Seit dem 15. März 2026 darf ein öffentlich vertrauenswürdiges SSL-Zertifikat höchstens 200 Tage gültig sein. Vorher waren es 398. Und damit ist es nicht vorbei: 2027 sinkt die Grenze auf 100 Tage, 2029 auf 47 Tage. Was nach einer technischen Randnotiz klingt, verändert die Arbeitsweise in der IT grundlegend – aus einer jährlichen Routineaufgabe wird ein Dauerlauf.

Der Zeitplan im Überblick

Das CA/Browser Forum, in dem Zertifizierungsstellen und Browserhersteller gemeinsam die Regeln festlegen, hat die Verkürzung im April 2025 beschlossen. Sie läuft in vier Stufen:

• bis 14. März 2026: maximal 398 Tage Laufzeit
• ab 15. März 2026: maximal 200 Tage
• ab 15. März 2027: maximal 100 Tage
• ab 15. März 2029: maximal 47 Tage

Parallel dazu verkürzt sich die Wiederverwendbarkeit der Domain-Validierung im gleichen Takt – ab 2029 auf lediglich 10 Tage. Das heißt: Selbst der Nachweis, dass Ihnen die Domain gehört, muss dann praktisch bei jeder Erneuerung neu erbracht werden.

Warum die Zertifikate kürzer werden

Der Grund ist Sicherheit. Ein gestohlener privater Schlüssel oder ein fälschlich ausgestelltes Zertifikat lässt sich in der Praxis schlecht zurückrufen – Sperrlisten funktionieren im Alltag nur eingeschränkt. Je kürzer die Laufzeit, desto kleiner das Zeitfenster für Missbrauch. Der zweite Grund ist ebenso beabsichtigt: Kurze Laufzeiten zwingen Unternehmen dazu, die Erneuerung zu automatisieren, statt sie von Hand zu erledigen.

Was das für Ihr Unternehmen bedeutet

Rechnen Sie einmal nach. Ein Unternehmen mit 15 Zertifikaten – Website, Shop, Mailserver, VPN, Firewall, Terminalserver, ein paar interne Dienste – kam bisher auf 15 Erneuerungen im Jahr. Ab 2027 sind es rund 55. Ab 2029 über 115. Jede einzelne davon bedeutet: Zertifikat beantragen, Domain validieren, Datei installieren, Dienst neu starten, Ergebnis prüfen.

Von Hand ist das nicht mehr zu leisten. Und die Folgen eines vergessenen Zertifikats sind unangenehm konkret:

• Der Browser zeigt Besuchern eine rote Sicherheitswarnung – auf der Website und im Shop
• Der E-Mail-Verkehr bricht ab, weil Server die Verbindung ablehnen
• Das VPN lässt niemanden mehr ins Firmennetz
• Schnittstellen zwischen Anwendungen scheitern lautlos

Ein abgelaufenes Zertifikat gehört zu den Ausfällen, die sich zu hundert Prozent vermeiden lassen – und die trotzdem regelmäßig passieren, weil der Kollege im Urlaub war.

Die Lösung heißt Automatisierung

Für einen großen Teil der Zertifikate lässt sich die Erneuerung vollständig automatisieren. Das ACME-Protokoll, bekannt aus dem Umfeld von Let's Encrypt, wird inzwischen auch von kommerziellen Zertifizierungsstellen unterstützt. Der Ablauf läuft dann ohne Zutun: Ablaufdatum erkennen, Domain automatisch validieren, neues Zertifikat abholen, einspielen, Dienst neu laden.

Die Schwierigkeit liegt selten beim Webserver. Sie liegt bei den Systemen daneben: Firewall-Appliances, Load Balancer, Exchange-Server, Terminalserver-Gateways, Netzwerkdrucker, Industriesteuerungen. Jedes hat seinen eigenen Weg, ein Zertifikat entgegenzunehmen. Genau hier scheitern selbstgebaute Lösungen.

Unser Managed Service für Zertifikate

Wir übernehmen das komplett – mit einem festen Ansprechpartner und einem klaren Leistungsumfang:

• Inventarisierung: Wir finden alle Zertifikate in Ihrer Umgebung, auch die vergessenen auf Nebensystemen.
• Überwachung rund um die Uhr: Jedes Zertifikat wird auf Ablaufdatum, Kette und korrekte Einbindung geprüft.
• Automatische Erneuerung, wo immer das System es zulässt.
• Betreute Erneuerung für alle Geräte, die sich nicht automatisieren lassen – terminiert, dokumentiert, getestet.
• Ausrollen und Neustart der betroffenen Dienste im vereinbarten Wartungsfenster.
• Reporting: Sie sehen jederzeit, welches Zertifikat wo läuft und wann es erneuert wird.

Damit wird aus einem wiederkehrenden Risiko eine Position im Wartungsvertrag – und Ihre IT hat den Kopf für Wichtigeres frei.

Was Sie jetzt tun sollten

Der nächste harte Termin ist der 15. März 2027. Bis dahin sollte die Automatisierung stehen, denn ab 100 Tagen Laufzeit ist manuelles Erneuern in einer gewachsenen Umgebung schlicht nicht mehr realistisch. Der erste Schritt ist immer derselbe: wissen, welche Zertifikate überhaupt im Einsatz sind.

Wir erstellen Ihnen diese Übersicht – und sagen Ihnen ehrlich, was sich automatisieren lässt und was nicht. Mehr zu unseren Leistungen rund um IT-Sicherheit und Service & Support finden Sie auf unserer Website.

Stand: 30. Juli 2026 · BES Systemhaus GmbH, Schwabach · Weißenburg · Nürnberg