Zertifikate laufen immer schneller ab: Warum manuelles Erneuern ab 2027 nicht mehr funktioniert

Ab Februar 2027 stellt Let's Encrypt standardmäßig nur noch Zertifikate mit 64 Tagen Laufzeit aus. Das klingt nach einer Randnotiz für Webseitenbetreiber. Tatsächlich ist es nur das sichtbarste Zeichen einer Entwicklung, die jedes Unternehmen mit öffentlich erreichbaren Diensten betrifft: Auch gekaufte Zertifikate laufen immer schneller ab. Wer seine Zertifikate heute noch von Hand tauscht, hat damit bald alle paar Wochen einen Termin.

Was Let's Encrypt ändert

• Ab 10. Februar 2027 erhalten alle neu ausgestellten oder erneuerten Zertifikate standardmäßig 64 statt 90 Tage Laufzeit. Die letzten 90-Tage-Zertifikate laufen im Mai 2027 aus.
• 2028 sinkt der Standard weiter auf 45 Tage.
• Die Testumgebung stellt bereits ab dem 14. Oktober 2026 um, damit Betreiber ihre Abläufe vorab prüfen können.
• Eine erfolgreiche Domain-Validierung darf künftig nur noch 10 statt 30 Tage wiederverwendet werden, ab 2028 nur noch wenige Stunden.

Wer die automatische Erneuerung an feste Fristen gekoppelt hat, etwa „erneuern nach 60 Tagen“, muss nachbessern. Let's Encrypt empfiehlt, bei etwa zwei Dritteln der Laufzeit zu erneuern, oder besser: Die Zertifizierungsstelle über ACME Renewal Info (ARI) selbst den Zeitpunkt vorgeben zu lassen.

Der größere Rahmen: Alle öffentlichen Zertifikate werden kürzer

Die eigentliche Nachricht betrifft nicht nur kostenlose Zertifikate. Das CA/Browser Forum, das Gremium aus Zertifizierungsstellen und Browserherstellern, hat 2025 einen verbindlichen Stufenplan für alle öffentlich vertrauenswürdigen TLS-Zertifikate beschlossen.

Wo es im Mittelstand typischerweise hakt

Kritisch sind vor allem Systeme, auf denen Zertifikate bisher einmal im Jahr von Hand eingespielt wurden:

• Mailserver: Webmail, die Synchronisation mit Smartphones und die verschlüsselte Mailzustellung hängen am selben Zertifikat. Bei Hybrid-Anbindungen an Microsoft 365 ist es zusätzlich in Konnektoren hinterlegt.
• Anmeldedienste und Föderation: Das Zertifikat muss auf allen beteiligten Servern und dem vorgelagerten Proxy gleichzeitig getauscht werden.
• Fernzugriff: Remote-Desktop-Gateways, VPN-Portale und Benutzerportale von Firewalls.
• Webanwendungen hinter Reverse-Proxys, Telefonanlagen mit Webclient und Fachanwendungen mit eigenem Webzugang.

Ein einziges abgelaufenes Zertifikat reicht für einen spürbaren Ausfall: Smartphones bekommen keine Mails mehr, der VPN-Zugang verweigert die Verbindung, oder die Anmeldung an Microsoft 365 schlägt fehl. Je kürzer die Laufzeiten, desto häufiger entsteht diese Gelegenheit.

Was nicht betroffen ist

Zertifikate aus einer internen Zertifizierungsstelle, etwa der Active-Directory-Zertifikatsdienste, fallen nicht unter die Regeln des CA/Browser Forums. Für rein interne Dienste ändert sich also nichts. Öffentlich erreichbare Dienste lassen sich damit aber nicht umgehen: Externe Geräte und Browser vertrauen internen Zertifikaten nicht.

Was Sie jetzt tun sollten

1. Inventur machen: Welche öffentlichen Zertifikate gibt es, auf welchen Systemen sind sie installiert, wer erneuert sie, wann laufen sie ab? Oft ist dasselbe Zertifikat an mehr Stellen hinterlegt als gedacht.
2. Automatisieren, wo möglich: Viele Systeme unterstützen das ACME-Protokoll für automatische Erneuerung direkt oder über Zusatzwerkzeuge.
3. Feste Fristen prüfen: Skripte und Aufgabenplanungen, die nach einer festen Anzahl von Tagen erneuern, auf die neuen Laufzeiten anpassen.
4. Ablauf überwachen, auch bei Automatik: Automatische Erneuerungen scheitern oft unbemerkt, etwa an einer geänderten Firewall-Regel oder einem abgelaufenen DNS-Zugang. Eine unabhängige Überwachung meldet sich rechtzeitig, bevor Nutzer es merken.
5. Manuelle Fälle einplanen: Wo Automatisierung nicht möglich ist, den Tausch dokumentieren und feste Wartungsfenster vorsehen. Ab 2027 ist das ein Quartalsthema.
6. Let's Encrypt testen: Wer Let's Encrypt einsetzt, sollte die Erneuerung ab dem 14. Oktober in der Testumgebung mit 64-Tage-Zertifikaten prüfen.

Wie wir unterstützen

Wie viel Aufwand die kürzeren Laufzeiten für Sie bedeuten, hängt davon ab, wie viele öffentlich erreichbare Dienste Sie betreiben und wie Ihre Zertifikate heute erneuert werden. Das klären wir gemeinsam mit Ihnen:

• Bestandsaufnahme: Welche Zertifikate gibt es, auf welchen Systemen sind sie hinterlegt, wer erneuert sie heute und wann laufen sie ab?
• Automatisierung: Wo es technisch möglich ist, stellen wir die Erneuerung auf ACME um, auf Firewalls, Reverse-Proxys, Webservern und Mailservern. Dabei achten wir darauf, dass für die Validierung keine Ports unnötig offen stehen.
• Überwachung: Wir richten eine Ablaufkontrolle ein, die zu Ihrer vorhandenen Umgebung passt. So fällt eine gescheiterte Erneuerung auf, bevor Ihre Nutzer sie bemerken.
• Planbare Wartung: Für Systeme, die sich nicht automatisieren lassen, legen wir feste Termine fest und dokumentieren den Tausch, damit er nicht vom Wissen Einzelner abhängt.

Am Ende steht ein Ablauf, bei dem klar ist, welches Zertifikat wann und von wem erneuert wird. Warum sich solche Themen nur mit laufender Betreuung zuverlässig in den Griff bekommen lassen, beschreiben wir in Warum IT-Betreuung mehr ist als Reparieren.

Quellen & weiterführende Links

• Let's Encrypt

  64-Day Certificate Lifetimes Coming Feb 2027
• Golem.de

  Let's Encrypt verkürzt Gültigkeit auf 64 Tage
• SSL.com

  Änderungen der Gültigkeit von SSL-Zertifikaten

Recherche-Stand: 9. Oktober 2026