Das kleine Schloss in der Adresszeile nimmt kaum jemand bewusst wahr. Auffällig wird es erst, wenn es fehlt: Dann zeigt der Browser statt Ihrer Startseite eine Warnung, und viele Besucherinnen und Besucher klicken weg. Dahinter steckt das SSL-Zertifikat, genauer gesagt ein TLS-Zertifikat, das die Verbindung verschlüsselt und bestätigt, dass die Website wirklich zu Ihrer Domain gehört. Jedes Zertifikat hat ein Ablaufdatum. Und genau dieses Datum rückt in den nächsten Jahren deutlich näher an den Ausstellungstag heran. Für die meisten Websites ist das kein Problem, wenn die Verlängerung automatisch läuft. Für alle anderen lohnt sich ein genauer Blick.
Worum es geht
Die Regeln für öffentlich vertrauenswürdige Zertifikate legt das CA/Browser Forum fest. Darin sitzen die Zertifizierungsstellen, die Zertifikate ausstellen, und die Hersteller der großen Browser und Betriebssysteme. Im April 2025 hat das Forum mit dem Beschluss SC-081v3 einen Stufenplan angenommen. Bei den ausstellenden Stellen gab es keine Gegenstimme, Apple, Google, Microsoft und Mozilla stimmten geschlossen dafür.
Seither stehen die Fristen in den Baseline Requirements des Forums, also im verbindlichen Regelwerk. Maßgeblich ist jeweils der Tag, an dem ein Zertifikat ausgestellt wird:
- Bis 14. März 2026 ausgestellt: höchstens 398 Tage gültig.
- Ab 15. März 2026: höchstens 200 Tage. Diese Grenze gilt bereits.
- Ab 15. März 2027: höchstens 100 Tage.
- Ab 15. März 2029: höchstens 47 Tage.
Parallel dazu schrumpft eine zweite, weniger bekannte Frist. Bevor eine Zertifizierungsstelle ein Zertifikat ausgibt, muss sie prüfen, dass Sie die Domain tatsächlich kontrollieren. Wie lange sie das Ergebnis dieser Prüfung wiederverwenden darf, sinkt in denselben Schritten von 398 auf 200 und dann auf 100 Tage. Ab 15. März 2029 sind es nur noch 10 Tage. Praktisch heißt das: Die Domain muss künftig fast bei jeder Ausstellung neu nachgewiesen werden.
Das Forum begründet den Schritt nachvollziehbar. Ein Zertifikat bildet den Stand zum Zeitpunkt der Ausstellung ab. Je länger es gilt, desto eher passt es nicht mehr zur Wirklichkeit, etwa wenn eine Domain den Besitzer wechselt oder ein Schlüssel in falsche Hände gerät. Kürzere Laufzeiten begrenzen diesen Zeitraum, ohne dass man sich allein auf das Zurückziehen einzelner Zertifikate verlassen muss.
Let's Encrypt, die gemeinnützige Stelle hinter einem großen Teil der kostenlosen Zertifikate, geht noch etwas weiter. In der Ankündigung „Decreasing Certificate Lifetimes to 45 Days“ nennt sie diesen Zeitplan: Seit 13. Mai 2026 gibt es 45 Tage bereits freiwillig über das Profil „tlsserver“. Ab 10. Februar 2027 stellt das Standardprofil 64 Tage aus, die Domainprüfung darf dann nur noch 10 Tage wiederverwendet werden. Ab 16. Februar 2028 folgen 45 Tage, bei einer Wiederverwendung von nur noch sieben Stunden. Heute sind es im Standardprofil 90 Tage.
Was das für Betriebe in Österreich heißt
Für viele Websites ändert sich im Alltag gar nichts. Wer ein Zertifikat von Let's Encrypt nutzt und es über das Hosting automatisch verlängern lässt, merkt die kürzeren Laufzeiten höchstens daran, dass das Ablaufdatum öfter wechselt. Die Technik dahinter heißt ACME: Ein kleines Programm auf dem Server beantragt das neue Zertifikat, weist die Domain nach und spielt das Ergebnis ein, ohne dass jemand eingreifen muss.
Anders sieht es aus, wenn Zertifikate noch von Hand gekauft und eingespielt werden. Das kommt öfter vor, als man denkt: beim Webshop, der vor Jahren ein Zertifikat mit Firmenprüfung bekommen hat, bei einem eigenen Server im Büro, bei der Buchungsstrecke eines Hotels auf einer eigenen Subdomain oder beim Mailserver. Früher war das einmal im Jahr ein Termin im Kalender. Mit 100 Tagen sind es ab März 2027 mindestens vier Wechsel pro Jahr, mit 47 Tagen ab 2029 etwa acht. Auch mehrjährige Zertifikatspakete ändern daran nichts, denn das einzelne Zertifikat darf trotzdem nur die erlaubte Zeit gelten.
Läuft ein Zertifikat ab, wird es schnell unangenehm. Browser zeigen eine ganzseitige Sicherheitswarnung, bevor Ihre Seite überhaupt erscheint. Kontaktformulare, Anfragen über die Buchungsstrecke oder der Bezahlvorgang im Shop werden dann für viele Besucher zur Sackgasse. Selbst wenn das Problem nach ein paar Stunden behoben ist, bleibt bei manchen der Eindruck, die Website sei nicht sicher. Dazu kommt, dass auch andere Dienste an Zertifikaten hängen, etwa Schnittstellen zu Kassensystemen oder Zahlungsanbietern.
Unsere Einschätzung: Der Stufenplan ist kein Grund zur Sorge, aber ein guter Anlass zum Aufräumen. Wer bis März 2027 alle Zertifikate auf automatische Verlängerung umstellt, hat das Thema für die folgenden Stufen gleich mit erledigt. Wer weiter von Hand arbeitet, hat mit jeder Stufe mehr Termine und mehr Gelegenheiten, einen davon zu übersehen.
Was Sie jetzt tun können
Eine Bestandsaufnahme dauert meist weniger als eine Stunde. Diese Schritte helfen dabei:
- Zertifikate sammeln: Notieren Sie alle Adressen, die über HTTPS erreichbar sind, also Hauptdomain, Subdomains, Shop, Buchungssystem und Mailserver.
- Ablaufdatum ansehen: Ein Klick auf das Schloss in der Adresszeile zeigt, wer das Zertifikat ausgestellt hat und wie lange es gilt. Steht dort eine Laufzeit von rund einem Jahr, wurde es wahrscheinlich noch manuell beschafft.
- Automatik klären: Fragen Sie bei Ihrem Hosting oder Ihrer IT nach, ob die Verlängerung per ACME läuft und wer zuständig ist, wenn sie scheitert.
- Feste Intervalle prüfen: Let's Encrypt weist darauf hin, dass eine starre Verlängerung alle 60 Tage für 45-Tage-Zertifikate nicht mehr reicht. Empfohlen wird ACME Renewal Information, kurz ARI. Damit fragt das Programm selbst nach, wann es erneuern soll. Ohne ARI ist eine Erneuerung nach etwa zwei Dritteln der Laufzeit ein sinnvoller Richtwert.
- Überwachung einrichten: Eine einfache Erinnerung per E-Mail, wenn ein Zertifikat in wenigen Tagen abläuft, fängt Fehler ab, bevor Besucher sie sehen.
- Gekaufte Zertifikate überdenken: Bei Zertifikaten mit Firmenprüfung kann es sinnvoll sein, beim Anbieter nach einer automatischen Ausstellung zu fragen oder zu prüfen, ob ein kostenloses Zertifikat für Ihren Zweck genügt.
Bei unserem Webhosting sind SSL-Zertifikate inklusive, und wir behalten die Umstellungen der Zertifizierungsstellen für unsere Kundinnen und Kunden im Blick. Wenn Ihre Website woanders liegt oder Teile davon auf eigenen Servern laufen, sehen wir uns die Lage gerne gemeinsam an. Mehr zum Thema finden Sie auch unter Websicherheit.
Häufige Fragen
Muss ich mein aktuelles SSL-Zertifikat sofort austauschen?
Nein. Die Grenzen gelten für Zertifikate, die ab dem jeweiligen Stichtag ausgestellt werden. Ein gültiges Zertifikat bleibt bis zu seinem Ablaufdatum gültig. Die neue Laufzeit betrifft Sie erst bei der nächsten Verlängerung.
Gilt das auch für kostenpflichtige Zertifikate?
Ja. Der Stufenplan des CA/Browser Forum betrifft alle öffentlich vertrauenswürdigen TLS-Zertifikate, egal ob kostenlos oder gekauft und egal welche Prüfstufe. Unterschiede gibt es bei der Prüfung Ihrer Firmendaten, nicht bei der Höchstlaufzeit.
Was passiert, wenn die automatische Verlängerung einmal scheitert?
Bei einer Erneuerung nach zwei Dritteln der Laufzeit bleibt meist noch genug Zeit für einen zweiten Versuch. Entscheidend ist, dass jemand davon erfährt. Deshalb empfiehlt auch Let's Encrypt, die Verlängerung zu überwachen, statt sich blind darauf zu verlassen.
Wird meine Website durch kürzere Zertifikate sicherer?
Indirekt ja. Die Verschlüsselung selbst bleibt gleich stark. Kürzere Laufzeiten sorgen aber dafür, dass veraltete oder falsch ausgestellte Zertifikate schneller aus dem Verkehr verschwinden. Das schützt Ihre Besucher und Ihre Domain.