SSL-Zertifikate: Das 200-Tage-Limit 2026 und der Weg zu 47 Tagen

Was Ballot SC-081 konkret ändert

Ballot SC-081 wurde im April 2025 vom CA/Browser Forum verabschiedet und definiert einen stufenweisen Reduktionsplan für die maximale Laufzeit öffentlicher SSL/TLS-Zertifikate (CA/Browser Forum). Die Abstimmung fand mit überwältigender Mehrheit statt — 28 Zertifizierungsstellen stimmten dafür, keine dagegen. Apple, Google und Mozilla als Browser-Hersteller stimmten ebenfalls geschlossen zu.

Besonders relevant ist die separate Reduktion der Domain Control Validation (DCV): Ab 2029 muss die Domain-Inhaberschaft alle 10 Tage neu bestätigt werden. Das macht manuelle Erneuerung praktisch unmöglich und erzwingt ACME-basierte Automatisierung. Wer seinen SSL-Status nicht automatisch überwacht, riskiert stille Ausfälle.

Warum kürzere Laufzeiten die Sicherheit verbessern

Die Argumentation des CA/Browser Forums basiert auf drei Sicherheitsprinzipien:

1. Schnellere Schlüsselrotation: Je kürzer die Laufzeit, desto häufiger wird der private Schlüssel erneuert. Wenn ein Schlüssel kompromittiert wird, ist das Zeitfenster für Missbrauch entsprechend kürzer. Bei 47-Tage-Zertifikaten beträgt die maximale Exposition weniger als 7 Wochen statt über ein Jahr.
2. Aktualität der Domain-Validierung: Bei langen Laufzeiten kann sich die Domain-Inhaberschaft ändern, während das alte Zertifikat noch gültig ist. Häufigere DCV stellt sicher, dass nur der tatsächliche Inhaber ein gültiges Zertifikat besitzt.
3. Erzwungene Automatisierung: Manuelle Prozesse sind fehleranfällig. Kurze Laufzeiten zwingen Betreiber zur Automatisierung (ACME), was langfristig zuverlässiger ist als kalenderbasierte Erinnerungen.

Let's Encrypt hat dieses Modell mit 90-Tage-Zertifikaten bereits seit 2015 erfolgreich vorgeführt. Laut Let's Encrypt werden über 380 Millionen Zertifikate aktiv verwaltet — nahezu alle vollautomatisch per ACME (Let's Encrypt). Die Branche folgt nun diesem Modell mit der schrittweisen Reduktion für alle Zertifizierungsstellen.

Was das 200-Tage-Limit für deutsche KMUs bedeutet

Für kleinere Unternehmen, die ihre Website über einen Hosting-Provider betreiben, ändert sich auf den ersten Blick wenig: Die meisten Provider nutzen bereits Let's Encrypt mit 90-Tage-Laufzeit und automatischer Erneuerung. Aber es gibt zahlreiche Szenarien, in denen das 200-Tage-Limit trotzdem relevant wird:

• Kostenpflichtige EV/OV-Zertifikate: Wer Extended-Validation- oder Organization-Validation-Zertifikate von kommerziellen CAs bezieht, konnte bisher 13 Monate Laufzeit kaufen. Ab sofort sind es maximal 200 Tage — die Kosten pro Jahr verdoppeln sich effektiv, oder der Anbieter muss auf ACME umstellen.
• Multi-Domain-Umgebungen: Unternehmen mit mehreren Domains, Subdomains und Wildcard-Zertifikaten haben jetzt kürzere Erneuerungszyklen auf mehr Zertifikaten gleichzeitig.
• CDN- und Load-Balancer-Setups: Zertifikate auf CDN-Edge-Nodes und Load Balancern müssen häufiger synchronisiert werden. Ein vergessener Node mit abgelaufenem Zertifikat führt zu intermittierenden Fehlern.
• Mail-Server und API-Endpunkte: Nicht nur Websites nutzen SSL. SMTP, IMAP und REST-APIs brauchen ebenfalls gültige Zertifikate — und werden bei der Erneuerung häufig vergessen.

Laut einer Studie von Venafi waren im Jahr 2025 rund 83 % aller unvorhergesehenen Ausfälle auf abgelaufene Zertifikate zurückzuführen (Venafi). Mit der steigenden Erneuerungsfrequenz wird dieses Problem ohne automatisierte Überwachung zunehmen. Das Uptime-Monitoring von XICTRAQ erkennt SSL-bedingte Ausfälle sofort.

ACME-Automatisierung: Was Sie jetzt einrichten sollten

ACME (Automatic Certificate Management Environment, RFC 8555) ist das Standardprotokoll für automatische Zertifikatserneuerung. Let's Encrypt hat es populär gemacht, aber auch kommerzielle CAs wie DigiCert, Sectigo und GlobalSign bieten inzwischen ACME-Endpunkte an. Wer seine Zertifikate bisher manuell erneuert hat, sollte jetzt auf ACME umstellen.

Die gängigsten ACME-Clients:

• Certbot: Der bekannteste Client, unterstützt HTTP-01- und DNS-01-Challenges. Für die meisten Apache- und Nginx-Server die einfachste Lösung.
• acme.sh: Shell-basierter Client ohne Abhängigkeiten, besonders beliebt auf Shared-Hosting und in Docker-Umgebungen.
• Caddy: Der Webserver hat ACME nativ integriert — Zertifikate werden automatisch bezogen und erneuert, ohne Konfiguration.
• Plesk / cPanel: Beide Hosting-Panels bieten integrierte Let's-Encrypt-Verwaltung. Prüfen Sie, ob die automatische Erneuerung aktiv und der Cron-Job lauffähig ist.

Der Weg zu 47-Tage-Zertifikaten: Was bis 2029 kommt

Das 200-Tage-Limit ist nur die erste Stufe. Die vollständige Roadmap des CA/Browser Forums sieht drei weitere Reduktionen vor (CA/Browser Forum, Ballot SC-081):

1. März 2027 — 100 Tage: Die Laufzeit halbiert sich erneut. Vierteljährliche Erneuerung wird zum Minimum. Manuelle Verwaltung wird ab diesem Punkt für die meisten Organisationen unpraktikabel.
2. März 2028 — DCV auf 30 Tage: Die Domain-Validierung muss monatlich erneuert werden. Organisationen, die noch auf manuelle DNS-TXT-Einträge setzen, können nicht mehr mithalten.
3. März 2029 — 47 Tage, DCV auf 10 Tage: Das Endziel. Zertifikate laufen alle 47 Tage ab, die Domain-Inhaberschaft muss alle 10 Tage bestätigt werden. Ohne ACME-Automation und kontinuierliches Monitoring ist ein stabiler Betrieb nicht mehr darstellbar.

Für die praktische Umsetzung bedeutet das: Wer jetzt in Automatisierung und Monitoring investiert, ist für die nächsten Stufen vorbereitet. Wer abwartet, steht 2029 vor einer erheblichen Umstellung. Die Security-Checkliste 2026 enthält weitere Maßnahmen, die Sie parallel implementieren sollten.

SSL-Monitoring als Sicherheitsnetz einrichten

Unabhängig davon, ob Sie ACME einsetzen oder Ihr Provider die Erneuerung übernimmt: Ein automatisiertes SSL-Monitoring ist das Sicherheitsnetz, das verhindert, dass ein vergessenes oder fehlgeschlagenes Zertifikat Ihre Website offline nimmt. XICTRAQ SSL-Monitoring prüft in konfigurierbaren Intervallen:

Die Einrichtung dauert weniger als 2 Minuten: Website hinzufügen, Benachrichtigungskanal konfigurieren, fertig. Ab der ersten Prüfung sehen Sie den vollständigen SSL-Status inklusive Zertifikatskette, TLS-Version und HSTS-Konfiguration. Auffälligkeiten werden per Alert gemeldet.

Chrome und die HTTPS-Pflicht: Parallele Entwicklungen

Parallel zum kürzeren Laufzeitlimit verschärfen auch die Browser ihre HTTPS-Anforderungen. Google Chrome plant, ab Oktober 2026 Websites ohne HTTPS standardmäßig zu blockieren und nicht nur mit einer Warnung zu versehen (Chromium Blog). Zusammen mit der kürzeren Zertifikatslaufzeit entsteht ein Szenario, in dem ein abgelaufenes Zertifikat nicht mehr nur eine Warnung anzeigt, sondern den Zugang zur Website vollständig verhindert.

Für Website-Betreiber hat das konkrete Konsequenzen: Ein abgelaufenes SSL-Zertifikat wird faktisch zum Totalausfall. Während Nutzer bisher die Warnung mit zwei Klicks umgehen konnten, wird das ab 2026 in Chrome deutlich erschwert. In Kombination mit dem Performance-Monitoring erkennt XICTRAQ, wenn SSL-Probleme die Ladezeiten beeinflussen, und mit Uptime-Monitoring, wenn die Website nicht mehr erreichbar ist.

Kosten und ROI: Was SSL-Monitoring im Vergleich zum Ausfall spart

Ein SSL-Ausfall hat direkte und indirekte Kosten. Laut einer Gartner-Schätzung liegt der durchschnittliche Downtime-Kostenaufwand für mittelständische Unternehmen bei rund 5.600 US-Dollar pro Minute (Gartner). Selbst wenn ein SSL-Ausfall nur 30 Minuten dauert, bevor er bemerkt und behoben wird, sind das 168.000 US-Dollar potenzieller Schaden — ohne Berücksichtigung von SEO-Einbußen und Vertrauensverlust.

Die Preise für professionelles SSL-Monitoring liegen bei einem Bruchteil dieser Summe. In Kombination mit dem vollständigen Website-Monitoring von XICTRAQ erhalten Sie nicht nur SSL-Überwachung, sondern auch Uptime, Performance, Security-Scans, DSGVO-Compliance und Analytics aus einer Hand. Detaillierte Berechnungsbeispiele finden Sie im Beitrag Website-Downtime-Kosten berechnen.

Checkliste: So bereiten Sie sich auf kürzere SSL-Laufzeiten vor

• ACME-Client einrichten: Installieren Sie Certbot, acme.sh oder nutzen Sie die integrierte ACME-Verwaltung Ihres Hosting-Panels. Testen Sie die automatische Erneuerung mindestens einmal manuell.
• Alle Domains inventarisieren: Erstellen Sie eine Liste aller Domains, Subdomains und Wildcard-Zertifikate. Vergessen Sie Mail-Server, API-Endpunkte und Staging-Umgebungen nicht.
• SSL-Monitoring aktivieren: Richten Sie automatisierte Ablaufwarnungen ein, die mindestens 30 Tage vor Ablauf benachrichtigen. XICTRAQ bietet gestaffelte Warnungen bei 30, 14 und 7 Tagen.
• HSTS konfigurieren: Setzen Sie den Strict-Transport-Security-Header mit einer max-age von mindestens 31536000 (1 Jahr) und includeSubDomains.
• TLS-Version prüfen: Deaktivieren Sie TLS 1.0 und 1.1 auf allen Servern. Nur TLS 1.2 und 1.3 sollten aktiv sein.
• Notfallplan erstellen: Dokumentieren Sie den Prozess für die manuelle Zertifikatserneuerung, falls ACME ausfällt. Ein Website-Notfallplan gehört zur Grundausstattung.
• Monitoring-Ergebnisse regelmäßig prüfen: Auch automatisierte Systeme brauchen gelegentliche Kontrolle. Prüfen Sie monatlich, ob alle Warnkanäle funktionieren.

Häufige Fragen zum 200-Tage-SSL-Limit