Code Signing ist ein unverzichtbarer Baustein in der Software-Sicherheit. Es sorgt daf\u00fcr, dass Software eindeutig einem vertrauensw\u00fcrdigen Herausgeber zugeordnet werden kann und der Code seit der Signierung nicht ver\u00e4ndert wurde. Damit ist Code Signing ein wichtiges Element f\u00fcr Software-Supply-Chains und schafft Vertrauen bei Betriebssystemen, Browsern und Endanwendern.<\/p>\n
Ab dem 1. M\u00e4rz 2026 wird die G\u00fcltigkeitsdauer von Code Signing Zertifikaten jedoch drastisch verk\u00fcrzt. Die \u00c4nderung betrifft alle Zertifizierungsstellen (CAs) und basiert auf einer branchenweiten Regelung des CA\/Browser Forums. Was genau sich \u00e4ndert, welche Gr\u00fcnde dahinterstecken und was Unternehmen nun tun m\u00fcssen, erfahren Sie in diesem Beitrag.<\/p>\n
Das CA\/Browser Forum<\/a> hat beschlossen: Ab dem 1. M\u00e4rz 2026 d\u00fcrfen Code Signing-Zertifikate nur noch mit einer maximalen Laufzeit von 460 Tagen ausgestellt werden. Bisher lag die zul\u00e4ssige Laufzeit bei bis zu 39 Monaten, also rund 3 Jahren.<\/p>\n Damit folgt die Code Signing Laufzeit einem Trend, den wir bereits aus dem SSL\/TLS-Umfeld kennen: Auch dort wurde die maximale G\u00fcltigkeit schrittweise immer weiter verk\u00fcrzt. Ab M\u00e4rz 2026 wird auch dort die G\u00fcltigkeitsdauer nur noch 200 Tage betragen.<\/p>\n Die neuen Vorgaben betreffen alle neu ausgestellten oder erneuerten Code Signing Zertifikate. Bereits ausgestellte Zertifikate mit l\u00e4ngerer Laufzeit behalten ihre G\u00fcltigkeit bis zum regul\u00e4ren Ablaufdatum.<\/p>\n Die Verk\u00fcrzung der G\u00fcltigkeitsdauer von Code Signing Zertifikaten ist keine v\u00f6llig neue Entwicklung. Bereits in der Vergangenheit wurde sie innerhalb der Branche intensiv diskutiert und vorbereitet. In unserem Blogbeitrag \u201eCode Signing-Zertifikate: Vorschlag zur Verk\u00fcrzung der G\u00fcltigkeitsdauer im CA\/Browser Forum abgelehnt\u201c haben wir bereits auf die kommenden \u00c4nderungen hingewiesen und erste Einblicke in die Hintergr\u00fcnde geliefert. Damals wurde die Verk\u00fcrzung der Laufzeit bei Code Signing Zertifikaten noch abgelehnt.<\/p>\n Die Verk\u00fcrzung der G\u00fcltigkeitsdauer von Code Signing Zertifikaten verfolgt ein klares Ziel: mehr Sicherheit. Der Hintergrund ist vergleichbar mit der Argumentation bei SSL\/TLS-Zertifikaten:<\/p>\n Reduzierung des Missbrauchspotenzials:<\/strong> K\u00fcrzere Laufzeiten begrenzen den Zeitraum, in dem ein kompromittiertes Zertifikat ausgenutzt werden kann.<\/p>\n Schnellere Reaktion auf Sicherheitsvorf\u00e4lle:<\/strong> Updates und \u00c4nderungen in den Sicherheitsanforderungen lassen sich schneller durchsetzen.<\/p>\n Compliance & Standardisierung:<\/strong> Die Anpassung sorgt f\u00fcr branchenweite Harmonisierung und erf\u00fcllt wachsende regulatorische Anforderungen.<\/p>\n In Zeiten zunehmender Angriffe auf die Software-Supply-Chain \u2013 wie Supply-Chain-Attacken, Build-System-Kompromittierungen und Missbrauch von Signaturen \u2013 ist die regelm\u00e4\u00dfige Erneuerung ein wichtiges Sicherheitsinstrument. Durch die Laufzeitk\u00fcrzung ist es m\u00f6glich, dass Code Signing Zertifikate auf dem aktuellen Stand zu halten und veraltete Schl\u00fcssel schneller aus dem Verkehr zu ziehen.<\/p>\n Die Verk\u00fcrzung der Code Signing Laufzeit auf maximal 460 Tage bringt f\u00fcr Unternehmen, Entwickler und IT-Abteilungen sp\u00fcrbare Ver\u00e4nderungen mit sich. Insbesondere Prozesse rund um die Verwaltung, Erneuerung und Integration der Zertifikate m\u00fcssen neu gedacht und angepasst werden.<\/p>\n H\u00e4ufigere Erneuerungen<\/strong><\/p>\n Die neue maximale Laufzeit von etwas mehr als einem Jahr f\u00fchrt dazu, dass Code Signing-Zertifikate k\u00fcnftig deutlich \u00f6fter beantragt, validiert und implementiert werden m\u00fcssen. W\u00e4hrend fr\u00fcher ein Intervall von bis zu drei Jahren \u00fcblich war, m\u00fcssen Unternehmen ihre Erneuerungszyklen nun j\u00e4hrlich planen. Ohne klar definierte Prozesse drohen schnell Engp\u00e4sse oder abgelaufene Zertifikate, die zu Verz\u00f6gerungen in der Softwarebereitstellung f\u00fchren k\u00f6nnen.<\/p>\n Mehr Verwaltungsaufwand<\/strong><\/p>\n Mit den h\u00e4ufigeren Erneuerungen steigt automatisch auch der Aufwand f\u00fcr Verwaltung und Dokumentation. Gerade in Unternehmen, in denen noch viele manuelle Abl\u00e4ufe dominieren, entstehen dadurch neue Risiken: Abgelaufene Zertifikate, vergessene Validierungen oder falsch konfigurierte Signaturen k\u00f6nnen dazu f\u00fchren, dass signierte Software pl\u00f6tzlich Warnmeldungen ausl\u00f6st oder gar nicht mehr startet. Der Verwaltungsaufwand w\u00e4chst.<\/p>\n H\u00f6here Anforderungen an Prozesse & Infrastruktur<\/strong><\/p>\n Um der neuen Situation gerecht zu werden, m\u00fcssen Unternehmen ihre internen Abl\u00e4ufe f\u00fcr das Zertifikatsmanagement \u00fcberpr\u00fcfen und gegebenenfalls neu strukturieren. Dazu geh\u00f6rt etwa die Einf\u00fchrung eines klar definierten Zertifikats-Inventars, das \u00dcberblick \u00fcber alle eingesetzten Code Signing-Zertifikate bietet. Auch die fr\u00fchzeitige Planung von Renewal-Zyklen wird zum Muss, um reibungslose Releases sicherzustellen. Besonders in stark regulierten Branchen wird zudem eine l\u00fcckenlose Nachvollziehbarkeit und Compliance entscheidend sein Ein zentrales Mittel zur Bew\u00e4ltigung der steigenden Komplexit\u00e4t ist die Automatisierung. Unternehmen, die bereits heute auf API-basierte Erneuerungsprozesse oder integrierte L\u00f6sungen setzen \u2013 etwa innerhalb ihrer CI\/CD-Pipelines \u2013 sind klar im Vorteil. Auch Code Signing as a Service-L\u00f6sungen<\/a> oder spezialisierte Zertifikatsmanagement-Plattformen k\u00f6nnen helfen, den Aufwand deutlich zu reduzieren und Prozesse zuverl\u00e4ssig zu gestalten. Ohne Automatisierung steigt das Risiko: Abgelaufene Zertifikate, Build-Fehler oder Warnmeldungen k\u00f6nnen die Folgen sein.<\/p>\n Die \u00c4nderung ist kein kurzfristiger Effekt, sondern markiert eine dauerhafte Umstellung der gesamten Branche. Unternehmen, die ihre Software mit digitalen Signaturen ausstatten, sollten sich daher jetzt vorbereiten:<\/p>\n Zertifikatsbestand pr\u00fcfen<\/strong> Erneuerungsstrategie anpassen<\/strong> Automatisierung einf\u00fchren<\/strong> Fr\u00fchzeitiges Handeln reduziert nicht nur den Verwaltungsaufwand, sondern sch\u00fctzt auch vor Produktionsausf\u00e4llen und erh\u00f6ht die allgemeine Software-Sicherheit.<\/p>\n Die neue G\u00fcltigkeitsdauer von Code Signing Zertifikaten ist ein logischer Schritt hin zu mehr Transparenz und Reaktionsf\u00e4higkeit im Software-Lifecycle. Ab M\u00e4rz 2026 wird eine Laufzeit von maximal 460 Tagen Standard \u2013 unabh\u00e4ngig vom Anbieter oder Produkttyp.<\/p>\n Es gilt deshalb, sich bereits jetzt auf die neuen Anforderungen vorzubereiten, seinen Zertifikatsbestand zu pr\u00fcfen und sich vor allen Dingen mit Automatisierung im Allgemeinen und Code Signing as a Service-L\u00f6sungen zu besch\u00e4ftigen.<\/p>\n Gemeinsam mit unserem Partner SignPath haben wir in einem Webinar gezeigt, wie Unternehmen ihre Software mithilfe von Code Signing as a Service effektiv absichern k\u00f6nnen. Im Fokus standen praxisnahe Einblicke in die Automatisierung des Code-Signing-Prozesses sowie Einsatzm\u00f6glichkeiten. Die Pr\u00e4sentationsfolien zum Webinar stehen Ihnen zum Download zur Verf\u00fcgung<\/a>.<\/p>\n Erfahren Sie mehr \u00fcber modernes und automatisiertes Code Signing mit SignPath und lassen Sie sich von unseren Experten beraten<\/a>.<\/p>\nWarum wird die Code Signing Laufzeit verk\u00fcrzt?<\/h3>\n
Was sind die Folgen f\u00fcr Code Signing?<\/h3>\n
\nAutomatisierung gewinnt an Bedeutung<\/p>\nWas bedeutet das konkret f\u00fcr Unternehmen?<\/h2>\n
\nWelche Code Signing-Zertifikate sind im Einsatz? Wann laufen sie ab?<\/p>\n
\nWie lassen sich Prozesse f\u00fcr h\u00e4ufigere Erneuerungen effizient gestalten?<\/p>\n
\nTools und Plattformen f\u00fcr Zertifikatsmanagement, z.\u202fB. via APIs oder integrierte Signaturdienste, sollten eingef\u00fchrt oder ausgebaut werden.<\/p>\nK\u00fcrzere G\u00fcltigkeit f\u00fchrt zu mehr Sicherheit aber auch mehr Aufwand<\/h2>\n
Webinar-R\u00fcckblick: Code Signing as a Service \u2013 sicher und einfach mit SignPath<\/h2>\n