Das kleine Schloss in der Adresszeile steht für eine verschlüsselte Verbindung. Dahinter steckt ein Zertifikat, das die Identität Ihrer Website bestätigt und eine begrenzte Laufzeit hat. Diese Laufzeit wird nun deutlich kürzer. Ab dem 15. März 2026 dürfen öffentlich vertrauenswürdige TLS-Zertifikate, umgangssprachlich oft SSL-Zertifikate genannt, höchstens 200 Tage gültig sein. Bisher waren es 398 Tage.
Für viele Websites ändert sich dadurch nichts. Für einige bedeutet es aber, dass ein lange gewohnter Ablauf nicht mehr funktioniert.
Was beschlossen wurde
Die Regeln für Zertifikate legt das CA/Browser Forum fest, ein Zusammenschluss von Zertifizierungsstellen und Browserherstellern. Im April 2025 hat es mit dem Beschluss SC-081v3 einen stufenweisen Plan verabschiedet:
| ab | Höchstdauer eines Zertifikats |
|---|---|
| 15. März 2026 | 200 Tage |
| 15. März 2027 | 100 Tage |
| 15. März 2029 | 47 Tage |
Gleichzeitig wird auch die Zeitspanne verkürzt, in der eine einmal bestätigte Domain-Prüfung wiederverwendet werden darf. Zertifikate müssen also öfter erneuert werden. Auch die Bestätigung, dass Ihnen die Domain gehört, ist häufiger fällig.
Warum kürzere Laufzeiten?
Zertifikate, die lange gültig sind, bleiben auch dann gültig, wenn sich etwas ändert. Etwa wenn eine Domain den Besitzer wechselt, ein privater Schlüssel in falsche Hände gerät oder sich ein Fehler bei der Ausstellung herausstellt. Das Zurückziehen von Zertifikaten funktioniert in der Praxis nur unzuverlässig. Kürzere Laufzeiten begrenzen den möglichen Schaden auf natürliche Weise. Außerdem zwingen sie zu automatisierten Abläufen, die weniger fehleranfällig sind als manuelle.
Wer betroffen ist und wer nicht
Automatische Zertifikate sind kaum betroffen
Viele Hoster stellen Zertifikate automatisch über Let’s Encrypt oder vergleichbare Dienste aus. Diese Zertifikate sind ohnehin nur 90 Tage gültig und werden im Hintergrund erneuert. Wenn das bei Ihnen so ist, müssen Sie nichts tun. Prüfen Sie lediglich einmal, ob die Erneuerung tatsächlich funktioniert: Das Ablaufdatum im Browser sollte nie weniger als drei bis vier Wochen in der Zukunft liegen.
Gekaufte und manuell installierte Zertifikate sind betroffen
Anders sieht es aus, wenn Sie ein Zertifikat jährlich kaufen, vielleicht mit erweiterter Prüfung der Organisation, und es von Hand auf dem Server installieren lassen. Dieser Ablauf muss künftig mindestens zweimal im Jahr stattfinden, ab 2027 etwa viermal und ab 2029 fast jeden Monat. Spätestens dann ist Handarbeit nicht mehr sinnvoll.
Zertifikate außerhalb der Website sind ebenfalls betroffen
Zertifikate stecken nicht nur auf Webservern. Mailserver, VPN-Zugänge, Router, Telefonanlagen, Druckeroberflächen oder interne Anwendungen mit öffentlichem Zertifikat brauchen ebenfalls regelmäßige Erneuerung. Gerade dort wird ein Ablaufdatum oft vergessen, weil sich niemand zuständig fühlt.
Was Sie jetzt tun sollten
1. Bestandsaufnahme machen
Listen Sie alle Domains und Subdomains auf, die ein Zertifikat nutzen. Notieren Sie, wer es ausgestellt hat, wie es erneuert wird und wann es abläuft. Ihr Hoster oder IT-Dienstleister kann dabei helfen.
2. Automatisieren, wo es geht
Das Verfahren, mit dem Zertifikate automatisch beantragt und erneuert werden, heißt ACME. Es wird von Let’s Encrypt genutzt, zunehmend aber auch von kommerziellen Zertifizierungsstellen angeboten. Wenn Sie aus guten Gründen ein kostenpflichtiges Zertifikat brauchen, fragen Sie Ihren Anbieter nach einer automatischen Erneuerung.
3. Überwachung einrichten
Auch Automatik kann scheitern, etwa nach einem Serverumzug oder einer Änderung an den DNS-Einträgen. Ein einfacher Überwachungsdienst, der rechtzeitig vor dem Ablauf warnt, kostet wenig und erspart den Schreck, wenn Besucher plötzlich eine Sicherheitswarnung sehen.
4. Verträge prüfen
Haben Sie ein Zertifikat für mehrere Jahre im Voraus bezahlt? Viele Anbieter verkaufen solche Pakete weiterhin, liefern aber innerhalb der Laufzeit mehrere kürzere Zertifikate nacheinander aus. Klären Sie, wie die Neuausstellung bei Ihrem Anbieter abläuft und ob sie automatisch erfolgt.
So prüfen Sie Ihr Zertifikat selbst
Sie brauchen dafür keine Technikkenntnisse. Öffnen Sie Ihre Website im Browser und klicken Sie auf das Symbol links neben der Adresse. Je nach Browser finden Sie dort einen Eintrag wie „Verbindung ist sicher“ und darunter die Angaben zum Zertifikat. Wichtig sind drei Informationen:
- Gültig bis: das Ablaufdatum
- Ausgestellt von: die Zertifizierungsstelle, etwa Let’s Encrypt oder ein kommerzieller Anbieter
- Ausgestellt für: die Domain, für die das Zertifikat gilt
Liegt das Ablaufdatum weniger als 90 Tage nach dem Ausstellungsdatum und stammt das Zertifikat von Let’s Encrypt, läuft die Erneuerung sehr wahrscheinlich automatisch. Liegt das Ausstellungsdatum ein Jahr zurück und haben Sie das Zertifikat gekauft, gehören Sie zu denen, die ihren Ablauf jetzt umstellen sollten. Diesen kurzen Blick auf das Zertifikat sieht auch unser Website-Check zum Jahresbeginn vor.
Was passiert, wenn ein Zertifikat abläuft?
Läuft ein Zertifikat ab, zeigen Browser eine deutliche Warnung. Die meisten Besucher brechen an dieser Stelle ab, und das zu Recht. Onlineshops verlieren Bestellungen, Formulare werden nicht mehr abgeschickt, und manche Schnittstellen zu anderen Systemen funktionieren gar nicht mehr. Ein abgelaufenes Zertifikat ist einer der vermeidbarsten Ausfälle überhaupt.
Unsere Empfehlung
Für die allermeisten Websites ist ein automatisch erneuertes Zertifikat die beste Wahl. Es ist sicher und kostet wenig. Handarbeit fällt keine an. Kostenpflichtige Zertifikate mit Organisationsprüfung haben weiterhin ihre Berechtigung, etwa in bestimmten Branchen oder bei vertraglichen Vorgaben. Auch sie sollten aber automatisch erneuert werden.
Wenn Sie nicht sicher sind, wie es bei Ihnen aussieht, prüfen wir das gern. Im Rahmen von Hosting, Wartung und Sicherheit überwachen wir Zertifikate und kümmern uns um die Erneuerung. Betreiben Sie Schnittstellen oder ein Kundenportal mit eigenen Zertifikaten, gehört das ebenso dazu wie bei unserer Individualsoftware.