Seit dem 15. März 2026 darf ein öffentlich vertrauenswürdiges SSL/TLS-Zertifikat höchstens 200 Tage gültig sein. Am 15. März 2027 sinkt die Grenze auf 100 Tage und am 15. März 2029 auf 47 Tage. Wer heute Zertifikate von Hand erneuert, muss das bis 2029 mindestens achtmal im Jahr tun. Die Lösung: die Erneuerung jetzt automatisieren und überwachen, dass die Automatisierung weiter funktioniert.
Der Zeitplan stammt vom CA/Browser Forum, dem Zusammenschluss von Zertifizierungsstellen und Browserherstellern, der die Regeln für jedes öffentliche Zertifikat festlegt. Dieser Leitfaden erklärt den Zeitplan, die weniger diskutierte Änderung bei der Domainvalidierung und was vor jeder Frist zu tun ist.
Der Zeitplan
Ballot SC-081v3, im April 2025 angenommen, hat die Baseline Requirements des Forums in drei Schritten geändert. Zwei Grenzen sinken gemeinsam: wie lange ein Zertifikat gültig sein darf und wie lange eine Zertifizierungsstelle eine frühere Prüfung, dass Sie die Domain kontrollieren, wiederverwenden darf.
Zertifikat ausgestelltMaximale GültigkeitDomainvalidierung wiederverwendbar für bis zuVor dem 15. März 2026398 Tage398 TageAb dem 15. März 2026200 Tage200 TageAb dem 15. März 2027100 Tage100 TageAb dem 15. März 202947 Tage10 Tage
Auf der Seite zum Ballot finden Sie die Abstimmung und den vollständigen Text. Die Grenzen gelten zum Zeitpunkt der Ausstellung. Ein Zertifikat, das vor einer Frist ausgestellt wurde, bleibt bis zu seinem eigenen Ablaufdatum gültig – nichts, was Sie heute haben, hört am 15. März auf zu funktionieren. Es lässt sich nur nicht durch eines ersetzen, das genauso lange hält.
Was die Wiederverwendung der Domainvalidierung bedeutet
Bevor eine Zertifizierungsstelle ein Zertifikat ausstellt, prüft sie, ob Sie die Domain kontrollieren, etwa indem Sie einen DNS-Eintrag veröffentlichen oder eine Datei über HTTP bereitstellen. Bisher durfte sie diese Prüfung über ein Jahr lang wiederverwenden. Ab März 2029 beträgt der Zeitraum 10 Tage, sodass fast jede Erneuerung eine neue Prüfung braucht. Eine Erneuerung, die bisher mit einer gespeicherten Validierung funktioniert hat, hängt dann davon ab, dass Ihr DNS und Ihr Webserver jedes Mal korrekt antworten.
Warum die Laufzeiten kürzer werden
Die Angaben in einem Zertifikat veralten. Domains werden verkauft, Unternehmen wechseln den Hoster, Schlüssel gelangen nach außen. Eine kürzere Laufzeit begrenzt, wie lange ein veraltetes oder kompromittiertes Zertifikat genutzt werden kann.
Der Widerruf ist unzuverlässig. Browser können nicht immer prüfen, ob ein Zertifikat widerrufen wurde. Der Ablauf ist die Absicherung, die immer greift – und ein früherer Ablauf greift früher.
Sie erzwingt Automatisierung. Die manuelle jährliche Erneuerung ist genau der Prozess, der scheitert: Die Person, die sie erledigt hat, ist weg, die Erinnerung ging an ein altes Postfach. Wird häufig erneuert, muss automatisiert werden – und automatisierte Prozesse können bei Bedarf schnell Algorithmen oder Zertifizierungsstellen wechseln.
Let’s Encrypt geht noch weiter
Zertifikate von Let’s Encrypt gelten bereits 90 Tage und liegen damit deutlich innerhalb aller oben genannten Grenzen. In Decreasing Certificate Lifetimes to 45 Days hat Let’s Encrypt einen eigenen Zeitplan angekündigt:
13. Mai 2026: Das optionale Profil tlsserver stellt Zertifikate mit 45 Tagen Laufzeit aus.
10. Februar 2027: Das Standardprofil classic wechselt zu Zertifikaten mit 64 Tagen, und Validierungen werden 10 statt 30 Tage wiederverwendet.
16. Februar 2028: Der Standard wechselt zu Zertifikaten mit 45 Tagen, Validierungen werden nur noch 7 Stunden wiederverwendet.
Außerdem hat Let’s Encrypt 2025 den Versand von E-Mails zum Ablauf eingestellt. Wenn Sie sich darauf verlassen haben, um eine fehlgeschlagene Erneuerung zu bemerken, ersetzt sie nichts – es sei denn, Sie richten selbst etwas ein.
Checkliste zur Vorbereitung
1. Alle eigenen Zertifikate finden
Die Website ist der einfache Teil. Erfassen Sie auch API-Endpunkte, Admin-Oberflächen, Staging-Sites, Mailserver, Load Balancer, Edge-Zertifikate im CDN und alte Kampagnen-Subdomains. Certificate-Transparency-Logs verzeichnen jedes öffentliche Zertifikat; eine Suche nach Ihrer Domain (etwa auf crt.sh) zeigt Zertifikate, an deren Bestellung sich niemand erinnert. Der SSL-Checker zeigt Ablaufdatum, Aussteller, Namen und Zertifikatskette für jeden Host.
2. Erneuerung mit ACME automatisieren
ACME ist das Standardprotokoll, um Zertifikate ohne menschliches Zutun anzufordern und zu erneuern (RFC 8555). Certbot, acme.sh und Caddy beherrschen es, ebenso die meisten Hosting-Panels, Load Balancer und CDNs. Auch viele kommerzielle Zertifizierungsstellen unterstützen es, sodass sich auch kostenpflichtige Zertifikate automatisieren lassen. Erneuern Sie deutlich vor dem Ablauf, wenn noch etwa ein Drittel der Laufzeit übrig ist, damit ein fehlgeschlagener Versuch rechtzeitig wiederholt werden kann.
3. Validierung jedes Mal zum Laufen bringen
Bei 10 Tagen Wiederverwendung braucht jede Erneuerung eine erfolgreiche Validierung. Prüfen Sie Ihre Methode:
HTTP-Validierung braucht einen offenen Port 80 und ein erreichbares /.well-known/acme-challenge/, ohne Weiterleitung auf eine Login-Seite und ohne Firewall-Regel im Weg.
DNS-Validierung braucht API-Zugriff auf Ihren DNS-Anbieter und Zugangsdaten, die nicht unbemerkt ablaufen.
CAA-Einträge müssen, falls Sie welche veröffentlichen, die Zertifizierungsstelle nennen, die Sie nutzen. Ein CAA-Eintrag, der von einem früheren Anbieter übrig geblieben ist, blockiert die Ausstellung. Prüfen Sie sie mit dem Tool DNS-Lookup.
Ein geänderter DNS-Eintrag ist einer der häufigsten Gründe, warum eine Erneuerung, die jahrelang funktioniert hat, plötzlich scheitert. Das DNS-Monitoring meldet Ihnen, wenn sich ein Eintrag ändert.
4. Erneuerte Zertifikate auch ausrollen
Ein erneuertes Zertifikat auf der Festplatte bewirkt nichts, bis der Server es lädt. Stellen Sie sicher, dass Ihr Client den Webserver nach der Erneuerung neu lädt und dass jeder Server hinter einem Load Balancer das neue Zertifikat erhält – nicht nur der, auf dem die Erneuerung lief. Am meisten schmerzen kürzere Laufzeiten bei Appliances und Diensten, in die ein Zertifikat von Hand hochgeladen werden muss; klären Sie jetzt, ob sie eines automatisch beziehen können.
5. Manuell gekaufte Zertifikate überdenken
Ein Zertifikat, das als Einjahresprodukt verkauft wird, kann nicht mehr für ein Jahr ausgestellt werden. Seit März 2026 muss es während der Laufzeit mindestens einmal neu ausgestellt werden, ab 2029 etwa alle sechs Wochen. Wenn ein organisationsvalidiertes Zertifikat Pflicht ist, fragen Sie Ihre Zertifizierungsstelle vor dem 100-Tage-Schritt 2027, wie sie ACME unterstützt.
6. Das tatsächlich ausgelieferte Zertifikat überwachen
Automatisierung scheitert leise: ein abgelaufenes Token für die DNS-API, ein Serverumzug, bei dem der Erneuerungs-Timer vergessen wurde, ein Reload, der nie stattfand. Der einzige verlässliche Test ist, regelmäßig von außen auf das Zertifikat zu schauen, das Besucher erhalten. Unser Leitfaden zum Monitoring des SSL-Zertifikatsablaufs geht ins Detail, und SSL-Zertifikatsfehler erklärt zeigt, was Besucher sehen, wenn etwas schiefgeht.
Was jede Frist in der Praxis bedeutet
Jetzt, bei 200 Tagen: Jedes Zertifikat wird mindestens zweimal im Jahr ersetzt. Ein manueller Prozess funktioniert noch, aber jetzt ist der richtige Moment für Bestandsaufnahme und Automatisierung, solange eine verpasste Erneuerung selten ist.
Ab dem 15. März 2027, bei 100 Tagen: mindestens vier Wechsel im Jahr. Ein Zertifikat, das von Hand in eine Appliance oder ein Hosting-Panel hochgeladen wird, wird zur vierteljährlichen Pflicht, die irgendwer vergisst.
Ab dem 15. März 2029, bei 47 Tagen: mindestens acht Wechsel im Jahr, jeder mit neuer Domainvalidierung. Alles Manuelle scheitert früher oder später – ebenso eine Automatisierung, deren DNS-Zugangsdaten, Firewall-Regeln oder Reload-Schritt niemand getestet hat.
Die Arbeit ist bei jedem Schritt dieselbe: weniger manuelle Zertifikate, eine Erneuerung, die selbstständig validiert und ausrollt, und eine Prüfung von außen, die Ihnen meldet, wenn das nicht geklappt hat.
So überwacht Uptimecheck Ihre Zertifikate
Jeder HTTPS-Monitor in Uptimecheck liest bei jedem Check das Zertifikat aus, einen separaten SSL-Monitor müssen Sie also nicht einrichten.
Erinnerungen gehen 30, 14, 7 und 1 Tag vor Ablauf des Zertifikats sowie am Ablauftag an die Alarmkanäle des Monitors.
Die verbleibenden Tage werden unter 30 Tagen gelb und unter 14 rot, und Zertifikate, die innerhalb von 14 Tagen ablaufen, erscheinen in der Übersicht unter „Needs attention“.
Ein abgelaufenes, selbstsigniertes oder nicht passendes Zertifikat lässt den Check fehlschlagen und eröffnet einen Vorfall wie jeder andere Ausfall. Ein fehlendes Zwischenzertifikat wird als „Incomplete chain“ angezeigt.
Stimmen Sie die Erinnerungen auf Ihren Erneuerungszeitpunkt ab. Erneuert Ihr Client bei mehr als 30 verbleibenden Tagen, bedeutet jede Erinnerung, dass eine Erneuerung fehlgeschlagen ist. Erneuert er später, wie es bei 47-Tage-Zertifikaten der Fall sein wird, kommt die 30-Tage-Erinnerung vor jeder Erneuerung, und die erste Erinnerung nach dem Erneuerungszeitpunkt Ihres Clients ist die, bei der Sie handeln müssen. Siehe So überwachen Sie den Ablauf von SSL-Zertifikaten.
Die Domainregistrierung hat ein eigenes Ablaufdatum, und ist sie erst verfallen, hilft auch kein Zertifikat mehr. Das Domain-Monitoring erinnert Sie an denselben Tagen; prüfen Sie jede Domain mit dem Domain-Ablauf-Checker.
Kürzere Zertifikate sollten nicht mehr Ausfälle bedeuten. Testen Sie Uptimecheck 14 Tage kostenlos, keine Kreditkarte erforderlich.