{"id":12167,"date":"2026-07-28T15:45:30","date_gmt":"2026-07-28T13:45:30","guid":{"rendered":"https:\/\/www.psw-group.de\/blog\/?p=12167"},"modified":"2026-07-28T15:49:17","modified_gmt":"2026-07-28T13:49:17","slug":"ssl-zertifikate-laufzeit","status":"publish","type":"post","link":"https:\/\/www.psw-group.de\/blog\/ssl-zertifikate-laufzeit\/","title":{"rendered":"SSL-Zertifikate Laufzeit: Was jetzt gilt und was zu beachten ist"},"content":{"rendered":"<p>Die maximale Laufzeit \u00f6ffentlich vertrauensw\u00fcrdiger <a href=\"https:\/\/www.psw-group.de\/ssl-zertifikate\/\" target=\"_blank\" rel=\"noopener\">SSL\/TLS-Zertifikate<\/a> wird schrittweise deutlich verk\u00fcrzt. Seit dem 15. M\u00e4rz 2026 d\u00fcrfen neu ausgestellte Zertifikate h\u00f6chstens 200 Tage g\u00fcltig sein. Am 15. M\u00e4rz 2027 sinkt die maximale G\u00fcltigkeitsdauer auf 100 Tage und am 15. M\u00e4rz 2029 schlussendlich auf 47 Tage.<\/p>\n<p>F\u00fcr Unternehmen bedeutet diese Entwicklung, dass Zertifikate wesentlich h\u00e4ufiger validiert, ausgestellt, installiert und kontrolliert werden m\u00fcssen. Was bei einzelnen Websites noch manuell beherrschbar erscheinen mag, kann in gr\u00f6\u00dferen oder heterogenen IT-Umgebungen schnell zu einem erheblichen Betriebsrisiko werden. Nicht rechtzeitig erneuerte oder fehlerhaft installierte Zertifikate k\u00f6nnen Websites, Anwendungen, Schnittstellen und weitere digitale Dienste unerreichbar machen.<\/p>\n<p>Die verk\u00fcrzten Laufzeiten betreffen jedoch nicht pauschal jede Art von digitalem Zertifikat. Der vom CA\/Browser Forum beschlossene Stufenplan gilt f\u00fcr \u00f6ffentlich vertrauensw\u00fcrdige TLS-Serverzertifikate. Unternehmen sollten deshalb zun\u00e4chst pr\u00fcfen, welche Zertifikate in ihrer Infrastruktur betroffen sind und wie zuverl\u00e4ssig die zugeh\u00f6rigen Erneuerungsprozesse funktionieren.<\/p>\n<p><strong>Das Wichtigste in K\u00fcrze:<\/strong><\/p>\n<ul>\n<li><strong>Seit dem 15. M\u00e4rz 2026<\/strong> betr\u00e4gt die maximale Laufzeit \u00f6ffentlich vertrauensw\u00fcrdiger TLS-Serverzertifikate <strong>200 Tage<\/strong>.<\/li>\n<li><strong>Ab dem 15. M\u00e4rz 2027<\/strong> sinkt die H\u00f6chstlaufzeit auf <strong>100 Tage<\/strong>, <strong>ab dem 15. M\u00e4rz 2029<\/strong> auf <strong>47 Tage<\/strong>.<\/li>\n<li>Neben den Zertifikatslaufzeiten werden auch die Zeitr\u00e4ume verk\u00fcrzt, in denen bereits erhobene Validierungsdaten wiederverwendet werden d\u00fcrfen.<\/li>\n<li>Eine automatisierte Zertifikatsverwaltung ist keine formale Vorgabe des CA\/Browser Forums, wird f\u00fcr Unternehmen mit mehreren Zertifikaten aber zunehmend wichtig.<\/li>\n<\/ul>\n<p><em>Hinweis: Technisch kommt heute nur noch das modernere Transport Layer Security Protocol, kurz TLS, zum Einsatz. Der Begriff \u201eSSL-Zertifikat\u201c hat sich dennoch als gel\u00e4ufige Bezeichnung etabliert und wird hier auch so verwendet.<\/em><\/p>\n<h2>Wie lange sind SSL-Zertifikate aktuell g\u00fcltig?<\/h2>\n<p>Seit dem 15. M\u00e4rz 2026 d\u00fcrfen \u00f6ffentlich vertrauensw\u00fcrdige SSL-Zertifikate mit einer maximalen Laufzeit von 200 Tagen ausgestellt werden. Die zuvor geltende Obergrenze von 398 Tagen ist damit f\u00fcr neue Zertifikate nicht mehr zul\u00e4ssig.<\/p>\n<p>Ma\u00dfgeblich ist grunds\u00e4tzlich der Zeitpunkt, zu dem ein Zertifikat ausgestellt wird. Nicht das Bestelldatum, die Laufzeit eines Vertrags oder der Zeitpunkt der Beantragung entscheiden dar\u00fcber, welche maximale G\u00fcltigkeitsdauer m\u00f6glich ist. Wird ein Zertifikat nach dem jeweiligen Stichtag ausgestellt, muss es die dann geltende Obergrenze einhalten.<\/p>\n<p>Die Vorgaben des CA\/Browser Forums bilden lediglich die branchenweit zul\u00e4ssige H\u00f6chstgrenze. Zertifizierungsstellen k\u00f6nnen ihre Produkte fr\u00fcher umstellen oder eine k\u00fcrzere Laufzeit festlegen. <a href=\"https:\/\/knowledge.digicert.com\/alerts\/public-tls-certificates-199-day-validity\" target=\"_blank\" rel=\"noopener\">DigiCert<\/a> stellt \u00f6ffentliche TLS-Zertifikate beispielsweise seit dem 24. Februar 2026 mit einer maximalen G\u00fcltigkeit von 199 Tagen aus. Bei D-Trust betr\u00e4gt die maximale Laufzeit entsprechender Zertifikate 198 Tage. Diese produktspezifischen Grenzen liegen unter der branchenweiten Obergrenze und reduzieren das Risiko, dass die zul\u00e4ssigen 200 Tage durch unterschiedliche Zeitberechnungen \u00fcberschritten werden.<\/p>\n<p>Nicht automatisch von dem beschlossenen Stufenplan betroffen sind dagegen:<\/p>\n<ul>\n<li>Zertifikate aus einer privaten Unternehmens-PKI, die nicht \u00f6ffentlich vertrauensw\u00fcrdig sein m\u00fcssen,<\/li>\n<li>S\/MIME-Zertifikate zur Absicherung von E-Mails,<\/li>\n<li>Code-Signing-Zertifikate zur Signierung von Software,<\/li>\n<li>Client-Zertifikate zur Authentifizierung von Personen oder Systemen sowie<\/li>\n<li>interne Ger\u00e4te- und Maschinenzertifikate.<\/li>\n<\/ul>\n<p>F\u00fcr diese Zertifikatsarten gelten eigene technische, organisatorische oder branchenspezifische Vorgaben. Entscheidend ist daher nicht allein die Bezeichnung \u201eSSL-Zertifikat\u201c, sondern welchem Zweck ein Zertifikat dient, wer es ausgestellt hat und in welchem Vertrauensmodell es eingesetzt wird.<\/p>\n<h3>Was f\u00fcr bereits ausgestellte Zertifikate gilt<\/h3>\n<p>Bereits ausgestellte Zertifikate werden durch einen neuen Stichtag nicht automatisch ung\u00fcltig.<strong> Wurde ein Zertifikat vor der Umstellung regelkonform mit einer l\u00e4ngeren Laufzeit ausgestellt, kann es grunds\u00e4tzlich bis zu seinem eingetragenen Ablaufdatum weiterverwendet werden.<\/strong> Eine vorsorgliche Ersetzung allein aufgrund der neuen Laufzeitgrenze ist daher in der Regel nicht erforderlich.<\/p>\n<p>Anders sieht es aus, wenn ein neues Zertifikat ausgestellt wird. Bei einer regul\u00e4ren Erneuerung gelten die Vorgaben, die zum Zeitpunkt der Neuausstellung wirksam sind. Auch eine Neuausstellung aufgrund ge\u00e4nderter Domainnamen, eines neuen Schl\u00fcsselpaares oder technischer Anpassungen kann bereits unter die k\u00fcrzere Laufzeit fallen.<\/p>\n<p>Bei Zertifikatsanbietern k\u00f6nnen zudem Reissues oder Duplikate betroffen sein. DigiCert begrenzt beispielsweise auch nach dem 24. Februar 2026 ausgestellte Ersatz- und Duplikatzertifikate auf maximal 199 Tage. Ein bestehendes Zertifikat mit l\u00e4ngerer Restlaufzeit l\u00e4sst sich dort folglich nicht ohne Weiteres erneut mit derselben G\u00fcltigkeitsdauer ausstellen.<\/p>\n<h2>Der beschlossene Stufenplan f\u00fcr 200, 100 und 47 Tage<\/h2>\n<p>Die Verk\u00fcrzung der Zertifikatslaufzeiten ist keine unverbindliche Planung mehr. Mit dem <a href=\"https:\/\/cabforum.org\/2025\/04\/11\/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods\/\" target=\"_blank\" rel=\"noopener\">Ballot SC-081v3<\/a> hat das CA\/Browser Forum einen verbindlichen Stufenplan beschlossen, der die maximale G\u00fcltigkeitsdauer \u00f6ffentlich vertrauensw\u00fcrdiger TLS-Serverzertifikate bis M\u00e4rz 2029 auf 47 Tage reduziert.<\/p>\n<p><a href=\"https:\/\/www.psw-group.de\/blog\/wp-content\/uploads\/2026\/07\/ssl-zertifikatslaufzeit-stufenplan.jpg\"><img loading=\"lazy\" decoding=\"async\" class=\"alignnone wp-image-12429 size-large\" src=\"https:\/\/www.psw-group.de\/blog\/wp-content\/uploads\/2026\/07\/ssl-zertifikatslaufzeit-stufenplan-1024x471.jpg\" alt=\"Zeitstrahl der G\u00fcltigkeitsdauer in Tagen: 825 im Jahr 2018, 398 im Jahr 2020, 200 im Jahr 2026, 100 im Jahr 2027, 47 im Jahr 2029 und ein unbekannter Folgewert.\" width=\"1024\" height=\"471\" srcset=\"https:\/\/www.psw-group.de\/blog\/wp-content\/uploads\/2026\/07\/ssl-zertifikatslaufzeit-stufenplan-1024x471.jpg 1024w, https:\/\/www.psw-group.de\/blog\/wp-content\/uploads\/2026\/07\/ssl-zertifikatslaufzeit-stufenplan-300x138.jpg 300w, https:\/\/www.psw-group.de\/blog\/wp-content\/uploads\/2026\/07\/ssl-zertifikatslaufzeit-stufenplan-768x353.jpg 768w, https:\/\/www.psw-group.de\/blog\/wp-content\/uploads\/2026\/07\/ssl-zertifikatslaufzeit-stufenplan.jpg 1366w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/a><\/p>\n<p>Die Umstellung erfolgt in mehreren Schritten. Zertifizierungsstellen, Softwareanbieter und Unternehmen erhalten dadurch Zeit, ihre Systeme und Prozesse an h\u00e4ufigere Validierungen und Erneuerungen anzupassen.<\/p>\n<h3>Die Fristen im \u00dcberblick<\/h3>\n<ul>\n<li><strong>Bis 14. M\u00e4rz 2026: maximal 398 Tage<\/strong><br \/>\nDies war die bisherige Obergrenze f\u00fcr \u00f6ffentlich vertrauensw\u00fcrdige SSL-Zertifikate.<\/li>\n<li><strong>15. M\u00e4rz 2026 bis 14. M\u00e4rz 2027: maximal 200 Tage<\/strong><br \/>\nDie Erneuerungsintervalle verk\u00fcrzen sich deutlich.<\/li>\n<li><strong>15. M\u00e4rz 2027 bis 14. M\u00e4rz 2029: maximal 100 Tage<\/strong><br \/>\nZertifikate m\u00fcssen k\u00fcnftig mehrmals pro Jahr erneuert und auf den Zielsystemen ausgerollt werden.<\/li>\n<li><strong>Ab 15. M\u00e4rz 2029: maximal 47 Tage<\/strong><br \/>\nManuelle Prozesse geraten insbesondere bei gr\u00f6\u00dferen Zertifikatsbest\u00e4nden zunehmend an ihre operativen Grenzen.<\/li>\n<\/ul>\n<p>Die genannten Werte sind die maximal zul\u00e4ssigen Laufzeiten. Unternehmen sollten zus\u00e4tzlich die konkreten Produktbedingungen und Umstellungstermine ihrer Zertifizierungsstellen beachten.<\/p>\n<h3>Auch Validierungsdaten d\u00fcrfen k\u00fcrzer wiederverwendet werden<\/h3>\n<p>SC-081v3 verk\u00fcrzt nicht nur die Zertifikatslaufzeit. Gleichzeitig \u00e4ndern sich die Zeitr\u00e4ume, in denen eine Zertifizierungsstelle bereits abgeschlossene Pr\u00fcfungen f\u00fcr eine weitere Ausstellung wiederverwenden darf.<\/p>\n<p>Besonders relevant ist die Domain Control Validation, kurz DCV. Dabei weist der Antragsteller nach, dass er die Kontrolle \u00fcber die im Zertifikat enthaltenen Domainnamen besitzt. Auch Validierungen von IP-Adressen unterliegen den k\u00fcrzeren Fristen.<\/p>\n<ul>\n<li><strong>Bis 14. M\u00e4rz 2026: maximal 398 Tage<\/strong><br \/>\nDomain- und IP-Validierungen durften bis zu 398 Tage wiederverwendet werden.<\/li>\n<li><strong>15. M\u00e4rz 2026 bis 14. M\u00e4rz 2027: maximal 200 Tage<\/strong><br \/>\nSeit dem 15. M\u00e4rz 2026 gilt eine verk\u00fcrzte Wiederverwendungsfrist von 200 Tagen.<\/li>\n<li><strong>15. M\u00e4rz 2027 bis 14. M\u00e4rz 2029: maximal 100 Tage<\/strong><br \/>\nAb M\u00e4rz 2027 sinkt die Frist auf 100 Tage.<\/li>\n<li><strong>Ab 15. M\u00e4rz 2029: maximal 10 Tage<\/strong><br \/>\nDomain- und IP-Validierungen d\u00fcrfen dann nur noch zehn Tage f\u00fcr eine weitere Zertifikatsausstellung wiederverwendet werden.<\/li>\n<\/ul>\n<p>Ab M\u00e4rz 2029 kann eine erfolgreiche Domain- oder IP-Validierung somit nur noch f\u00fcr maximal zehn Tage wiederverwendet werden. Danach muss die Kontrolle \u00fcber die betreffende Domain oder IP-Adresse erneut nachgewiesen werden.<\/p>\n<p>F\u00fcr OV- und EV-Zertifikate sind zus\u00e4tzlich die gepr\u00fcften Angaben zur Identit\u00e4t des Zertifikatsinhabers relevant. Diese sogenannten Subject Identity Information umfassen beispielsweise den Namen und die Anschrift einer Organisation. Seit dem 15. M\u00e4rz 2026 d\u00fcrfen solche Identit\u00e4tsdaten nur noch f\u00fcr maximal 398 statt zuvor 825 Tage wiederverwendet werden.<\/p>\n<p>Unternehmen m\u00fcssen k\u00fcnftig daher nicht nur die Ablaufdaten ihrer Zertifikate \u00fcberwachen. Ebenso relevant sind die Fristen der Domain-, IP- und gegebenenfalls Organisationsvalidierung. Ist eine erforderliche Pr\u00fcfung abgelaufen, kann sich die Neuausstellung verz\u00f6gern, obwohl der eigentliche Erneuerungsprozess rechtzeitig begonnen wurde.<\/p>\n<h2>SSL-Zertifikate und ihre Laufzeit im Wandel<\/h2>\n<p>Die H\u00f6chstlaufzeit von 47 Tagen wirkt auf den ersten Blick wie ein besonders gro\u00dfer Einschnitt. Tats\u00e4chlich ist sie jedoch der vorl\u00e4ufige Endpunkt einer Entwicklung, die bereits seit mehr als einem Jahrzehnt anh\u00e4lt. Die maximale G\u00fcltigkeitsdauer \u00f6ffentlich vertrauensw\u00fcrdiger TLS-Zertifikate wurde schrittweise von bis zu f\u00fcnf Jahren auf wenige Wochen reduziert.<\/p>\n<p><a href=\"https:\/\/www.psw-group.de\/blog\/wp-content\/uploads\/2026\/07\/ssl-zertifikate-entwicklung-laufzeiten.jpg\"><img loading=\"lazy\" decoding=\"async\" class=\"alignnone wp-image-12430 size-large\" src=\"https:\/\/www.psw-group.de\/blog\/wp-content\/uploads\/2026\/07\/ssl-zertifikate-entwicklung-laufzeiten-1024x576.jpg\" alt=\"Liniendiagramm zur historischen Entwicklung der TLS\/SSL-Zertifikatslaufzeiten: von 60 Monaten im Jahr 2012 \u00fcber 825 Tage 2018 und 398 Tage 2020 auf 47 Tage im Jahr 2029.\" width=\"1024\" height=\"576\" srcset=\"https:\/\/www.psw-group.de\/blog\/wp-content\/uploads\/2026\/07\/ssl-zertifikate-entwicklung-laufzeiten-1024x576.jpg 1024w, https:\/\/www.psw-group.de\/blog\/wp-content\/uploads\/2026\/07\/ssl-zertifikate-entwicklung-laufzeiten-300x169.jpg 300w, https:\/\/www.psw-group.de\/blog\/wp-content\/uploads\/2026\/07\/ssl-zertifikate-entwicklung-laufzeiten-768x432.jpg 768w, https:\/\/www.psw-group.de\/blog\/wp-content\/uploads\/2026\/07\/ssl-zertifikate-entwicklung-laufzeiten.jpg 1366w\" sizes=\"auto, (max-width: 1024px) 100vw, 1024px\" \/><\/a><\/p>\n<h3>2025: Abstimmung macht den Weg zu 47 Tagen verbindlich<\/h3>\n<p>Am 11. April 2025 endete die Abstimmung \u00fcber den <a href=\"https:\/\/cabforum.org\/2025\/04\/11\/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods\/\" target=\"_blank\" rel=\"nofollow noopener\">Ballot SC-081v3<\/a>. Mit seiner Annahme wurde aus den vorherigen Diskussionen ein verbindlicher Stufenplan. Anders als fr\u00fchere Ank\u00fcndigungen enth\u00e4lt er nicht nur ein langfristiges Ziel, sondern konkrete Stichtage f\u00fcr die Zertifikatslaufzeit und die Wiederverwendung von Validierungsdaten.<\/p>\n<h3>2024: Apple schl\u00e4gt zun\u00e4chst 45 Tage vor<\/h3>\n<p>Dem finalen Beschluss ging ein Vorschlag von Apple voraus. Das Unternehmen brachte einen Entwurf in die Diskussion ein, der eine schrittweise Verk\u00fcrzung auf zun\u00e4chst 200, dann 100 und schlie\u00dflich 45 Tage vorsah.<\/p>\n<p>Im weiteren Verfahren wurden sowohl die Termine als auch die endg\u00fcltige Laufzeit angepasst. Aus den urspr\u00fcnglich vorgeschlagenen 45 Tagen wurden die heute beschlossenen 47 Tage. Der Apple-Vorschlag ist damit als wichtige Zwischenstufe und nicht als aktuell geltende Regelung einzuordnen.<\/p>\n<h3>2023: Google bringt 90-Tage-Zertifikate in die Diskussion<\/h3>\n<p>Im M\u00e4rz 2023 schlug das Chrome Root Program im Rahmen der Initiative <a title=\"Historische Fassung im offiziellen Chromium-Website-Repository, Stand 3. M\u00e4rz 2023\" href=\"https:\/\/chromium.googlesource.com\/website\/+\/5943ad5e004c1cde2f869f1d67008a729e9ec12e\/site\/Home\/chromium-security\/root-ca-policy\/moving-forward-together\/index.md\" target=\"_blank\" rel=\"noopener\">\u201eMoving Forward, Together\u201c<\/a> vor, die maximale Laufzeit \u00f6ffentlich vertrauensw\u00fcrdiger TLS-Serverzertifikate von 398 auf 90 Tage zu reduzieren.<\/p>\n<p>Dabei handelte es sich nicht um eine verbindliche Richtlinie, sondern um einen Vorschlag f\u00fcr eine sp\u00e4tere Policy-\u00c4nderung oder einen Ballot im CA\/Browser Forum. Die 90-Tage-Grenze wurde letztlich nicht als eigene Laufzeitstufe umgesetzt. Stattdessen beschloss das CA\/Browser Forum sp\u00e4ter den Stufenplan mit einer abschlie\u00dfenden H\u00f6chstlaufzeit von 47 Tagen.<\/p>\n<h3>2020: Apple setzt eine H\u00f6chstlaufzeit von 398 Tagen durch<\/h3>\n<p>Die vorangegangene gro\u00dfe Verk\u00fcrzung erfolgte zum 1. September 2020. Seit diesem Datum akzeptieren Apple-Systeme neu ausgestellte TLS-Serverzertifikate aus \u00f6ffentlich vertrauensw\u00fcrdigen Root-CAs nur noch mit einer Laufzeit von h\u00f6chstens 398 Tagen.<\/p>\n<p>Ein gemeinsamer Vorschlag zur Verk\u00fcrzung auf ungef\u00e4hr 13 Monate hatte zuvor im CA\/Browser Forum nicht die erforderliche Zustimmung erhalten. Apple setzte die Begrenzung anschlie\u00dfend \u00fcber die Anforderungen des eigenen <a href=\"https:\/\/support.apple.com\/en-us\/102028\" target=\"_blank\" rel=\"noopener\">Root-Programms<\/a> durch. Die 398-Tage-Grenze blieb bis M\u00e4rz 2026 der ma\u00dfgebliche Branchenstandard.<\/p>\n<h3>2018: Aus 39 Monaten werden 825 Tage<\/h3>\n<p>Die vorherige Grenze von 825 Tagen, ungef\u00e4hr 27 Monaten, geht auf den <a href=\"https:\/\/cabforum.org\/2017\/03\/17\/ballot-193-825-day-certificate-lifetimes\/\" target=\"_blank\" rel=\"noopener\">Ballot 193<\/a> des CA\/Browser Forums zur\u00fcck. Der Ballot wurde 2017 angenommen und trat am 1. M\u00e4rz 2018 in Kraft.<\/p>\n<h3>2012 bis 2015: Als Zertifikate noch bis zu f\u00fcnf Jahre g\u00fcltig waren<\/h3>\n<p>Mit der Einf\u00fchrung der Baseline Requirements wurde die maximale Laufzeit \u00f6ffentlich vertrauensw\u00fcrdiger Zertifikate zun\u00e4chst auf 60 Monate begrenzt. Gleichzeitig war bereits eine sp\u00e4tere Reduzierung vorgesehen. Seit April 2015 durften neu ausgestellte Zertifikate grunds\u00e4tzlich h\u00f6chstens 39 Monate g\u00fcltig sein.<\/p>\n<p>In etwas mehr als einem Jahrzehnt hat sich die maximale Zertifikatslaufzeit damit von 60 Monaten \u00fcber 39 Monate, 825 Tage und 398 Tage bis zum heutigen Stufenplan mit 200, 100 und schlie\u00dflich 47 Tagen entwickelt.<\/p>\n<h2>Warum werden die Laufzeiten von SSL-Zertifikaten verk\u00fcrzt?<\/h2>\n<p>Die k\u00fcrzeren Laufzeiten sollen die Sicherheit und Verl\u00e4sslichkeit der Web-PKI verbessern. Ein Zertifikat best\u00e4tigt bestimmte Informationen zu dem Zeitpunkt, an dem es ausgestellt wird. Dazu geh\u00f6ren die Kontrolle \u00fcber die enthaltenen Domains und \u2013 bei OV- und EV-Zertifikaten \u2013 Angaben zur Identit\u00e4t einer Organisation.<\/p>\n<p>Eine k\u00fcrzere Laufzeit verhindert weder den Diebstahl eines privaten Schl\u00fcssels noch die fehlerhafte Ausstellung eines Zertifikats. Sie begrenzt jedoch den Zeitraum, in dem ein betroffenes oder nicht mehr aktuelles Zertifikat ohne erneute Pr\u00fcfung g\u00fcltig bleiben kann.<\/p>\n<h3>Aktuellere Domain- und Identit\u00e4tsinformationen<\/h3>\n<p>Ein TLS-Zertifikat bildet immer nur eine Momentaufnahme ab. Domains k\u00f6nnen den Inhaber wechseln, Unternehmen k\u00f6nnen umfirmieren und technische Zust\u00e4ndigkeiten k\u00f6nnen sich ver\u00e4ndern. Je l\u00e4nger Zertifikate und Validierungsdaten wiederverwendet werden d\u00fcrfen, desto l\u00e4nger k\u00f6nnen Angaben g\u00fcltig erscheinen, die nicht mehr der aktuellen Situation entsprechen.<\/p>\n<p>Durch k\u00fcrzere Laufzeiten und h\u00e4ufigere Validierungen soll die Zeitspanne zwischen der Pr\u00fcfung und der tats\u00e4chlichen Verwendung eines Zertifikats reduziert werden.<\/p>\n<h3>Kleineres Risikofenster bei kompromittierten Schl\u00fcsseln<\/h3>\n<p>Ger\u00e4t ein privater Schl\u00fcssel in die H\u00e4nde Unbefugter, kann das zugeh\u00f6rige Zertifikat unter bestimmten Voraussetzungen missbraucht werden. K\u00fcrzere Laufzeiten beheben eine solche Kompromittierung nicht, begrenzen aber den maximalen Zeitraum, in dem das Zertifikat ohne Erneuerung g\u00fcltig bleiben kann.<\/p>\n<p>Sperrmechanismen wie Certificate Revocation Lists und das Online Certificate Status Protocol bleiben weiterhin notwendig. Sie gew\u00e4hrleisten jedoch nicht in jeder Situation eine vollst\u00e4ndige und sofort wirksame Absicherung. K\u00fcrzere Laufzeiten erg\u00e4nzen diese reaktiven Verfahren daher um eine feste zeitliche Begrenzung.<\/p>\n<h3>Schnellere Reaktion auf Schwachstellen und neue Verfahren<\/h3>\n<p>Die Web-PKI muss auf neu entdeckte Schwachstellen, unsichere Verfahren und ge\u00e4nderte technische Anforderungen reagieren k\u00f6nnen. Bei langen Laufzeiten bleiben \u00e4ltere kryptografische Verfahren entsprechend l\u00e4nger im Umlauf.<\/p>\n<p>K\u00fcrzere Laufzeiten erleichtern den Wechsel, weil neue Vorgaben schneller in regul\u00e4re Erneuerungsprozesse einflie\u00dfen k\u00f6nnen. Diese F\u00e4higkeit wird als <strong>Krypto-Agilit\u00e4t<\/strong> bezeichnet. Langfristig spielt sie auch bei der Vorbereitung auf <a href=\"https:\/\/www.psw-group.de\/blog\/post-quanten-kryptografie-und-verschluesselung\/\" target=\"_blank\" rel=\"noopener\">Post-Quanten-Kryptografie<\/a> eine Rolle. Der \u00dcbergang zu quantenresistenten Verfahren ist jedoch nicht der alleinige oder unmittelbare Grund f\u00fcr den aktuellen Stufenplan.<\/p>\n<h3>Mehr Automatisierung als begleitender Effekt<\/h3>\n<p>Der beschlossene Stufenplan f\u00f6rdert zugleich die Entwicklung zuverl\u00e4ssiger Prozesse f\u00fcr Ausstellung, Erneuerung und Austausch. Bei Laufzeiten von 47 Tagen sind rein manuelle Abl\u00e4ufe insbesondere in gr\u00f6\u00dferen Zertifikatsumgebungen kaum noch wirtschaftlich und mit einem erh\u00f6hten Fehlerrisiko verbunden.<\/p>\n<p>Automatisierung ist dennoch keine formale Vorgabe f\u00fcr Websitebetreiber. Sie ist vielmehr eine praktische Konsequenz aus den h\u00e4ufigeren Zertifikatswechseln. Dabei gilt: Ein fehlerhafter automatisierter Prozess kann Zertifikate ebenso falsch verteilen oder unbemerkt ablaufen lassen wie ein manueller Prozess. Erst das Zusammenspiel aus Automatisierung, Monitoring und klaren Verantwortlichkeiten sorgt f\u00fcr einen verl\u00e4sslichen Betrieb.<\/p>\n<h2>Was k\u00fcrzere Zertifikatslaufzeiten f\u00fcr Unternehmen bedeuten<\/h2>\n<p>Mit der Verk\u00fcrzung steigt die Zahl der erforderlichen Erneuerungen deutlich. Die Herausforderung liegt dabei nicht allein in der Beantragung. Zu jedem Vorgang geh\u00f6ren weitere Schritte: Domains m\u00fcssen gegebenenfalls erneut validiert, Zertifikate ausgestellt, auf den vorgesehenen Systemen installiert und anschlie\u00dfend auf ihre korrekte Funktion gepr\u00fcft werden.<\/p>\n<h3>Mehr Erneuerungen und Revalidierungen<\/h3>\n<p>Bei einer maximalen G\u00fcltigkeit von 47 Tagen kann ein Zertifikat rechnerisch mehr als siebenmal pro Jahr erneuert werden m\u00fcssen. Erfolgt die Erneuerung mit ausreichendem zeitlichem Puffer, k\u00f6nnen in der Praxis noch h\u00e4ufigere Vorg\u00e4nge erforderlich sein.<\/p>\n<p>Die Verk\u00fcrzung der Domainvalidierung auf zehn Tage f\u00fchrt zudem dazu, dass die Kontrolle \u00fcber eine Domain vor vielen Neuausstellungen erneut nachgewiesen werden muss. Das kann zus\u00e4tzliche Abstimmungen ausl\u00f6sen, wenn DNS-Eintr\u00e4ge, Webserver oder E-Mail-Postf\u00e4cher von unterschiedlichen Teams oder Dienstleistern verwaltet werden.<\/p>\n<h3>H\u00f6heres Ausfallrisiko bei manuellen Prozessen<\/h3>\n<p>Mit jedem zus\u00e4tzlichen Vorgang steigt die Zahl der Gelegenheiten, bei denen Fehler auftreten k\u00f6nnen. Typische Ursachen sind:<\/p>\n<ul>\n<li>Ein Zertifikat wird zu sp\u00e4t beantragt oder erneuert.<\/li>\n<li>Das neue Zertifikat wird ausgestellt, aber nicht rechtzeitig installiert.<\/li>\n<li>Die Installation erfolgt nur auf einem Teil der Server, Loadbalancer oder Appliances.<\/li>\n<li>Ein falsches Zertifikat oder eine unvollst\u00e4ndige Zertifikatskette wird eingebunden.<\/li>\n<li>Der betroffene Dienst verwendet nach dem Austausch weiterhin das alte Zertifikat.<\/li>\n<li>Ein System oder eine Subdomain fehlt im Zertifikatsinventar.<\/li>\n<\/ul>\n<p>Die m\u00f6glichen Folgen reichen von Browserwarnungen bis zu nicht erreichbaren Websites, Webshops, APIs und internen Anwendungen. Weitere Ma\u00dfnahmen zur Vermeidung solcher St\u00f6rungen erl\u00e4utern wir im Beitrag \u00fcber <a href=\"https:\/\/www.psw-group.de\/blog\/abgelaufene-zertifikate-so-vermeiden-sie-ausfaelle\/\" target=\"_blank\" rel=\"noopener\">abgelaufene Zertifikate und zertifikatsbedingte Ausf\u00e4lle<\/a>.<\/p>\n<h3>Mehr Anforderungen an Verantwortlichkeiten und Kontrolle<\/h3>\n<p>F\u00fcr jedes Zertifikat sollte eindeutig festgelegt sein, welches Team oder welche Person f\u00fcr Beantragung, Validierung, Installation und \u00dcberwachung verantwortlich ist. In der Praxis verteilen sich diese Aufgaben h\u00e4ufig auf Security, Einkauf, Administration, Fachabteilungen und externe Dienstleister.<\/p>\n<p>Neben dem Ablaufdatum sollten mindestens die ausstellende Zertifizierungsstelle, die enthaltenen Domains, der Installationsort, das Validierungsverfahren und der Eskalationsweg bei Fehlern dokumentiert werden.<\/p>\n<p>Auch automatisierte Abl\u00e4ufe m\u00fcssen kontrolliert werden. Eine erfolgreiche Ausstellung bedeutet noch nicht, dass das Zertifikat auf allen vorgesehenen Systemen installiert wurde und dort fehlerfrei funktioniert.<\/p>\n<h2>So bereiten sich Unternehmen auf 100- und 47-Tage-Zertifikate vor<\/h2>\n<p>Mit den k\u00fcrzeren Laufzeiten steigt nicht nur die Zahl der Erneuerungen. Auch Domainvalidierungen, Installationen und technische Kontrollen m\u00fcssen h\u00e4ufiger durchgef\u00fchrt werden. Unternehmen sollten deshalb fr\u00fchzeitig pr\u00fcfen, an welchen Stellen ihre Zertifikatsverwaltung noch von manuellen Abl\u00e4ufen oder einzelnen Personen abh\u00e4ngt.<\/p>\n<h3>Zertifikatsbestand und Verantwortlichkeiten erfassen<\/h3>\n<p>Grundlage einer zuverl\u00e4ssigen Verwaltung ist ein vollst\u00e4ndiger \u00dcberblick. Dazu geh\u00f6ren nicht nur Zertifikate auf klassischen Webservern, sondern auch auf Loadbalancern, Reverse-Proxys, Firewalls, Appliances, Cloud-Diensten und Schnittstellen.<\/p>\n<p>F\u00fcr jedes Zertifikat sollten mindestens der Einsatzort, die Zertifizierungsstelle, das Ablaufdatum, das Validierungsverfahren und das verantwortliche Team dokumentiert sein. Nur bekannte Zertifikate lassen sich zuverl\u00e4ssig \u00fcberwachen und automatisieren.<\/p>\n<h3>Ausstellung und Erneuerung automatisieren<\/h3>\n<p>Das <a href=\"https:\/\/www.psw-group.de\/blog\/acme-protokoll-einfach-erklaert\/\" target=\"_blank\" rel=\"noopener\">ACME-Protokoll<\/a> kann wiederkehrende Vorg\u00e4nge wie Domainvalidierung, Ausstellung und Erneuerung automatisieren. Entscheidend ist jedoch, den Prozess nicht mit dem Abruf eines neuen Zertifikats enden zu lassen. Auch Installation, Verteilung und erfolgreiche Aktivierung auf den Zielsystemen m\u00fcssen ber\u00fccksichtigt werden.<\/p>\n<p>F\u00fcr standardisierte Webserver-Umgebungen k\u00f6nnen <a href=\"https:\/\/www.psw-group.de\/automatisierung\/acme-zertifikate\/\" target=\"_blank\" rel=\"noopener\">ACME-Zertifikate<\/a> einen geeigneten Einstieg in die Automatisierung bieten.<\/p>\n<p>In komplexen oder heterogenen Infrastrukturen kann ein <a href=\"https:\/\/www.psw-group.de\/blog\/was-ist-certificate-lifecycle-management\/\" target=\"_blank\" rel=\"noopener\">Certificate Lifecycle Management<\/a>, kurz CLM, zus\u00e4tzlich f\u00fcr zentrale Transparenz und Steuerung sorgen. Eine CLM-L\u00f6sung kann Zertifikate inventarisieren, Richtlinien durchsetzen, Erneuerungen orchestrieren und Fehler zentral melden.<\/p>\n<p>ACME und CLM sind dabei keine Gegens\u00e4tze: ACME kann als technisches Automatisierungsprotokoll innerhalb eines \u00fcbergeordneten Lifecycle-Managements eingesetzt werden. Bei gro\u00dfen, verteilten Zertifikatslandschaften k\u00f6nnen zentrale <a href=\"https:\/\/www.psw-group.de\/360-managed-pki-clm\/\" target=\"_blank\" rel=\"noopener\">Managed-PKI- und CLM-L\u00f6sungen<\/a> zus\u00e4tzlich bei Orchestrierung, Monitoring und Richtlinienverwaltung unterst\u00fctzen.<\/p>\n<h3>Monitoring und Notfallprozesse einrichten<\/h3>\n<p>Auch automatisierte Erneuerungen k\u00f6nnen fehlschlagen. Unternehmen sollten deshalb \u00fcberwachen, ob eine Validierung erfolgreich abgeschlossen, das neue Zertifikat ausgestellt, auf allen vorgesehenen Systemen installiert und anschlie\u00dfend tats\u00e4chlich verwendet wird.<\/p>\n<p>F\u00fcr Fehlerf\u00e4lle braucht es klare Warnschwellen, Eskalationswege und einen getesteten Ersatzprozess. Je k\u00fcrzer die Zertifikatslaufzeiten werden, desto weniger Zeit bleibt, fehlgeschlagene Erneuerungen manuell zu korrigieren.<\/p>\n<h3>Anbieterabh\u00e4ngige Laufzeiten ber\u00fccksichtigen<\/h3>\n<p>Die Vorgaben des CA\/Browser Forums legen lediglich die maximal zul\u00e4ssige Laufzeit fest. Zertifizierungsstellen k\u00f6nnen ihre Produkte fr\u00fcher umstellen oder zus\u00e4tzliche zeitliche Puffer einplanen. Verantwortliche sollten deshalb regelm\u00e4\u00dfig pr\u00fcfen, welche Laufzeiten, Reissue-Regeln und Validierungsfristen f\u00fcr die konkret eingesetzten Zertifikate gelten.<\/p>\n<h2>K\u00fcrzere Laufzeiten verlangen verl\u00e4ssliche Prozesse<\/h2>\n<p>Die schrittweise Verk\u00fcrzung der Laufzeit \u00f6ffentlich vertrauensw\u00fcrdiger TLS\/SSL-Zertifikate auf 200, 100 und schlie\u00dflich 47 Tage ver\u00e4ndert den Zertifikatsbetrieb grundlegend. Unternehmen m\u00fcssen Zertifikate k\u00fcnftig h\u00e4ufiger validieren, ausstellen, installieren und kontrollieren.<\/p>\n<p>Die gr\u00f6\u00dfte Herausforderung liegt dabei weniger in der k\u00fcrzeren Laufzeit selbst als in unvollst\u00e4ndigen Best\u00e4nden, manuellen Abl\u00e4ufen und unklaren Zust\u00e4ndigkeiten. Wer nicht zuverl\u00e4ssig wei\u00df, welche Zertifikate vorhanden sind und wo sie eingesetzt werden, kann auch ihre Erneuerung nicht sicher automatisieren.<\/p>\n<p>Unternehmen sollten deshalb jetzt ihre Zertifikatslandschaft erfassen, Verantwortlichkeiten kl\u00e4ren und pr\u00fcfen, welche Prozesse sich mit ACME oder einem zentralen Certificate Lifecycle Management automatisieren lassen. Ebenso wichtig sind Monitoring, Eskalationswege und getestete Notfallverfahren.<\/p>\n<p>Die 47-Tage-Regel ist keine formale Verpflichtung zur Automatisierung. F\u00fcr gr\u00f6\u00dfere und komplexere Zertifikatsbest\u00e4nde wird eine \u00fcberwiegend manuelle Verwaltung jedoch zunehmend aufwendig und riskant. Wer die notwendigen Prozesse fr\u00fchzeitig aufbaut, kann die kommenden Laufzeitstufen kontrolliert umsetzen und das Risiko zertifikatsbedingter Ausf\u00e4lle deutlich reduzieren. Wenn Sie Ihre Zertifikatsverwaltung auf k\u00fcrzere Laufzeiten vorbereiten und bestehende Automatisierungspotenziale pr\u00fcfen m\u00f6chten, k\u00f6nnen Sie <a href=\"https:\/\/psw-group.de\/beratungstermin-automatisierung\" target=\"_blank\" rel=\"noopener\">einen Beratungstermin mit unseren Experten vereinbaren<\/a>.<\/p>\n<p>&nbsp;<\/p>\n<p style=\"font-size: 70%; text-align: right;\">Beitrag vom 4. Februar 2026 | Letztes Update am 28. Juli 2026<\/p>\n<div class=\"shariff\"><ul class=\"shariff-buttons theme-default orientation-horizontal buttonsize-medium\"><li class=\"shariff-button facebook shariff-nocustomcolor\" style=\"background-color:#4273c8\"><a href=\"https:\/\/www.facebook.com\/sharer\/sharer.php?u=https%3A%2F%2Fwww.psw-group.de%2Fblog%2Fssl-zertifikate-laufzeit%2F\" title=\"Bei Facebook teilen\" aria-label=\"Bei Facebook teilen\" role=\"button\" rel=\"nofollow\" class=\"shariff-link\" style=\"; background-color:#3b5998; color:#fff\" target=\"_blank\"><span class=\"shariff-icon\" style=\"\"><svg width=\"32px\" height=\"20px\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" viewBox=\"0 0 18 32\"><path fill=\"#3b5998\" d=\"M17.1 0.2v4.7h-2.8q-1.5 0-2.1 0.6t-0.5 1.9v3.4h5.2l-0.7 5.3h-4.5v13.6h-5.5v-13.6h-4.5v-5.3h4.5v-3.9q0-3.3 1.9-5.2t5-1.8q2.6 0 4.1 0.2z\"\/><\/svg><\/span><span class=\"shariff-text\">teilen<\/span>&nbsp;<\/a><\/li><li class=\"shariff-button twitter shariff-nocustomcolor\" style=\"background-color:#595959\"><a href=\"https:\/\/twitter.com\/share?url=https%3A%2F%2Fwww.psw-group.de%2Fblog%2Fssl-zertifikate-laufzeit%2F&text=SSL-Zertifikate%20Laufzeit%3A%20Was%20jetzt%20gilt%20und%20was%20zu%20beachten%20ist\" title=\"Bei X teilen\" aria-label=\"Bei X teilen\" role=\"button\" rel=\"noopener nofollow\" class=\"shariff-link\" style=\"; background-color:#000; color:#fff\" target=\"_blank\"><span class=\"shariff-icon\" style=\"\"><svg width=\"32px\" height=\"20px\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" viewBox=\"0 0 24 24\"><path fill=\"#000\" d=\"M14.258 10.152L23.176 0h-2.113l-7.747 8.813L7.133 0H0l9.352 13.328L0 23.973h2.113l8.176-9.309 6.531 9.309h7.133zm-2.895 3.293l-.949-1.328L2.875 1.56h3.246l6.086 8.523.945 1.328 7.91 11.078h-3.246zm0 0\"\/><\/svg><\/span><span class=\"shariff-text\">teilen<\/span>&nbsp;<\/a><\/li><li class=\"shariff-button xing shariff-nocustomcolor\" style=\"background-color:#29888a\"><a href=\"https:\/\/www.xing.com\/spi\/shares\/new?url=https%3A%2F%2Fwww.psw-group.de%2Fblog%2Fssl-zertifikate-laufzeit%2F\" title=\"Bei XING teilen\" aria-label=\"Bei XING teilen\" role=\"button\" rel=\"noopener nofollow\" class=\"shariff-link\" style=\"; background-color:#126567; color:#fff\" target=\"_blank\"><span class=\"shariff-icon\" style=\"\"><svg width=\"32px\" height=\"20px\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" viewBox=\"0 0 25 32\"><path fill=\"#126567\" d=\"M10.7 11.9q-0.2 0.3-4.6 8.2-0.5 0.8-1.2 0.8h-4.3q-0.4 0-0.5-0.3t0-0.6l4.5-8q0 0 0 0l-2.9-5q-0.2-0.4 0-0.7 0.2-0.3 0.5-0.3h4.3q0.7 0 1.2 0.8zM25.1 0.4q0.2 0.3 0 0.7l-9.4 16.7 6 11q0.2 0.4 0 0.6-0.2 0.3-0.6 0.3h-4.3q-0.7 0-1.2-0.8l-6-11.1q0.3-0.6 9.5-16.8 0.4-0.8 1.2-0.8h4.3q0.4 0 0.5 0.3z\"\/><\/svg><\/span><span class=\"shariff-text\">teilen<\/span>&nbsp;<\/a><\/li><li class=\"shariff-button linkedin shariff-nocustomcolor\" style=\"background-color:#1488bf\"><a href=\"https:\/\/www.linkedin.com\/sharing\/share-offsite\/?url=https%3A%2F%2Fwww.psw-group.de%2Fblog%2Fssl-zertifikate-laufzeit%2F\" title=\"Bei LinkedIn teilen\" aria-label=\"Bei LinkedIn teilen\" role=\"button\" rel=\"noopener nofollow\" class=\"shariff-link\" style=\"; background-color:#0077b5; color:#fff\" target=\"_blank\"><span class=\"shariff-icon\" style=\"\"><svg width=\"32px\" height=\"20px\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" viewBox=\"0 0 27 32\"><path fill=\"#0077b5\" d=\"M6.2 11.2v17.7h-5.9v-17.7h5.9zM6.6 5.7q0 1.3-0.9 2.2t-2.4 0.9h0q-1.5 0-2.4-0.9t-0.9-2.2 0.9-2.2 2.4-0.9 2.4 0.9 0.9 2.2zM27.4 18.7v10.1h-5.9v-9.5q0-1.9-0.7-2.9t-2.3-1.1q-1.1 0-1.9 0.6t-1.2 1.5q-0.2 0.5-0.2 1.4v9.9h-5.9q0-7.1 0-11.6t0-5.3l0-0.9h5.9v2.6h0q0.4-0.6 0.7-1t1-0.9 1.6-0.8 2-0.3q3 0 4.9 2t1.9 6z\"\/><\/svg><\/span><span class=\"shariff-text\">teilen<\/span>&nbsp;<\/a><\/li><\/ul><\/div>","protected":false},"excerpt":{"rendered":"<p>Die maximale Laufzeit \u00f6ffentlich vertrauensw\u00fcrdiger SSL\/TLS-Zertifikate wird schrittweise deutlich verk\u00fcrzt. Seit dem 15. M\u00e4rz 2026 d\u00fcrfen neu ausgestellte Zertifikate h\u00f6chstens 200 Tage g\u00fcltig sein. Am 15. M\u00e4rz 2027 sinkt die maximale G\u00fcltigkeitsdauer auf 100 Tage und am 15. M\u00e4rz 2029 schlussendlich auf 47 Tage. F\u00fcr Unternehmen bedeutet diese Entwicklung, dass Zertifikate wesentlich h\u00e4ufiger validiert, ausgestellt, installiert und kontrolliert werden m\u00fcssen. Was bei einzelnen Websites noch manuell beherrschbar erscheinen mag, kann [&hellip;]<\/p>\n","protected":false},"author":67,"featured_media":12168,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[379],"tags":[],"class_list":["post-12167","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-security"],"_links":{"self":[{"href":"https:\/\/www.psw-group.de\/blog\/wp-json\/wp\/v2\/posts\/12167","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.psw-group.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.psw-group.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.psw-group.de\/blog\/wp-json\/wp\/v2\/users\/67"}],"replies":[{"embeddable":true,"href":"https:\/\/www.psw-group.de\/blog\/wp-json\/wp\/v2\/comments?post=12167"}],"version-history":[{"count":4,"href":"https:\/\/www.psw-group.de\/blog\/wp-json\/wp\/v2\/posts\/12167\/revisions"}],"predecessor-version":[{"id":12443,"href":"https:\/\/www.psw-group.de\/blog\/wp-json\/wp\/v2\/posts\/12167\/revisions\/12443"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.psw-group.de\/blog\/wp-json\/wp\/v2\/media\/12168"}],"wp:attachment":[{"href":"https:\/\/www.psw-group.de\/blog\/wp-json\/wp\/v2\/media?parent=12167"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.psw-group.de\/blog\/wp-json\/wp\/v2\/categories?post=12167"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.psw-group.de\/blog\/wp-json\/wp\/v2\/tags?post=12167"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}