SSL-Zertifikate: kürzere Laufzeiten sicher automatisieren

SSL-Zertifikate werden kürzer gültig. Seit dem 15. März 2026 dürfen neu ausgestellte, öffentlich vertrauenswürdige TLS-Serverzertifikate höchstens 200 Tage gelten. Weitere Verkürzungen folgen bis 2029. Für Unternehmen bedeutet das: Der Zertifikatstausch wird zu einer regelmässigen Betriebsaufgabe. Quelle: CA/Browser Forum, TLS Baseline Requirements 2.2.5, Abschnitt 6.3.2.

Herr Informatik automatisiert diesen Prozess mit einem eigenen internen Tool. Es übernimmt den gesamten Zertifikatstausch für technisch integrierte Systeme. Alarmierungen überwachen den Ablauf; schlägt eine Erneuerung fehl, wird direkt unser Support eingeschaltet. So lassen sich häufigere Wechsel kosteneffizient bewältigen und IT-Verantwortliche von wiederkehrender Handarbeit entlasten.

Was ändert sich bei SSL- und TLS-Zertifikaten?

Der Begriff «SSL-Zertifikat» ist weiterhin gebräuchlich. Technisch geht es heute um TLS: Das Zertifikat hilft einem Browser oder einer Anwendung, die Identität des Gegenübers bei einer verschlüsselten Verbindung zu prüfen. Es besitzt ein festes Ablaufdatum. Eine Erneuerung liefert deshalb ein neues Zertifikat, das anschliessend im produktiven Dienst eingesetzt werden muss.

Für die maximale Gültigkeit gilt folgender Zeitplan:

Entscheidend ist das Ausstellungsdatum. Bestehende Zertifikate werden durch diese Umstellung nicht rückwirkend verkürzt. Anbieter können kürzere Laufzeiten wählen. Zudem sinkt die maximale Wiederverwendung einer Domain- oder IP-Validierung ab März 2029 auf zehn Tage. Quelle: TLS Baseline Requirements 2.2.5, Abschnitte 4.2.1 und 6.3.2.

Die Vorgaben betreffen öffentlich vertrauenswürdige Serverzertifikate. Zertifikate einer ausschliesslich privaten, unternehmenseigenen Zertifizierungsstelle fallen nicht unmittelbar darunter. Ein öffentlich ausgestelltes Zertifikat bleibt dagegen betroffen, auch wenn es auf einem intern genutzten System eingesetzt wird. Grundlage ist der im April 2025 beschlossene Ballot SC081v3 des CA/Browser Forums.

Warum werden die Laufzeiten verkürzt?

Ein Zertifikat bestätigt einen Zustand zu einem bestimmten Zeitpunkt. Ändern sich Zuständigkeiten oder gerät ein privater Schlüssel in falsche Hände, ist eine lange Restlaufzeit problematisch. Kürzere Gültigkeiten begrenzen das Zeitfenster, in dem ein solches Zertifikat weiter verwendet werden kann. Sie ersetzen weder den Schutz privater Schlüssel noch einen notwendigen Widerruf. Das CA/Browser Forum begründet die Änderung unter anderem mit aktuelleren Validierungen und einer geringeren Dauer möglicher Fehlverwendung. Quelle: Begründung zu SC081v3.

Einzelne Anbieter gehen schneller vor: Let's Encrypt kündigte im Dezember 2025 an, sein Standardprofil 2027 auf 64 Tage und 2028 auf 45 Tage umzustellen. Dort wird ausdrücklich empfohlen, Erneuerungsintervalle und Monitoring auf die kürzeren Fristen auszurichten. Ein starrer Zeitplan kann sonst zu spät reagieren. Quelle: Let's Encrypt, 2. Dezember 2025.

Die Schwierigkeit liegt in der gewachsenen Infrastruktur

Auf einer aktuellen Webplattform lässt sich die Ausstellung häufig automatisieren. Schwieriger wird es bei älteren Firewalls, VPN-Zugängen, Fachanwendungen oder Verwaltungsoberflächen. Manche unterstützen weder einen ACME-Client noch eine geeignete Programmierschnittstelle. Der Austausch erfolgt dann über ein Administrationsportal, einen Dateiimport oder einen dokumentierten manuellen Ablauf.

Auch organisatorische Grenzen kosten Zeit: Der Domainzugang liegt bei der Marketingagentur, die Anwendung beim Fachbereich und der Server bei einem externen Partner. Ohne eindeutige Zuständigkeit muss die IT vor jedem Wechsel dieselben Fragen beantworten. Ferien, Personalwechsel und fehlende Dokumentation verschärfen das Problem.

Ein neu ausgestelltes Zertifikat allein verhindert noch keinen Ausfall. Es muss im passenden Format am richtigen System ankommen, mit der erforderlichen Zertifikatskette eingebunden und aktiviert werden. Je nach Plattform ist ein Neuladen des Dienstes nötig. Erst eine Prüfung der tatsächlich erreichbaren Verbindung zeigt, ob der Wechsel abgeschlossen ist.

Ein typisches Beispiel: Das Zertifikat wird automatisch erneuert und auf dem Server gespeichert. Der VPN-Dienst verwendet jedoch weiterhin die alte Version. Im Erneuerungsprotokoll sieht alles erfolgreich aus; Mitarbeitende erhalten später trotzdem eine Fehlermeldung. Deshalb muss die Überwachung bis zum genutzten Dienst reichen.

Was bedeutet das für Geschäftsleitung und IT-Verantwortliche?

Die betriebliche Folge ist mehr Aufwand pro Jahr, wenn jeder Wechsel Handarbeit bleibt. Zur technischen Ausführung kommen Abstimmungen, Wartungsfenster, Kontrolle und Dokumentation. Diese Arbeiten konkurrieren mit Projekten und dem Tagesgeschäft.

Für die Geschäftsleitung ist vor allem die Abhängigkeit vom betroffenen Dienst relevant. Ein nicht erreichbares Kundenportal kann Bestellungen verzögern. Ein gestörter Fernzugriff kann Mitarbeitende blockieren. Welche Auswirkungen tatsächlich entstehen, hängt vom jeweiligen Geschäftsprozess ab. Eine Bestandsaufnahme sollte deshalb technische Systeme und geschäftliche Bedeutung zusammenführen.

Bei der Kostenbetrachtung empfehlen wir, Zertifikatsgebühren und Betriebsaufwand gemeinsam zu bewerten. Auch ein kostenlos ausgestelltes Zertifikat verursacht Arbeit, wenn es mehrfach manuell verteilt werden muss. Entscheidend ist, wie zuverlässig und mit welchem Aufwand das Unternehmen den gesamten Lebenszyklus betreibt.

Unsere Lösung: den gesamten Zertifikatstausch automatisieren

Herr Informatik setzt dafür ein eigenes internes Tool ein. Bei den technisch eingebundenen Systemen automatisieren wir den Austausch von der Erneuerung über die Bereitstellung und Aktivierung bis zur anschliessenden Kontrolle. Der Nutzen liegt im wiederholbaren Ablauf: weniger manuelle Eingriffe, weniger Koordination bei jedem Wechsel und ein kosteneffizienter Betrieb.

Vor der Integration prüfen wir die konkrete Umgebung. Dazu gehören Zertifizierungsstelle, Domainvalidierung, Zugriffsrechte, unterstützte Dateiformate und die Möglichkeiten des Zielsystems. Wir legen fest, wie der Wechsel durchgeführt wird, welche Prüfung den Erfolg bestätigt und wer bei einer Störung verantwortlich ist. Das passt zu unserem Ansatz für eine betreute IT-Infrastruktur.

ACME ist ein wichtiger Baustein, wenn Plattform und Zertifizierungsstelle ihn unterstützen. Der Standard automatisiert die Prüfung der Domainkontrolle und die Ausstellung. Die Einbindung in das jeweilige Zielsystem muss zusätzlich gelöst werden. Quelle: IETF, RFC 8555.

Fehlt einem Altgerät eine verlässlich nutzbare Schnittstelle, prüfen wir einen unterstützten Integrationsweg. Ist ein vollständiger automatischer Austausch technisch nicht möglich, benennen wir diese Grenze. Dann braucht es einen kontrollierten Sonderprozess oder eine Modernisierung. Ein solches Gerät wird durch Automatisierungssoftware allein nicht automatisch kompatibel.

Alarmierung mit direkter Einbindung unseres Supports

Der gesamte eingebundene Prozess wird durch Alarmierung überwacht. Bei einer fehlgeschlagenen Erneuerung wird direkt unser Support eingeschaltet. Auch ein Fehler beim Verteilen oder Aktivieren darf nicht als erfolgreicher Abschluss gelten. Massgeblich ist, ob der produktive Dienst das richtige, gültige Zertifikat verwendet.

Damit hat eine Störung einen klaren Verantwortlichen. Unser Support kann die Ursache prüfen und die erforderlichen Schritte einleiten. Erneuerung und Kontrolle müssen mit ausreichendem Abstand zum Ablauf erfolgen, damit Zeit für die Behebung bleibt. Die konkreten Abläufe stimmen wir auf die Umgebung und die vereinbarte Betreuung ab.

So bereiten sich Unternehmen jetzt vor

1. Bestand erfassen: Zertifikate, Einsatzorte, Ablaufdaten und verantwortliche Personen zusammenstellen. Auch selten genutzte Zugänge berücksichtigen.
2. Geschäftskritische Dienste priorisieren: Festhalten, welche Prozesse bei einem Ausfall betroffen wären und welche Wartungsfenster möglich sind.
3. Automatisierbarkeit prüfen: Domainvalidierung, Ausstellung, Installation, Aktivierung und Funktionsprüfung für jedes System betrachten.
4. Einen vollständigen Wechsel erproben: Den Ablauf einschliesslich Fehlermeldung und Supportübergabe testen, bevor er zum Routinebetrieb wird.
5. Ausnahmen planen: Für nicht integrierbare Systeme Zuständigkeit, Übergangslösung und gegebenenfalls einen Ersatztermin festlegen.

Ein Security Assessment kann helfen, technische Abhängigkeiten und Handlungsbedarf in der bestehenden Umgebung einzuordnen.

Häufige Fragen zu kürzeren Zertifikatslaufzeiten

Müssen wir jetzt alle Server ersetzen?

Nein. Zuerst sollte geprüft werden, welche Systeme sich zuverlässig integrieren lassen. Eine Erneuerung der Infrastruktur wird dort relevant, wo notwendige Funktionen fehlen oder der verbleibende manuelle Betrieb nicht mehr sinnvoll tragbar ist.

Reicht eine Erinnerung vor dem Ablaufdatum?

Eine Erinnerung hilft bei der Planung. Sie führt den Austausch jedoch nicht aus und bestätigt auch keine erfolgreiche Aktivierung. Für einen verlässlichen Betrieb braucht es einen durchgängigen Ablauf und die Kontrolle des erreichbaren Dienstes.

Was passiert, wenn die automatische Erneuerung fehlschlägt?

Unsere Alarmierung schaltet direkt den Support ein. Er prüft die Ursache und übernimmt die weitere Bearbeitung im Rahmen der vereinbarten Betreuung.

Wo sollte ein KMU beginnen?

Bei einer Übersicht der Zertifikate und ihrer Verantwortlichen. Danach lassen sich besonders wichtige Dienste priorisieren und die ersten Systeme gezielt in die Automatisierung aufnehmen.

Zertifikatsmanagement für Ihr Unternehmen klären

Sie möchten wissen, welche Ihrer Systeme sich automatisieren lassen und wo Handlungsbedarf besteht? Herr Informatik unterstützt Unternehmen und KMU in der Schweiz dabei, den Zertifikatstausch technisch sauber und wirtschaftlich zu organisieren.

Zertifikatsmanagement mit Herr Informatik besprechen

Fachlicher Stand: 3. Juni 2026. Die verlinkten Grundlagen wurden vor diesem Datum veröffentlicht.