt geworden durch Let's Encrypt, beantragen, validieren und erneuern sich Zertifikate vollautomatisch. Der Webserver holt sich sein neues Zertifikat selbst, Wochen bevor das alte abläuft, ohne dass ein Mensch daran denken muss. Ob die Laufzeit 90 Tage beträgt oder 47, spielt dann keine Rolle mehr.
Genau darauf zielt die Verkürzung übrigens ab: Sie soll die Branche endgültig von der Handarbeit zur Automatisierung bewegen. Inzwischen unterstützen auch die kommerziellen Zertifizierungsstellen ACME, sodass selbst Unternehmen mit besonderen Anforderungen automatisieren können.
Für einen geordneten Umstieg empfehlen wir drei Schritte:
- Inventur: Erfassen Sie alle Zertifikate im Unternehmen. Nicht nur die Website, auch Mailserver, VPN-Gateways, Firewalls, interne Anwendungen und vergessene Subdomains. Erfahrungsgemäß tauchen dabei mehr Zertifikate auf als gedacht.
- Automatisieren: Stellen Sie überall, wo es geht, auf ACME um. Moderne Webserver, Proxys und viele Appliances bringen die Unterstützung bereits mit. Für Systeme, die das nicht können, braucht es einen dokumentierten Prozess mit klarer Zuständigkeit.
- Überwachen: Automatisierung ohne Monitoring ist Hoffnung, keine Strategie. Ein einfacher Check, der die Restlaufzeit aller Zertifikate überwacht und rechtzeitig warnt, gehört dazu.
Wer sich darum nicht kümmern möchte
Seien wir ehrlich: Zertifikatsverwaltung ist genau die Art von Aufgabe, die in kleinen Unternehmen niemandem offiziell gehört. Sie ist unsichtbar, solange alles läuft, und teuer, sobald nicht. Wenn Sie das Thema lieber komplett abgeben möchten: In unserem Managed Hosting sind Zertifikate samt automatischer Erneuerung und Überwachung schlicht Teil des Betriebs, genau wie in unserem DSGVO-konformen E-Mail-Hosting. Sie merken von Stichtagen wie dem März 2027 dann schlicht nichts.
Auch für Ihre eigene Infrastruktur, von der Firewall bis zu internen Diensten, lässt sich das Thema sauber aufsetzen. Wie ein durchdachtes Fundament dafür aussieht, zeigt unsere Seite zu Infrastruktur und Netzwerk.
Häufige Fragen
Muss ich meine bestehenden Zertifikate jetzt austauschen? Nein. Die Stichtage gelten für neu ausgestellte Zertifikate. Ein heute gültiges Zertifikat läuft normal bis zu seinem Ablaufdatum weiter. Die kürzeren Laufzeiten treffen Sie automatisch bei der nächsten Verlängerung.
Sind kostenlose Zertifikate von Let's Encrypt schlechter als bezahlte? Für die Verschlüsselung nicht, die Kryptografie ist identisch. Bezahlte Zertifikate bieten vor allem organisatorische Extras wie Organisationsvalidierung oder Support. Für die meisten Websites und Dienste sind automatisierte kostenlose Zertifikate die richtige Wahl.
Betrifft die Änderung auch interne Systeme ohne Internetzugang? Direkt nur, wenn sie öffentlich vertrauenswürdige Zertifikate nutzen. Intern können Sie mit einer eigenen Zertifizierungsstelle andere Laufzeiten festlegen. Aber Vorsicht: Browser und Betriebssysteme werden intern wie extern strenger, und auch interne Handarbeit skaliert nicht. Automatisierung lohnt sich in beiden Welten.
Reicht es, eine Erinnerung in den Kalender zu setzen? Bei 100 Tagen Laufzeit heißt das: mehrere Termine pro Jahr und Zertifikat, die exakt eingehalten werden müssen, auch im Urlaub und im Projektstress. Das kann funktionieren. Robust ist es nicht. Die Kalendererinnerung ist die Lösung von gestern für ein Problem von morgen.
Fazit: Kein Grund zur Panik, aber zum Handeln
Die Verkürzung der Zertifikatslaufzeiten kommt gestuft und mit Ansage: 200 Tage heute, 100 Tage ab März 2027, 47 Tage ab 2029. Wer Zertifikate noch von Hand verlängert, sollte die Umstellung auf Automatisierung nicht auf 2027 verschieben, sondern jetzt angehen, solange kein Termindruck herrscht. Inventur, ACME, Monitoring: mehr ist es meistens nicht.
Wenn Sie dabei Unterstützung möchten oder das Thema gleich ganz in professionelle Hände geben wollen, sprechen Sie uns an. Im kostenfreien Erstgespräch klären wir, wo Ihre Zertifikate überall stecken und wie der Weg zur vollautomatischen Verwaltung aussieht.