SSL-Zertifikate gelten kürzer – was jetzt zu tun ist

Ein SSL-Zertifikat, das früher gut ein Jahr hielt, muss heute nach spätestens 200 Tagen ersetzt werden. Ab März 2027 sind es 100 Tage, ab März 2029 nur noch 47. Wer sein Zertifikat von Hand verlängert, muss das also immer öfter tun.

Die Fristen

Die Regeln für öffentlich vertrauenswürdige Zertifikate legt das CA/Browser Forum fest, ein Zusammenschluss von Zertifizierungsstellen und Browser-Herstellern. Nach seinem Beschluss SC-081 gilt für neu ausgestellte Zertifikate:

• ab 15. März 2026: höchstens 200 Tage (vorher 398 Tage)
• ab 15. März 2027: höchstens 100 Tage
• ab 15. März 2029: höchstens 47 Tage

Ein Zertifikat, das vor einem Stichtag ausgestellt wurde, bleibt bis zu seinem eigenen Ablaufdatum gültig. Die neue Frist trifft Sie erst bei der nächsten Verlängerung. Quelle: Baseline Requirements des CA/Browser Forum, Abschnitt 6.3.2.

Wen das betrifft

• Automatisch verlängerte Zertifikate: Kostenlose Zertifikate, etwa von Let's Encrypt, gelten schon heute nur 90 Tage und werden vom Webhoster selbst erneuert. An der Frist ändert sich für sie zunächst nichts. Sie müssen aber prüfen, ob die automatische Verlängerung wirklich klappt.
• Gekaufte und von Hand eingespielte Zertifikate: Wer einmal im Jahr ein Zertifikat kauft und beim Webhoster hochlädt, muss das jetzt mindestens zweimal im Jahr tun, ab 2027 etwa viermal. Fragen Sie Ihren Anbieter, ob er auf automatische Verlängerung umstellen kann.

Warum eine automatische Verlängerung scheitern kann

Automatisch heißt nicht sicher. Mögliche Gründe für einen Fehlschlag:

• Die Domain zeigt nach einem Umzug auf einen anderen Server als den, der das Zertifikat verlängern will.
• Eine Weiterleitung oder Schutzregel sperrt die Prüfadresse, über die die Zertifizierungsstelle die Domain bestätigt.
• Eine Adresse wie www.beispiel.de kam später dazu und steht nicht im Zertifikat.
• Die Zahlung für den Webhoster-Tarif ist ausgelaufen, das Zertifikat wird nicht mehr erneuert.

Merken werden Sie das erst, wenn Besucher eine Warnseite sehen. Was dann zu tun ist, steht im Ratgeber SSL-Zertifikat abgelaufen.

So prüfen Sie Ihr Zertifikat

Der kostenlose Website-Check zeigt ohne Anmeldung, ob das Zertifikat gültig ist und zur Adresse passt, wer es ausgestellt hat und wie viele Tage es noch gilt. Wie Sie das Ablaufdatum auch im Browser finden, steht unter SSL-Zertifikat prüfen.

Ein guter Anhaltspunkt: Zeigt der Check bei einem automatisch verlängerten Zertifikat weniger als 20 Tage Restlaufzeit, hat die letzte Verlängerung vermutlich nicht geklappt. Fragen Sie dann Ihren Webhoster.

Wenn Sie Websites für Kunden betreuen

Bei einer Website reicht ein Eintrag im Kalender. Bei zehn oder zwanzig Kunden-Websites mit verschiedenen Webhostern wird das bei kürzeren Fristen schnell unübersichtlich. Was hilft:

• Eine Liste aller betreuten Adressen, jeweils mit und ohne www, mit Webhoster und der Angabe, ob das Zertifikat automatisch oder von Hand verlängert wird.
• Von Hand verlängerte Zertifikate nach Möglichkeit auf automatische Verlängerung umstellen, bevor ab März 2027 die 100-Tage-Frist gilt.
• Die Restlaufzeit regelmäßig prüfen, nicht nur bei der Einrichtung, zum Beispiel einmal im Monat für alle Adressen der Liste.

Ein Paket für Betreuer mit bis zu 25 Websites, Warnung vor dem Ablauf und einem Monatsbericht je Website planen wir gerade. Es ist noch nicht erhältlich.

Diese Seite gibt allgemeine technische Hinweise, Stand November 2026. Maßgeblich sind die aktuellen Regeln des CA/Browser Forum und die Angaben Ihres Webhosters.