Noch vor einigen Jahren war es selbstverständlich, dass man ein SSL-Zertifikat einmalig erwarb, installierte und sich dann ein Jahr lang nicht mehr darum kümmern musste. Diese Zeit ist nun vorbei: Seit dem 15. März 2026 ist ein Zertifikat höchstens 200 Tage lang gültig, und diese Frist wird in den kommenden Jahren weiter verkürzt – ab 2029 auf 47 Tage.

Wer entscheidet über die Gültigkeit der Zertifikate?

Die Regeln für Zertifikate werden vom CA/Browser Forum festgelegt. Dies ist eine gemeinsame Organisation von Zertifizierungsstellen (CAs) und Browserherstellern (Apple, Google, Microsoft, Mozilla). Die von ihr festgelegten Mindestanforderungen (Baseline Requirements) müssen von jeder Zertifizierungsstelle eingehalten werden, andernfalls werden deren Zertifikate von den Browsern nicht akzeptiert.

Die maximale Gültigkeitsdauer hat sich in den letzten Jahren schrittweise verkürzt:

Zeitraum	Maximale Gültigkeitsdauer
Ab dem 1. März 2018	825 Tage (ca. 27 Monate)
Ab dem 1. September 2020	398 Tage (ca. 13 Monate)
Ab dem 15. März 2026	200 Tage
Ab dem 15. März 2027	100 Tage
Ab dem 15. März 2029	47 Tage

Die 398-Tage-Beschränkung wurde ursprünglich von Apple eingeführt: Seit dem 1. September 2020 akzeptieren Safari und die Apple-Systeme keine Zertifikate mit längerer Gültigkeitsdauer mehr, und die übrigen Anbieter haben sich diesem Standard angepasst. Über die weitere Verkürzung stimmte das CA/Browser Forum im April 2025 ab (Vorschlag Nr. SC-081). Der Vorschlag wurde von den Zertifikatsausstellern ohne Gegenstimmen und von den vier großen Browserherstellern einstimmig unterstützt.

Auch die Gültigkeitsdauer der Überprüfung verkürzt sich

Vor der Ausstellung des Zertifikats überprüft die Zertifizierungsstelle, ob der Antragsteller tatsächlich über die Domain verfügt. Diese Überprüfung (Domain-Validierung) konnte bisher 398 Tage lang wiederverwendet werden, d. h., sie musste ein Jahr lang nicht wiederholt werden. Auch dieser Zeitraum wird verkürzt: ab 2026 auf 200 Tage, ab 2027 auf 100 Tage und ab 2029 auf lediglich 10 Tage. In der Praxis bedeutet dies, dass ab 2029 bei fast jeder Ausstellung eines Zertifikats die Verfügungsgewalt über die Domain erneut nachgewiesen werden muss.

Die Überprüfung der Unternehmensdaten (Firmenname, Anschrift), die für von der Organisation validierte (OV) und erweiterte (EV) Zertifikate erforderlich ist, bleibt ab 2026 398 Tage lang gültig; sie muss daher lediglich einmal jährlich wiederholt werden.

Warum ist das von Vorteil?

Auf den ersten Blick bedeutet die kürzere Gültigkeitsdauer lediglich mehr Arbeitsaufwand. Hinter dieser Entscheidung stehen jedoch gewichtige Sicherheitsgründe:

• Die Sperrung funktioniert nicht zuverlässig. Wenn der private Schlüssel eines Zertifikats in unbefugte Hände gerät, kann das Zertifikat zwar gesperrt werden, doch Browser überprüfen die Sperrlisten oft gar nicht oder erst mit Verzögerung. Mit einem gestohlenen Schlüssel kann somit bis zum Ablauf des Zertifikats Missbrauch betrieben werden. Je kürzer die Gültigkeitsdauer, desto kürzer ist dieses Zeitfenster.
• Domains wechseln den Inhaber. Wenn eine Domain abläuft und in den Besitz einer anderen Person übergeht, kann das Zertifikat des bisherigen Inhabers noch monatelang gültig bleiben. Aufgrund der kürzeren Gültigkeitsdauer und der häufigeren Überprüfungen gelangt das Zertifikat jedoch schneller zum tatsächlichen Inhaber.
• Ein Wechsel ist schneller möglich. Sollte sich herausstellen, dass ein Verschlüsselungsverfahren nicht mehr sicher ist (oder aufgrund von Quantencomputern auf neue Algorithmen umgestellt werden muss), werden die Zertifikate mit kurzer Gültigkeitsdauer innerhalb weniger Wochen ausgetauscht – und nicht erst nach Jahren.
• Dies erfordert eine Automatisierung. Manuell installierte Zertifikate werden regelmäßig vergessen und führen zu Ausfällen aufgrund abgelaufener Zertifikate. Wenn das Zertifikat ohnehin häufig ausgetauscht werden muss, automatisieren alle diesen Vorgang, wodurch Fehler aufgrund abgelaufener Zertifikate vermieden werden.

Und was ist mit den 90-tägigen Zertifikaten von Let’s Encrypt?

Die kostenlosen Zertifikate von Let’s Encrypt waren von Anfang an 90 Tage lang gültig und basierten stets auf einer automatischen Verlängerung. Lange Zeit galt dies als „kurzfristiges“ Zertifikat, und auch Google empfahl der gesamten Branche die maximale Laufzeit von 90 Tagen. Die schließlich verabschiedete Regelung geht noch weiter, und auch Let’s Encrypt verkürzt die Gültigkeitsdauer seiner Zertifikate weiter:

Datum	Standardgültigkeitsdauer von Let’s Encrypt
Derzeit	90 Tage
Ab dem 10. Februar 2027	64 Tage
Ab dem 16. Februar 2028	45 Tage

Wer möchte, kann bereits jetzt ein 45-Tage- oder sogar ein 6-Tage-Zertifikat bei Let’s Encrypt beantragen.

Let’s Encrypt verlangt zudem, dass die Verlängerung nicht in festen Zeitabständen (beispielsweise alle 60 Tage) erfolgt, da dies bei Zertifikaten mit einer Laufzeit von 64 bzw. 45 Tagen bereits zu spät wäre. Die Verlängerung sollte etwa nach zwei Dritteln der Gültigkeitsdauer des Zertifikats erfolgen oder, sofern das Verlängerungsprogramm dies unterstützt, auf Grundlage der ACME Renewal Information (ARI), sobald die Zertifizierungsstelle signalisiert, dass eine Verlängerung fällig ist.

Was bedeutet das für Sie?

Wenn Sie ein kostenloses Zertifikat auf dem Webhosting-Server von aWh verwenden

Sie müssen nichts unternehmen. Auf unseren Webhosting-Servern beantragt und erneuert das System die Zertifikate automatisch für alle Domains, die auf unsere Nameserver verweisen (siehe: Aktivierung des kostenlosen Let’s Encrypt-Zertifikats auf dem Webhosting). Die kürzere Gültigkeitsdauer bedeutet lediglich, dass der Austausch im Hintergrund häufiger erfolgt.

Bitte beachten Sie: Falls Sie die DNS-Einstellungen Ihrer Domain anderweitig verwalten oder ein Proxy (z. B. Cloudflare) vor dem Webhosting-Server geschaltet ist, muss die Überprüfung der Verfügbarkeit der Domain dennoch erfolgreich sein. Sollte die Verlängerung fehlschlagen, wird dies aufgrund der häufigeren Verlängerungen zwar früher erkannt, das Zertifikat läuft jedoch auch früher ab.

Wenn Sie ein kostenpflichtiges Zertifikat verwenden

Sie können das kostenpflichtige Zertifikat weiterhin für einen Zeitraum von einem oder mehreren Jahren erwerben, allerdings muss das Zertifikat während dieses Zeitraums mehrmals neu ausgestellt und installiert werden: ab 2026 mindestens zweimal jährlich, ab 2027 vierteljährlich und ab 2029 etwa alle sechs Wochen. Bis zum Ablauf des Abonnements sind diese Neuausstellungen gebührenfrei, die Verfügungsgewalt über die Domain muss jedoch jedes Mal nachgewiesen werden (siehe: Methoden der Domain-Validierung).

Befindet sich die Domain auf Ihrem bei uns gehosteten cPanel-Hosting, richten Sie das Zertifikat bitte im Kundenbereich im Modus „Autoinstall (via cPanel)“ ein: In diesem Fall erfolgen die Validierung, die Installation und die Neuausstellung automatisch. Bei Zertifikaten, die auf einem anderen Server installiert sind, müssen Sie die Neuausstellung selbst vornehmen; wir werden Sie per E-Mail daran erinnern. Beide Fälle werden im Artikel „Einrichtung und Neuausstellung eines kostenpflichtigen SSL-Zertifikats“ beschrieben.

Wenn Sie kein OV- oder EV-Zertifikat benötigen, sollten Sie das automatisch verlängerte kostenlose Zertifikat in Betracht ziehen, siehe: Let’s Encrypt oder kostenpflichtiges SSL-Zertifikat: Für welches soll ich mich entscheiden?

Wenn Sie einen eigenen Server betreiben

Der manuelle Zertifikatswechsel wird bis zum Jahr 2029 praktisch nicht mehr durchführbar sein, daher empfiehlt es sich, diesen Vorgang bereits jetzt zu automatisieren:

• Verwenden Sie einen ACME-Client (z. B. Certbot oder acme.sh), siehe: Beantragung eines Let’s Encrypt-Zertifikats mit Certbot und eines Let’s Encrypt-Wildcard-Zertifikats mit DNS-Validierung.
• Bitte überprüfen Sie, ob die Verlängerung an einen festen Zeitraum (beispielsweise 60 Tage) gebunden ist. Sollte dies der Fall sein, stellen Sie die Laufzeit auf zwei Drittel der ursprünglichen Dauer ein oder verwenden Sie einen Client, der ARI unterstützt.
• Denken Sie auch an jene Geräte, auf denen Sie das Zertifikat üblicherweise manuell hochladen: Mailserver, Load-Balancer, Router, Drucker und interne Anwendungen.
• Richten Sie eine Benachrichtigung zum Ablauf von Zertifikaten ein, siehe: Wie kann ich überprüfen, wann mein SSL-Zertifikat abläuft?

Was geschieht mit den bereits ausgestellten Zertifikaten?

Die Änderungen betreffen ausschließlich neue Zertifikate. Ein bereits ausgestelltes Zertifikat bleibt bis zu seinem Ablaufdatum gültig, auch wenn seine Gültigkeitsdauer länger ist als die nach den neuen Regeln. Bei der nächsten Verlängerung gilt für dieses Zertifikat jedoch bereits die neue, kürzere Laufzeit.