Anzeige
SSL-Zertifikate 2026: Warum 200 Tage erst der Anfang sind
Seit dem 15. März 2026 dürfen neu ausgestellte öffentliche SSL/TLS-Zertifikate nur noch maximal 200 Tage statt der bisherigen 398 Tage gültig sein. Das ist erst der Auftakt eines mehrstufigen Plans: Bis 2029 sinkt die maximale Laufzeit auf gerade einmal 47 Tage – ein Rückgang von über 88 Prozent gegenüber dem heutigen Standard. Für jeden, der einen eigenen vServer betreibt und Zertifikate bislang manuell verlängert hat, ist das der Zeitpunkt, an dem Automatisierung von einer Komfortoption zur Notwendigkeit wird. Wer diesen Wandel jetzt verpasst, steht spätestens 2029 vor einem Betriebsrisiko, das sich mit den heute noch üblichen manuellen Abläufen kaum mehr beherrschen lässt.
Warum das CA/Browser Forum die Laufzeiten verkürzt
Der zentrale Treiber hinter der Entscheidung ist ein Sicherheitsargument: Je kürzer ein Zertifikat gültig ist, desto kleiner ist das Zeitfenster, in dem ein kompromittiertes oder fehlerhaft ausgestelltes Zertifikat missbraucht werden kann. Ein Zertifikat mit 398 Tagen Laufzeit gibt Angreifern im Schadensfall theoretisch bis zu 13 Monate Zeit – ein 47-Tage-Zertifikat reduziert dieses Fenster drastisch. Frühere Verkürzungen halbierten die Laufzeiten ungefähr, dieser Schritt reduziert sie dagegen auf einen Bruchteil des heutigen Werts. Getragen wird der Beschluss von einem Gremium aus Zertifizierungsstellen und Browser-Herstellern wie Apple, Google und Mozilla, wobei ursprünglich Apple die aggressivere 47-Tage-Marke vorschlug und Google sich dem schnell anschloss. Nebenbei bereitet die Umstellung das Web auch auf künftige post-quantensichere Zertifikate vor, deren häufigerer Austausch von kürzeren Grundlaufzeiten profitiert.
Der Zeitplan im Detail
Parallel zur Zertifikatslaufzeit sinkt auch die maximale Wiederverwendbarkeit von Domain-Validierungsdaten auf denselben Zeitraum. Wichtig für die Praxis: Bereits ausgestellte Zertifikate verlieren durch die neuen Regeln nicht ihre Gültigkeit – Browser vertrauen einem vor dem jeweiligen Stichtag ausgestellten 398-Tage-Zertifikat weiterhin bis zu dessen natürlichem Ablauf. Die neuen Grenzen gelten nur für Neuausstellungen und Verlängerungen nach dem jeweiligen Datum.
Was das für VPS-Betreiber konkret bedeutet
Bei einem Jahreszertifikat war eine manuelle Verlängerung noch überschaubar handhabbar – ein Termin im Kalender, vielleicht eine Erinnerungsmail. Bei sieben bis acht Verlängerungen pro Jahr, wie sie ab 2029 mit 47-Tage-Zertifikaten anfallen, wird derselbe manuelle Prozess zum echten Betriebsrisiko. Ein einzelner verpasster oder fehlgeschlagener Verlängerungsversuch führt dann deutlich schneller zu einer sichtbaren Zertifikatswarnung im Browser, als es bei einem Jahreszyklus der Fall wäre. Gerade bei mehreren Domains oder Subdomains auf demselben vServer summiert sich der Verwaltungsaufwand schnell, wenn jedes Zertifikat einzeln im Blick behalten werden muss.
Praxis-Hinweis: Schon die aktuelle 200-Tage-Phase ist mit guten manuellen Prozessen gerade noch handhabbar. Die 47-Tage-Stufe ab 2029 gilt in der Branche dagegen übereinstimmend als praktisch nicht mehr manuell zu bewältigen – wer jetzt noch keine Automatisierung nutzt, sollte die verbleibende Zeit bis 2027 gezielt für die Umstellung nutzen.
ACME-Automatisierung als Pflichtaufgabe
Wer einen eigenen vServer betreibt, sollte prüfen, ob Certbot oder ein vergleichbarer ACME-Client installiert und korrekt konfiguriert ist. Entscheidend ist dabei nicht nur, dass die Erstausstellung funktioniert, sondern dass auch der Cronjob für die automatische Erneuerung zuverlässig läuft und Fehlschläge sichtbar gemeldet werden – ein einzelner stiller Fehlschlag ist bei 47-Tage-Zertifikaten deutlich weniger tolerierbar als bei einem Jahreszertifikat. Für komplexere Setups mit mehreren Domains oder Subdomains lohnt sich der Blick auf zentrale Zertifikatsverwaltungslösungen, die Ausstellung, Erneuerung und Installation über mehrere Server hinweg koordinieren, statt jeden Server einzeln zu konfigurieren.
Checkliste für die eigene Infrastruktur
- 01Bestandsaufnahme durchführen – welche Zertifikate laufen wo, für welchen Zweck, und wie werden sie aktuell erneuert?
- 02ACME-Client prüfen oder einrichten – Certbot oder vergleichbare Tools automatisieren Ausstellung und Erneuerung vollständig.
- 03Monitoring für fehlgeschlagene Erneuerungen einrichten – eine Benachrichtigung bei Fehlschlag ist bei kurzen Laufzeiten unverzichtbar.
- 04Vor dem 15. März 2027 vollständig automatisiert sein – ab dann sinkt die Laufzeit auf 100 Tage, danach bleibt bis 2029 noch weniger Puffer.
Verlässliche Verschlüsselung als Basis für API-Integrationen
Wer über den eigenen vServer eine API oder einen Webhook-Endpunkt betreibt, der mit Drittsystemen wie einer Abrechnungsplattform kommuniziert, ist von zuverlässiger TLS-Verschlüsselung besonders abhängig – ein abgelaufenes Zertifikat kann eine gesamte Integration unterbrechen, etwa wenn Zahlungsbestätigungen per Webhook nicht mehr zugestellt werden können. Fakturia kommuniziert über die eigene REST-API und den MCP-Server durchgängig verschlüsselt und legt bei allen Integrationspartnern denselben Anspruch an zuverlässige Zertifikatsverwaltung an, der auch für die eigene vServer-Infrastruktur gilt.
$ beratung anfragenFazit
Die Verkürzung auf 200 Tage seit März 2026 ist noch vergleichsweise komfortabel zu bewältigen – der eigentliche Einschnitt kommt mit den Stufen auf 100 und schließlich 47 Tage bis 2029. Wer jetzt auf ACME-Automatisierung umstellt, statt bei jeder neuen Stufe erneut manuell nachzuziehen, erspart sich in den kommenden Jahren wiederholten Stress und senkt gleichzeitig das Risiko einer unbemerkt abgelaufenen Zertifikatskette auf der eigenen Infrastruktur. Die verbleibende Zeit bis zur 100-Tage-Stufe im März 2027 lässt sich gut nutzen, um Automatisierung in Ruhe zu testen, statt sie unter Zeitdruck einzuführen.
Häufige Fragen zu den neuen SSL/TLS-Laufzeiten
Werden bestehende Zertifikate durch die neuen Regeln ungültig?
Nein. Ein vor dem jeweiligen Stichtag ausgestelltes Zertifikat bleibt bis zu seinem natürlichen Ablauf gültig. Die verkürzten Laufzeiten gelten nur für Neuausstellungen und Verlängerungen nach dem jeweiligen Datum.
Muss ich als VPS-Betreiber sofort auf 47-Tage-Zertifikate umstellen?
Nein. Der Zeitplan ist gestaffelt: 200 Tage seit März 2026, 100 Tage ab März 2027, 47 Tage erst ab März 2029. Wichtig ist, die verbleibende Zeit für eine zuverlässige Automatisierung zu nutzen, statt bis zur letzten Stufe zu warten.
Reicht ein manueller Erneuerungsprozess weiterhin aus?
Bei der aktuellen 200-Tage-Stufe ist ein manueller Prozess mit guter Disziplin noch handhabbar. Ab der 47-Tage-Stufe 2029 gilt das in der Branche übereinstimmend als praktisch nicht mehr manuell zu bewältigen.
Welches Tool eignet sich für die Automatisierung auf einem eigenen vServer?
Certbot ist der verbreitetste ACME-Client für die automatisierte Ausstellung und Erneuerung von Zertifikaten. Entscheidend ist neben der korrekten Einrichtung vor allem ein zuverlässiges Monitoring, das fehlgeschlagene Erneuerungsversuche sichtbar meldet.