SSL-Zertifikate ab 2026: Nur noch 47 Tage statt 398

Sie befinden sich: Home > News Archiv > Webmaster > SSL-Zertifikate ab 2...

Einmal im Jahr das SSL-Zertifikat erneuern? Damit ist bald Schluss. Bis 2029 sinkt die Laufzeit auf 47 Tage. Für die meisten Seitenbetreiber ist das kein Drama, für manche schon. Wer jetzt was tun muss.

Ein SSL-Zertifikat einmal im Jahr erneuern und dann ein Jahr Ruhe haben: So lief das jahrelang. Diese Routine endet gerade. Das Gremium, das die Regeln fürs verschlüsselte Web macht, hat beschlossen, die Gültigkeit von Zertifikaten kräftig zu kürzen. Erst auf 200 Tage, dann auf 100, am Ende auf 47.

Klingt nach Arbeit. Für die meisten Betreiber einer normalen Website ist es aber keine. Für andere wird es eng, wenn sie jetzt nichts ändern. Der Unterschied hängt vor allem davon ab, wo Ihre Seite läuft und wer sich um die Zertifikate kümmert. Wie drastisch die Kürzung ausfällt, sieht man am besten an den vier Stichtagen.

Der Zeitplan: von 398 auf 47 Tage

Hinter der Umstellung steckt das CA/Browser Forum, ein Zusammenschluss aus Zertifizierungsstellen und Browser-Herstellern wie Apple, Google, Microsoft und Mozilla. Im April 2025 stimmte es für einen Vorschlag mit dem sperrigen Namen Ballot SC-081v3. Vorangetrieben hat ihn Apple, alle vier großen Browser zogen mit. Die Kürzung kommt nicht auf einen Schlag, sondern in vier Stufen, jeweils zum 15. März.

Ab	Maximale Laufzeit	Domain-Prüfung wiederverwendbar
heute bis 14. März 2026	398 Tage	398 Tage
15. März 2026	200 Tage	200 Tage
15. März 2027	100 Tage	100 Tage
15. März 2029	47 Tage	10 Tage

Die rechte Spalte sinkt parallel mit. Sie sagt, wie lange eine einmal geprüfte Domain-Bestätigung wiederverwendet werden darf, bevor man erneut nachweisen muss, dass die Domain einem gehört. Zwei Dinge nehmen der Sache aber die Schärfe. Bestehende Zertifikate behalten ihre volle Laufzeit, wenn sie vor einem Stichtag ausgestellt wurden. Und die Regel gilt nur für öffentliche Zertifikate. Interne Firmen-Zertifikate und selbst signierte Zertifikate laufen weiter wie bisher.

Eine kleine Unschärfe noch, falls Sie die Zahlen anderswo abweichend sehen. In der Praxis stellen die Anbieter meist einen Tag weniger aus, also 199 statt 200 Tage, und viele schalten schon Wochen vor dem offiziellen Stichtag um. DigiCert etwa beginnt bereits Ende Februar 2026. Bleibt die Frage, die für Sie am meisten zählt: Trifft Sie das überhaupt?

Müssen Sie jetzt handeln?

Das hängt davon ab, in welche der drei Gruppen Sie fallen.

• Sie nutzen normales Webhosting oder einen Baukasten. Dann müssen Sie höchstwahrscheinlich gar nichts tun. Ihr Anbieter erneuert die Zertifikate automatisch, meist über Let's Encrypt. Die Kürzung läuft im Hintergrund ab, und die Kosten bleiben gleich.
• Sie betreiben einen eigenen Server oder VPS. Dann sind Sie selbst zuständig. Von Hand erneuern geht noch, wird aber mit jeder Stufe lästiger. Hier führt kein Weg an Automatisierung vorbei.
• Sie setzen gekaufte Zertifikate auf eigener Hardware ein, etwa auf Exchange-Servern, VPN-Gateways oder Firewalls. Das ist die Gruppe mit dem meisten Aufwand. Solche Geräte können mit Automatisierung oft schlecht umgehen, und genau hier wird die kurze Laufzeit zum Stressfaktor.

Wie groß der Aufwand wird, zeigt eine simple Rechnung. Wer heute einmal im Jahr erneuert, kommt 2026 auf etwa zwei Erneuerungen, 2027 auf vier und 2029 auf acht. Bei einem einzigen Zertifikat ist das egal. Bei fünfzig wird daraus ein Halbtagsjob, der sich jeden Monat wiederholt. Wer verstehen will, worum es bei diesen Zertifikaten eigentlich geht, dem hilft ein kurzer Blick aufs Fundament.

SSL, TLS und der Mythos vom Schloss

Ein SSL-Zertifikat ist so etwas wie der Ausweis einer Website. Es macht zwei Dinge: Es verschlüsselt die Verbindung, damit niemand mitlesen kann, und es bestätigt, dass Sie wirklich mit der Seite reden, die in der Adresszeile steht.

Streng genommen heißt die Technik längst nicht mehr SSL, sondern TLS. SSL stammt aus den 1990ern von Netscape und gilt seit Jahren als unsicher. Der Nachfolger TLS kam 1999 und steht heute bei Version 1.3. Der alte Name hat sich trotzdem gehalten, deshalb spricht fast jeder von SSL, obwohl TLS gemeint ist.

Jetzt der Teil, den viele falsch verstehen. Das Schloss-Symbol im Browser bedeutet nur eines: Die Verbindung ist verschlüsselt. Es sagt nichts darüber, ob die Seite seriös ist. Auch Betrüger benutzen Schloss und https. Das FBI warnte schon 2019 ausdrücklich davor, einer Seite allein wegen des Schlosses zu trauen. In einer Google-Umfrage verstanden nur 11 Prozent der Befragten, was das Symbol wirklich aussagt. Chrome hat das Schloss deshalb 2023 durch ein neutrales Symbol ersetzt. Dass dieses Schloss jetzt eine kürzere Lebensdauer bekommt, hat einen handfesten Grund.

Warum die Laufzeit der SSL-Zertifikate schrumpft

Der wichtigste Grund ist Sicherheit. Wird der geheime Schlüssel eines Zertifikats gestohlen, kann ein Angreifer ihn so lange missbrauchen, wie das Zertifikat gültig ist. Bei 398 Tagen sind das gut 13 Monate. Bei 47 Tagen schrumpft dieses Fenster auf wenige Wochen.

Dazu kommt ein altes Problem. Das System, mit dem man Zertifikate vorzeitig für ungültig erklärt, funktioniert schlecht, weil Browser die Sperrlisten oft ignorieren. Ein SSL-Zertifikat, das von selbst nach kurzer Zeit abläuft, ist die zuverlässigere Notbremse. Und je kürzer die Laufzeit, desto schneller lässt sich neue Verschlüsselung im ganzen Netz ausrollen. Das wird wichtig, wenn Quantencomputer die heutigen Verfahren irgendwann knacken.

Den Druck zur Automatisierung nehmen die Browser-Hersteller bewusst in Kauf. Genau das ist gewollt. Die gute Nachricht: Gegen den Mehraufwand gibt es ein wirksames Mittel.

Automatisierung: Let's Encrypt und ACME

Die Antwort auf kurze Laufzeiten heißt erneuern lassen, statt selbst zu erneuern. Möglich macht das ein Protokoll namens ACME. Ein kleines Programm auf dem Server weist gegenüber der Zertifizierungsstelle nach, dass die Domain Ihnen gehört, holt das SSL-Zertifikat und tauscht es rechtzeitig selbst wieder aus. Niemand muss etwas anklicken.

Bekannt gemacht hat dieses Verfahren Let's Encrypt, eine gemeinnützige Stelle, die seit 2015 kostenlose Zertifikate ausstellt. Sie ist heute die mit Abstand größte der Welt und sichert über 700 Millionen Websites ab. Wichtig für alle, die zögern: Ein kostenloses Let's-Encrypt-Zertifikat verschlüsselt genauso stark wie ein teures. Seine Zertifikate laufen schon jetzt nach 90 Tagen ab und erneuern sich von allein. Die neue Regel trifft solche Setups also kaum.

Für die Einrichtung gibt es fertige Werkzeuge, je nach Server ein anderes:

• Certbot ist der Klassiker für Apache und Nginx und prüft zweimal täglich, ob erneuert werden muss.
• Caddy ist ein Webserver, der HTTPS komplett von allein regelt, ohne dass man etwas konfiguriert.
• acme.sh ist ein schlankes Skript für alle, die es flexibel mögen.
• Traefik bringt die Automatik für Container-Umgebungen gleich mit.

Eine Sache wird dabei gern vergessen: das Überwachen. Bei 47 Tagen fällt eine fehlgeschlagene Erneuerung schnell auf, aber nur, wenn jemand sie bemerkt. Let's Encrypt verschickt seit Mitte 2025 keine Erinnerungsmails mehr. Ein eigener Wächter, der die Ablaufdaten im Blick behält und Alarm schlägt, gehört deshalb dazu.

Wer Wildcard-Zertifikate nutzt, also ein Zertifikat für alle Subdomains, braucht eine andere Prüfmethode: die über einen DNS-Eintrag. Sie verlangt, dass das Werkzeug auf die Verwaltung Ihrer Domain zugreifen darf. Wie viel davon Sie selbst erledigen müssen, hängt am Ende von Ihrem Anbieter ab.

Was die großen Hoster jetzt machen

Bei den meisten Anbietern müssen Bestandskunden nichts tun. Ein Detail bei Hetzner ist aber wichtig genug, um es nicht zu überlesen.

Anbieter	Was sich ändert	Handlungsbedarf
IONOS	Laufzeit bereits von 365 auf 180 Tage gesenkt; ACME für eigene Server ab Q2 2026	Managed-Kunden: keiner
Strato	Abrechnung bleibt jährlich, kein Aufpreis	Hosting- und Baukasten-Kunden: keiner
All-Inkl	Let's Encrypt im KAS, Erneuerung rund 30 Tage vor Ablauf	keiner; SSL ab Paket Privat Plus inklusive
Hetzner	Stufenplan offiziell dokumentiert; ab 1. August 2026 nur noch automatisierte Erneuerung	nur bei manueller Bestätigung umstellen
Telekom Security	OV/EV-Zertifikate sowie DV über ACME	je nach Zertifikatstyp früh planen

Der Punkt bei Hetzner verdient eine eigene Zeile. Ab dem 1. August 2026 stellt der Anbieter kostenlose Zertifikate nur noch aus, wenn die Erneuerung vollständig automatisch laufen kann. Das setzt voraus, dass die Domain über Hetzner-Nameserver läuft oder auf einem Hetzner-Server liegt. Wer seine Zertifikate dort bisher von Hand bestätigt hat, sollte das vorher umstellen. Sonst läuft das Zertifikat irgendwann einfach ab. Damit Sie nichts vergessen, hier die wichtigsten Schritte auf einen Blick.

Ihr Fahrplan in fünf Schritten

1. Bestand aufnehmen. Listen Sie auf, welche Zertifikate Sie haben und wann sie ablaufen. Gerade vergessene Zertifikate auf Mailservern oder Geräten sind das Risiko.
2. Hoster prüfen. Schauen Sie im Kundenbereich nach, ob die automatische Verlängerung aktiv ist. Meist steht das unter SSL oder Sicherheit.
3. Automatik einrichten. Wo Sie selbst erneuern, richten Sie Certbot, Caddy oder ein vergleichbares Werkzeug ein. Erst testen, dann scharf schalten.
4. Überwachung aufsetzen. Lassen Sie sich warnen, bevor ein Zertifikat abläuft, nicht erst danach.
5. Bei OV/EV früh planen. Wer geprüfte Firmenzertifikate nutzt, sollte die Verlängerung rechtzeitig anstoßen, weil die Prüfung dauert.

Was passiert, wenn Sie diesen Fahrplan ignorieren? Läuft ein SSL-Zertifikat ab, zeigt der Browser keine kleine Warnung, sondern eine ganze Sperrseite. Besucher kommen nicht mehr durch, das Vertrauen ist weg, und Google merkt sich solche Ausfälle. Aus einer Erinnerung im Kalender wird so schnell ein Umsatzproblem. Zum Schluss noch drei Irrtümer, die sich rund um SSL hartnäckig halten.

Drei Irrtümer, die teuer werden

Der erste: Mit SSL ist meine Seite sicher. Das Schloss verschlüsselt nur die Leitung. Gegen eine schlecht gepflegte Seite, schwache Passwörter oder eine Plugin-Lücke hilft es nicht.

Der zweite: Kostenlose Zertifikate taugen nichts. Für eine normale Website stimmt das nicht. Let's Encrypt liefert dieselbe Verschlüsselung wie ein gekauftes Zertifikat. Den Aufpreis zahlt man für geprüfte Firmenangaben, nicht für mehr Sicherheit.

Der dritte: Häufiger erneuern kostet mehr Geld. Tut es nicht. Die Jahrespreise bleiben, nur der technische Austausch passiert öfter. Bei automatischer Erneuerung merken Sie davon ohnehin nichts.

Eines zeigt die Geschichte dieser Zertifikate deutlich. Ihre Laufzeit wurde immer nur kürzer, nie länger. Vor Jahren waren fünf Jahre normal, dann waren es 398 Tage, bald sind es 47. Wer die Erneuerung einmal automatisiert, ist für jede weitere Kürzung gerüstet. Die Arbeit macht man also genau einmal.

Wie handhaben Sie das auf Ihren Seiten? Läuft schon alles automatisch, oder erneuern Sie noch von Hand? Und welcher Hoster macht Ihnen die Umstellung leicht oder schwer? Schreiben Sie es in die Kommentare, andere Leser stehen vor genau denselben Fragen.

Neben kurzlebigen Zertifikaten sollten Serverbetreiber auch die frisch entdeckte HTTP/2-Bomb-Schwachstelle im Blick behalten.

Wie angreifbar Hosting-Server insgesamt sein können, zeigt auch die LiteSpeed-cPanel-Lücke CVE-2026-54420.

Korrekte Verschlüsselung und DNS-Einträge sind nicht nur fürs Zertifikat wichtig. Auch beim Mailversand entscheiden sie mit, ob Ihre Nachrichten ankommen. Wie Sie die Zustellbarkeit Ihrer E-Mails verbessern, lesen Sie hier.

Wie bereiten Sie sich auf die 47-Tage-Frist bei SSL-Zertifikaten vor? Schreiben Sie jetzt einen Kommentar

zertifikat zertifikate erneuern laufzeit routine <p>ein

Webung: Hier bekommen Sie PHP fähigen Webspace der mit Ökostrom betrieben wird ab bereits 2 Euro/ Monat für ihre Homepage. Zusätzlich ist eine eigene Internetadresse mit enthalten.

Neusten News in der Kategorie "Webmaster"

• Barrierefreie Website 2026: WCAG 2.2 richtig umsetzen Fast jede Website hat Barrieren, und die meisten davon gehen auf nur s...

• WordPress gehackt 2026: Website retten und bereinigen Weiterleitungen auf Spam-Seiten, fremde Admin-Konten, Warnungen von Go...

• Strukturierte Daten 2026: mit Schema zu Rich Snippets Sterne, Preise und Bilder direkt im Google-Ergebnis bringen mehr Klick...

• Impressum und Datenschutz 2026: rechtssichere Website Ein fehlerhaftes Impressum oder eine lückenhafte Datenschutzerklärung ...

• WordPress schneller machen 2026: Caching und Tuning WordPress erzeugt jede Seite bei jedem Aufruf neu, das kostet Tempo un...

• Bilder fürs Web optimieren 2026: schneller mit AVIF Bilder sind auf den meisten Seiten der größte Bremsklotz für die Ladez...

• WordPress absichern 2026: Schutz vor Hackerangriffen WordPress ist das beliebteste Ziel automatisierter Angriffe, neue Lück...

• Website umziehen 2026: ohne Ausfall und Ranking-Verlust Ein Hosting-Wechsel kann die Seite tagelang lahmlegen oder das Google-...

• E-Mail-Zustellbarkeit 2026: Raus aus dem Spam-Ordner Bestellbestätigungen, Newsletter und Kontaktmails landen plötzlich im ...

• Website-Backups 2026: Die Strategie gegen Datenverlust Ein Hack, ein fehlgeschlagenes Update, ein Serverausfall, und die Seit...