Immer kürzere TLS-Zertifikate: 100 Tage ab März 2027, was jetzt vorzubereiten ist

Das Schloss in der Adresszeile des Browsers hängt an einem TLS-Zertifikat mit Ablaufdatum. Jahrelang genügte es, dieses einmal im Jahr zu erneuern, oft von Hand. Diese Gewohnheit geht zu Ende: Die Regeln der Branche verkürzen die maximale Laufzeit der Zertifikate Schritt für Schritt, und die ersten Auswirkungen zeigen sich schon in diesem Herbst.

Für ein KMU ist das Risiko kein Angriff, sondern ein Dienst, der nicht mehr funktioniert: eine Website mit Sicherheitswarnung, ein Postfach, das keine Verbindung mehr aufbaut, ein Kontaktformular, das Kundinnen und Kunden nicht mehr ausfüllen mögen. Nachfolgend die geprüften Daten und eine Checkliste.

Die wichtigen Daten

Im April 2025 hat das CA/Browser Forum, das Gremium, in dem Zertifizierungsstellen und Browserhersteller gemeinsame Regeln festlegen, den Ballot SC-081v3 verabschiedet. Er sieht diese Verkürzung der maximalen Laufzeit öffentlicher TLS-Zertifikate vor:

• bis 14. März 2026: 398 Tage;
• ab 15. März 2026: 200 Tage;
• ab 15. März 2027: 100 Tage;
• ab 15. März 2029: 47 Tage.

Die Daten gelten für Zertifikate, die ab diesem Tag ausgestellt werden: Ein bereits ausgestelltes Zertifikat bleibt bis zu seinem Ablauf gültig. Auch der Zeitraum, in dem eine Stelle eine frühere Domainvalidierung wiederverwenden darf, wird kürzer; ab 2029 sind es 10 Tage. Manche Stellen setzen die Grenze einen Tag tiefer an: DigiCert zum Beispiel stellt seit dem 24. Februar 2026 höchstens 199 Tage aus.

Ein Zertifikat, das am 15. März 2026 mit maximaler Laufzeit ausgestellt wurde, läuft Anfang Oktober 2026 ab. Wer im Frühling ein kostenpflichtiges Zertifikat von Hand erneuert hat, steht also in diesen Wochen vor der ersten halbjährlichen Erneuerung.

Let's Encrypt: 64 Tage ab 10. Februar 2027

Viele Websites nutzen die kostenlosen Zertifikate von Let's Encrypt, bisher 90 Tage gültig. Am 7. Oktober 2026 hat Let's Encrypt bestätigt, dass es ab 10. Februar 2027 standardmässig Zertifikate mit 64 Tagen ausstellt; in der Testumgebung (Staging) ist diese Laufzeit seit dem 14. Oktober 2026 aktiv. 2028 folgen 45 Tage, wie im im Dezember 2025 veröffentlichten Zeitplan vorgesehen. Das optionale Profil tlsserver stellt bereits seit Mai 2026 Zertifikate mit 45 Tagen aus.

Let's Encrypt nennt zwei praktische Punkte. Erstens: Unterstützt das Programm, das die Zertifikate erneuert (der ACME-Client), ARI (ACME Renewal Information), teilt die Stelle selbst mit, wann erneuert werden soll. Zweitens: Wer die Erneuerung auf eine feste Anzahl Tage vor Ablauf eingestellt hat, etwa 60, 80 oder 83, sollte auf eine Erneuerung nach rund zwei Dritteln der Laufzeit umstellen. Zudem verschickt Let's Encrypt seit dem 4. Juni 2025 keine E-Mails mehr zum bevorstehenden Ablauf: Wenn niemand kontrolliert, kommt der erste Hinweis womöglich von einem Kunden.

Wo in einem KMU Zertifikate stecken

Die Website ist der sichtbarste Fall, aber nicht der einzige. Ein öffentliches TLS-Zertifikat kann auch genutzt werden für:

• Mailserver (Empfang und Versand), Webmail und gemeinsame Kalender;
• Unternehmenssoftware, CRM und Kundenportale, die aus dem Internet erreichbar sind;
• Fernzugriff, Firewalls, NAS und Werkzeuge für den Dateiaustausch;
• APIs, die von Apps, Onlineshops oder Zahlungsanbietern genutzt werden;
• vergessene Subdomains: alte Landingpages, Testumgebungen, frühere Kampagnen.

Die Verkürzung betrifft Zertifikate öffentlicher Stellen, denen die Browser vertrauen. Zertifikate einer internen PKI folgen den Regeln, die sich das Unternehmen selbst gibt, aber auch sie laufen ab und gehören ins gleiche Inventar.

Was jetzt zu prüfen ist

1. Inventar. Domains und Subdomains mit Zertifikat erfassen: wer es ausgestellt hat, wann es abläuft und auf welchen Systemen es installiert ist.
2. Zuständigkeit. Für jedes Zertifikat klären, wer es erneuert: Hosting, Agentur, Softwarelieferant oder eine Mitarbeiterin bzw. ein Mitarbeiter. Fragen Sie schriftlich nach, wenn es unklar ist.
3. Durchgehende Automatisierung. Die Erneuerung muss vollständig automatisch laufen: Ausstellung, Installation auf dem Server und Neustart oder Neuladen des Dienstes. Ein neues Zertifikat, das in einem Ordner liegt, nützt nichts.
4. Intervalle. Prüfen, dass die Erneuerung nicht an eine feste Anzahl Tage gebunden ist, die für 90-Tage-Zertifikate gedacht war, und ARI nutzen, wo der Client es unterstützt.
5. Kostenpflichtige Zertifikate. Auch mit einem mehrjährigen Abonnement muss das Zertifikat bei jedem Ablauf neu ausgestellt und installiert werden. Fragen Sie den Anbieter, ob er die automatische Erneuerung über ACME anbietet.
6. Unabhängige Überwachung. Eine externe Kontrolle, die rechtzeitig warnt, wenn ein Zertifikat bald abläuft oder nicht erneuert wurde, mit Empfängern, die die Meldungen auch lesen.
7. Vor 2027 testen. Wer Let's Encrypt nutzt, kann die 64-Tage-Zertifikate bereits jetzt in der Staging-Umgebung ausprobieren.

Warum es auch um Sicherheit geht

Eine kürzere Laufzeit begrenzt die Zeit, in der ein kompromittiertes oder fehlerhaft ausgestelltes Zertifikat nutzbar bleibt; das ist die Begründung von Let's Encrypt und dem CA/Browser Forum. Dazu kommt ein weniger offensichtlicher Effekt: Zeigt eine Website oft Zertifikatswarnungen, gewöhnen sich Kundschaft und Mitarbeitende daran, sie zu ignorieren, und eine Warnung, die auf ein echtes Problem hinweist, ist schwerer zu erkennen.

Wer über Formulare, Kundenbereiche oder E-Mail Personendaten bearbeitet, muss nach dem Bundesgesetz über den Datenschutz (Art. 8 DSG) angemessene technische und organisatorische Massnahmen für die Datensicherheit treffen. Eine verschlüsselte Verbindung, die ohne Unterbruch funktioniert, gehört dazu. Ein abgelaufenes Zertifikat ist an sich kein Cyberangriff, die Erneuerung sollte aber wie andere Sicherheitsaufgaben behandelt werden, mit einer zuständigen Person und einer Kontrolle.

Update zu den PHP-Lücken

Die beiden PHP-Schwachstellen CVE-2026-109618 und CVE-2026-109619, vom BACS am 21. Oktober 2026 gemeldet und in unserem Artikel vom 22. Oktober behandelt, werden inzwischen aktiv ausgenutzt: Am 26. Oktober 2026 hat die US-Behörde CISA sie in ihren Katalog ausgenutzter Schwachstellen aufgenommen, wie in ihrer aktualisierten Warnung festgehalten. Wer PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder die entsprechende Korrektur des eigenen Anbieters noch nicht installiert hat, sollte dies ohne Verzug tun und danach die Systeme auf Auffälligkeiten prüfen.

Häufige Fragen

Funktioniert mein aktuelles Zertifikat am 15. März 2027 nicht mehr?

Doch. Es bleibt bis zu seinem Ablauf gültig. Ab diesem Datum ändert sich nur die maximale Laufzeit neu ausgestellter oder erneuerter Zertifikate.

Ich nutze Let's Encrypt mit automatischer Erneuerung: Muss ich etwas tun?

Laut Let's Encrypt meist nicht. Zu prüfen ist aber, dass die Erneuerung nicht auf ein festes Intervall eingestellt ist, dass der Dienst danach neu geladen wird und dass jemand eine Meldung erhält, wenn die Erneuerung scheitert.

Meine Website wird vom Hosting betreut: Ist das mein Problem?

Bei der Website oft nicht. E-Mail, Unternehmenssoftware, NAS oder Fernzugriff können aber Zertifikate haben, die andere Anbieter verwalten, oder niemand. Es lohnt sich, bei allen nachzufragen, wie die Erneuerung läuft.

Soll ich jetzt noch ein 200-Tage-Zertifikat kaufen?

Das verschiebt das Problem um einige Monate, löst es aber nicht. Mit 100 Tagen 2027 und 47 Tagen 2029 ist die Automatisierung der gangbare Weg.

Unser Ansatz

ElaraTeq Sagl entwickelt und betreibt Websites und Anwendungen für KMU und öffentliche Stellen im Tessin, mit Hosting in der Schweiz und automatischer Erneuerung der Zertifikate. Wir können Ihre Zertifikate inventarisieren, Erneuerung und Überwachung einrichten und von Dritten betreute Systeme prüfen. Für die laufende Betreuung gibt es den im Artikel über Orbit vorgestellten Service; für WordPress-Websites siehe auch die Prüfpunkte vom Oktober. Für eine Prüfung können Sie uns kontaktieren.

Quellen

• CA/Browser Forum, Ballot SC081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods, April 2025
• DigiCert, Moving to 199-day validity for public TLS certificates
• Let's Encrypt, 64-Day Certificate Lifetimes Coming Feb 2027, 7. Oktober 2026; Decreasing Certificate Lifetimes to 45 Days, 2. Dezember 2025; Profiles; Ending Support for Expiration Notification Emails, 22. Januar 2025
• Fedlex, Bundesgesetz über den Datenschutz (DSG), SR 235.1, Art. 8
• BACS, Kritische Schwachstellen in PHP: Sicherheitsupdates sofort einspielen, 21. Oktober 2026
• CISA, Critical Vulnerabilities in PHP Require Immediate Patching, aktualisiert am 26. Oktober 2026