SSL-Zertifikat erneuern: Kürzere Laufzeiten ab 2026

Wer nach einem SSL-Zertifikat sucht, meint im Websitebetrieb heute üblicherweise ein Zertifikat für TLS und HTTPS. Für öffentlich vertrauenswürdige Serverzertifikate begrenzt das CA/Browser Forum die mögliche Gültigkeit. Die Baseline Requirements, Abschnitt 6.3.2, nennen für Ausstellungen ab dem 15. März 2026 eine Höchstlaufzeit von 200 Tagen. Ab dem 15. März 2027 sinkt sie auf 100 Tage.

Entscheidend ist das Ausstellungsdatum. Ein vorher ausgestelltes Zertifikat wird durch diese Regel nicht automatisch nachträglich gekürzt. Ebenso wenig muss jedes neue Zertifikat genau 200 Tage gelten: Das ist eine Obergrenze, kein vorgeschriebener Anbieterstandard. Die Anforderungen betreffen die öffentliche Web-PKI; eine rein interne Unternehmens-PKI ist damit nicht pauschal gemeint.

Für Ihr Unternehmen ergibt sich eine konkrete Planungsfrage: Welche Laufzeit verwendet der tatsächliche Anbieter und wann soll die Erneuerung ausgelöst werden? Eine frühere jährliche Erinnerungsnotiz kann den aktuellen Ablauf nicht ausreichend beschreiben. Der richtige nächste Schritt ist deshalb ein Blick auf den verwendeten Dienst und seine Automatisierung, kein vorschneller Wechsel zu einem anderen Zertifikatsprodukt.

Ein vorhandenes Zertifikat kann noch gültig sein, während der nächste Erneuerungsversuch bereits scheitert. Die Seite lädt dann zunächst normal. Das ist der Grund, nicht erst auf die Browserwarnung zu warten. Die grundlegende Trennung von Domain, DNS und Hosting erklärt unser Artikel zu Domain, DNS, Hosting und TLS; hier geht es um den wiederkehrenden Nachweisweg.

Let’s Encrypt beschreibt verschiedene ACME-Challenges zur Prüfung der Domainkontrolle. Bei HTTP-01 muss eine vorgesehene Datei über einen bestimmten Webpfad erreichbar sein. Bei DNS-01 wird ein passender DNS-TXT-Eintrag geprüft. Eine funktionierende Startseite bestätigt keinen dieser beiden Nachweise. Änderungen an Weiterleitungen, Zugriffsregeln, DNS-Anbietern oder den benötigten Berechtigungen können deshalb für die Erneuerung relevant sein.

Diese Verfahren sind Alternativen mit unterschiedlichen Voraussetzungen, keine wahllos auszuprobierende Reparaturliste. Halten Sie fest, welches Verfahren Ihre Umgebung tatsächlich verwendet und wer es betreut. Benötigte DNS-Zugriffe sollten zur Aufgabe begrenzt sein. Vollständige Kontoschlüssel gehören weder in öffentliche Anleitungen noch in eine allgemeine Erstnachricht an einen Dienstleister.

Ein fiktiver Wartungsbetrieb nutzt seine Website für Serviceanfragen. Auf älteren Drucksachen steht die Adresse mit www, neuere Nachrichten verwenden die Adresse ohne www. Beide Einstiege gehören weiterhin zum vereinbarten Kundenweg. Nach einer Zertifikatserneuerung meldet die technische Aufgabe Erfolg. Trotzdem berichtet ein Kunde über eine Browserwarnung beim Aufruf der gedruckten Adresse.

Die Betreuung betrachtet deshalb beide Einstiege getrennt. Im Beispiel liegt das neue Zertifikat bereits vor, eine Auslieferungsstelle verwendet aber noch den vorherigen Stand. Die vorhandene Datei und die öffentlich sichtbare Verbindung beschreiben unterschiedliche Zustände. Der Fehler wird dort behoben, wo er tatsächlich entsteht. Eine weitere Bestellung ohne diese Zuordnung würde die Ursache nicht zuverlässig klären.

Nach der Korrektur werden die vereinbarten Adressen erneut von außen aufgerufen. Anschließend wird der normale Weg bis zur Kontaktmöglichkeit geprüft. Eine tatsächlich versendete Testanfrage wird nur nach Abstimmung und eindeutig gekennzeichnet ausgelöst. Das Beispiel behauptet keinen realen Ruhrstack-Kundenfall; es zeigt, weshalb eine alleinige Kontrolle der bevorzugten Startadresse zu kurz greifen kann.

Für die Übergabe bleibt eine knappe Notiz: betroffenes Einstiegspaar, bestätigte Einbindung, beobachteter neuer Gültigkeitszeitraum und offener Rest. Ein aufwendiges Systeminventar ist dafür nicht immer nötig. Entscheidend ist, dass sich die Rückmeldung später derselben Website und derselben Erneuerung zuordnen lässt.

Let’s Encrypt empfiehlt im Integrationsleitfaden automatisierte Erneuerungen anhand geeigneter Zeitfenster. ACME Renewal Information, kurz ARI, kann dem Client ein empfohlenes Erneuerungsfenster mitteilen. Der Leitfaden nennt außerdem die Weitergabe von Fehlern an die verantwortliche Administration. Ob Ihr konkreter Client ARI unterstützt, muss anhand seiner Dokumentation geprüft werden.

Ruhrstack beschreibt im Bereich Hosting und Betrieb die Planung von Domains, HTTPS-Zertifikaten und Zuständigkeiten. Im vereinbarten Umfang kann daraus eine klare Aufgabe entstehen: die vorhandene Erneuerung erfassen, Verantwortliche zuordnen und die Einbindung sowie den öffentlichen Weg prüfen. Ein Zertifikatsdienst, der kostenlos ausstellt, übernimmt dadurch nicht automatisch sämtliche Arbeiten an Ihrer Umgebung.

Für Ihr Unternehmen wird verständlich, welcher Teil beim Anbieter liegt und welcher bei der Betreuung. Ein externer Ansprechpartner kann notwendige technische Rückfragen bündeln; intern bleibt bekannt, welche Kundenwege wichtig sind. Reaktionszeiten, Vertretung und wiederkehrende Kontrollen werden ausdrücklich vereinbart. Sie folgen nicht automatisch aus dem Begriff Hosting und bedeuten keine Zusage einer ständigen Bereitschaft oder vollständiger Sicherheit.