Kürzere TLS-Zertifikate: Was Let's Encrypt 2027 und 2028 ändert
Veröffentlicht · 7 Min. Lesezeit
Das Schloss-Symbol im Browser steht für ein TLS-Zertifikat. Es gehört zur verschlüsselten Verbindung zwischen Ihrer Website und den Besuchern, zum Beispiel beim Online-Shop, beim Kontaktformular oder beim Kundenlogin. Solche Zertifikate gelten nicht unbegrenzt, und ihre Laufzeit wird in festen Schritten kürzer. Let’s Encrypt stellt seine Standardlaufzeit am 10. Februar 2027 von 90 auf 64 Tage um und am 16. Februar 2028 auf 45 Tage.
Das ist für kleine Unternehmen wichtig, weil Besucher bei einem abgelaufenen Zertifikat gewarnt werden, statt ganz normal auf die Seite zu gelangen. Wer sein Zertifikat bisher einmal im Quartal von Hand erneuert oder ein selbst geschriebenes Skript mit festem Rhythmus laufen lässt, muss das ändern. Dieser Artikel erklärt die Fristen, nennt die Gründe und führt durch eine Checkliste. Stand ist November 2026.
Die neuen Regeln für die gesamte Branche
Die Änderung geht nicht von Let’s Encrypt allein aus. Sie beruht auf dem Beschluss SC-081 des CA/Browser Forum, in dem Zertifikatsaussteller und Browserhersteller gemeinsam Regeln festlegen. Die Abstimmung darüber endete am 11. April 2025.
Die Regeln stehen in den „Baseline Requirements“ für öffentlich vertrauenswürdige TLS-Server-Zertifikate. Sie gelten unabhängig davon, welcher Aussteller das Zertifikat ausgibt. Auch ein gekauftes Zertifikat ist also betroffen.
Die höchstzulässige Gültigkeit sinkt in diesen Stufen:
| Ausgestellt | Höchstens |
|---|---|
| vor dem 15. März 2026 | 398 Tage |
| ab dem 15. März 2026 | 200 Tage |
| ab dem 15. März 2027 | 100 Tage |
| ab dem 15. März 2029 | 47 Tage |
Die Werte sind Obergrenzen. Die Regeln sagen zusätzlich, dass ein Zertifikat nicht länger als 199, 99 beziehungsweise 46 Tage gelten sollte. Außerdem sollen Zertifikate nicht standardmäßig für die längste zulässige Zeit ausgestellt werden. Gerechnet wird mit 86.400 Sekunden pro Tag; jede längere Zeitspanne, auch ein Bruchteil einer Sekunde, zählt als zusätzlicher Tag. Datumsangaben gelten ab 00:00:00 UTC, sofern nichts anderes angegeben ist.
Neben der Laufzeit schrumpft auch die Zeit, in der Aussteller eine frühere Prüfung wiederverwenden dürfen. Hat jemand einmal nachgewiesen, dass er eine Domain kontrolliert, darf der Aussteller diesen Nachweis für neue Zertifikate eine begrenzte Zeit weiter nutzen. Diese Frist sinkt letztlich von 398 Tagen auf 10 Tage. Für andere Identitätsdaten sinkt sie von 825 auf 398 Tage. Die Verkürzungen beginnen im März 2026 und enden im März 2029.
Der Fahrplan von Let’s Encrypt
Let’s Encrypt wird von der Internet Security Research Group (ISRG) betrieben. Die Organisation stellte bisher Zertifikate mit 90 Tagen Gültigkeit aus und halbiert diese bis 2028 auf 45 Tage. Sie setzt damit um, was die Baseline Requirements verlangen.
Let’s Encrypt arbeitet mit sogenannten ACME-Profilen. Für die Umstellung sind drei relevant:
- tlsserver: Seit dem 13. Mai 2026 stellt dieses Profil 45-Tage-Zertifikate aus. Es ist Opt-in, also nur für den gedacht, der es ausdrücklich wählt, etwa für Early Adopters und Tests.
- classic: Das ist das Standardprofil. Wer nichts ausgewählt hat, nutzt dieses.
- shortlived: Ein Profil mit Zertifikaten von 6 Tagen Gültigkeit.
Für das Standardprofil classic gilt der folgende Plan:
| Ab | Gültigkeit | Wiederverwendung der Authorization |
|---|---|---|
| bisher | 90 Tage | 30 Tage |
| 10. Februar 2027 | 64 Tage | 10 Tage |
| 16. Februar 2028 | 45 Tage | 7 Stunden |
Mit „Authorization“ ist die Domain-Validierung gemeint. Die Wiederverwendungszeit ist der Zeitraum, in dem Let’s Encrypt nach einer erfolgreichen Prüfung der Domain-Kontrolle weiter Zertifikate für diese Domain ausstellt. Der Wert von 30 Tagen war der Stand zur Ankündigung.
Wichtig ist, dass die Daten für neu ausgestellte Zertifikate gelten. Ihre vorhandenen Zertifikate bleiben bis zum Ablauf gültig. Die kürzere Laufzeit sehen Sie erst bei der ersten Erneuerung nach dem jeweiligen Datum. Die Umstellung am 10. Februar 2027 betrifft alle, die weder das Profil tlsserver noch das 6-Tage-Profil shortlived gewählt haben.
Warum Zertifikate kürzer gelten
Let’s Encrypt nennt zwei Gründe. Kürzere Gültigkeit begrenzt den Umfang einer Kompromittierung. Gelangt ein Zertifikat samt Schlüssel in falsche Hände, kann es nur noch kürzere Zeit missbraucht werden. Außerdem werden Verfahren zum Widerruf von Zertifikaten effizienter. Beides verbessert laut ISRG die Sicherheit des Internets.
Für Sie als Betreiber heißt das: Die Verkürzung ist kein Zeichen, dass etwas schiefgelaufen wäre. Sie ist ein branchenweit abgestimmter Schritt. Wer sich darauf einstellt, muss danach keine Erneuerungstermine mehr im Kopf behalten, denn die Erneuerung läuft dann ohne Zutun im Hintergrund.
Wen die Umstellung betrifft
Betroffen sind alle, deren Erneuerung nicht von selbst auf die kürzere Laufzeit reagiert:
- Manuelle Erneuerung. Let’s Encrypt rät davon ab, weil sie bei kürzeren Laufzeiten häufiger anfällt.
- Selbst gebaute Skripte mit festem Rhythmus. Ein Beispiel: Ein Skript erneuert alle 60 Tage. Bei 90 Tagen Laufzeit ist das bequem. Bei einem 45-Tage-Zertifikat läuft das Zertifikat etwa zwei Wochen vor dem nächsten Lauf ab.
- Alte Client-Einstellungen mit festem Erneuerungszeitpunkt. Bei Certbot gilt seit Version 4.0.0 ein Zertifikat als erneuerungsreif, wenn weniger als ein Drittel seiner Laufzeit verbleibt. Davor war es eine feste Schwelle von 30 Tagen. Ausdrücklich gesetzte Werte haben weiterhin Vorrang: Eine alte feste Einstellung bleibt in Kraft, bis jemand sie ändert.
- Wer sich auf Erinnerungs-E-Mails verlassen hat. Let’s Encrypt verschickt keine Ablauf-Benachrichtigungen mehr an Abonnenten. Der Aussteller begründet das damit, dass immer mehr Abonnenten eine zuverlässige Automatisierung für die Erneuerung eingerichtet haben. Zudem hätte er dafür Millionen E-Mail-Adressen zusammen mit Ausstellungsdaten aufbewahren müssen.
- Alle mit gekauften Zertifikaten. Die Regeln des CA/Browser Forum gelten für jedes öffentlich vertrauenswürdige TLS-Zertifikat, nicht nur für Let’s Encrypt.
Was Sie jetzt tun sollten
Die folgende Checkliste ist so aufgebaut, dass Sie sie vor dem 10. Februar 2027 abarbeiten können.
- Alle Zertifikate auflisten. Notieren Sie, welche Zertifikate es gibt, für welche Domains und Subdomains sie gelten, wo sie eingesetzt werden und wer sie ausstellt. Dazu gehören Website, Online-Shop, Mailserver mit Webzugang und Verwaltungsoberflächen.
- Auf automatische Erneuerung umstellen. Ein ACME-Client erneuert Zertifikate von selbst, ohne dass jemand daran denken muss. Das ist die Antwort, die auch Let’s Encrypt empfiehlt.
- ACME Renewal Information (ARI) aktivieren. ARI hilft dem Client zu wissen, wann er erneuern muss. Let’s Encrypt empfiehlt ARI, damit der Client rechtzeitig erneuert. Wie Sie es einschalten, unterscheidet sich von Client zu Client; maßgeblich ist die Dokumentation Ihres Clients.
- Ohne ARI: nach etwa zwei Dritteln der Laufzeit erneuern. Let’s Encrypt nennt das als akzeptables Verhalten für Clients ohne ARI. Der Zeitplan muss zu 45-Tage-Zertifikaten passen. Bei einem 64-Tage-Zertifikat liegt der Erneuerungspunkt bei etwa Tag 43.
- Alte feste Einstellungen prüfen. Suchen Sie in Skripten und Konfigurationen nach festen Erneuerungsintervallen oder festen Schwellenwerten. Bei Certbot gilt: Was ausdrücklich eingetragen wurde, hat Vorrang vor dem neuen Standard und bleibt, bis es jemand ändert.
- Ablauf selbst überwachen. Da keine Erinnerungs-E-Mails mehr kommen, brauchen Sie eine eigene Überwachung, die Sie warnt, wenn ein Zertifikat bald abläuft. Sie fängt auch den Fall ab, dass die Automatik stillschweigend ausfällt.
- Gekaufte Zertifikate nicht vergessen. Prüfen Sie, wie Ihr Anbieter die kürzeren Laufzeiten handhabt und ob sich die Ausstellung automatisieren lässt.
Wer diese Punkte erledigt hat, ist auf beide Stufen vorbereitet: auf die 64 Tage ab Februar 2027 und auf die 45 Tage ab Februar 2028. Die Branchenregeln sehen ab dem 15. März 2029 sogar 47 Tage als Obergrenze vor. Eine automatische Erneuerung muss deshalb nicht noch einmal angepasst werden, nur weil die Zahl kleiner wird.
Wer sich ohnehin um die Absicherung seiner Domain kümmert, findet im Artikel SPF, DKIM und DMARC ein verwandtes Thema für E-Mail.
Wie epicsoft damit umgeht
Beim Hosting von epicsoft networks gehören verschlüsselte Verbindungen für jede Domain zum Setup und zum laufenden Betrieb. Updates werden automatisch eingespielt, und die Überwachung meldet dem Team, wenn etwas nicht stimmt. Hosting-Kunden müssen Erneuerungstermine deshalb nicht selbst im Blick behalten. Mehr dazu auf der Seite Hosting. Auch Websites, die epicsoft networks baut, gehen mit SSL-Verschlüsselung online und werden aktuell gehalten, siehe Websites.
Dieser Artikel informiert allgemein und gibt den Stand von November 2026 wieder.
Quellen
- CA/Browser Forum: Ballot SC-081v3: Zeitplan für kürzere Laufzeiten und Wiederverwendung von Validierungsdaten von März 2026 bis März 2029.
- Baseline Requirements mit SC-081v3 (PDF): Höchstlaufzeiten nach Ausstellungsdatum, Tagesberechnung, Empfehlung zur Standardlaufzeit.
- ISRG: From 90 to 45: Fahrplan von Let’s Encrypt, Profile, Authorization-Wiederverwendung und Begründung.
- Let’s Encrypt: Expiration Notification Service Has Ended: Ende der Erinnerungs-E-Mails und deren Gründe.
- LWN.net: Hinweise von Let’s Encrypt zu ARI und Erneuerung: ARI, Erneuerung nach etwa zwei Dritteln der Laufzeit, Hinweis gegen manuelle Erneuerung.
- Cybersecuritynews: 64-Tage-Zertifikate bei Let’s Encrypt: Erneuerungspunkt um Tag 43 bei 64 Tagen.
- Certbot-Dokumentation: Using: Erneuerungsschwelle seit Certbot 4.0.0.
- Certbot, Pull Request 10207: Vorrang ausdrücklich gesetzter Werte.
- epicsoft networks: Hosting: verschlüsselte Verbindungen, automatische Updates und Überwachung im Hosting.
- epicsoft networks: Websites: Websites mit SSL-Verschlüsselung, die aktuell gehalten werden.