TLS-Zertifikate automatisieren wird 2026 zur Pflichtaufgabe für den zuverlässigen IT-Betrieb. Seit dem 15. März 2026 dürfen neu ausgestellte öffentlich vertrauenswürdige TLS-Serverzertifikate maximal 200 Tage gültig sein. Ab dem 15. März 2027 sinkt der Wert auf 100 Tage, ab dem 15. März 2029 auf 47 Tage. Wer Zertifikate manuell beantragt, exportiert und installiert, erhöht damit das Risiko von Ablauffehlern.
Warum TLS-Zertifikate 2026 kürzer gültig sind
Kürzere Laufzeiten sollen das Zeitfenster begrenzen, in dem veraltete Identitäts- und Schlüsselparameter weiterverwendet werden. Für Unternehmen bedeutet dies häufigere Erneuerungen, mehr Domain-Validierungen und den Bedarf an wiederholbaren, überwachten Abläufen.
Öffentliche Zertifikate: der Zeitplan
| Ab Datum | Maximale Gültigkeit |
|---|---|
| 15.03.2026 | 200 Tage |
| 15.03.2027 | 100 Tage |
| 15.03.2029 | 47 Tage |
Diese Vorgaben betreffen öffentlich vertrauenswürdige TLS-Zertifikate; unternehmensinterne PKI-Zertifikate folgen nicht automatisch demselben Zeitplan.
Was ist der Unterschied zwischen ACME und einer Zertifikats-API?
ACME ist ein standardisiertes Protokoll für die automatisierte Zertifikatsausstellung und -erneuerung. Ein ACME-Client kommuniziert mit der Zertifizierungsstelle und belegt die Kontrolle über eine Domain, beispielsweise per DNS-01 oder HTTP-01. Anbieterbezogene APIs können ergänzend Bestellungen, Inventar, Freigaben und Lebenszyklusverwaltung ermöglichen. Die Wahl hängt von Zertifikatstyp, CA, Infrastruktur und Richtlinien ab.
So funktioniert eine sichere Zertifikatsautomatisierung
1. Zertifikate inventarisieren
Erfassen Sie FQDN, Dienst, verantwortliches Team, CA, Ablaufdatum, Private-Key-Speicherort und Bereitstellungspfad. Vergessen Sie Load Balancer, Reverse Proxies, Kubernetes-Ingress, VPN-Gateways und interne Appliances nicht.
2. Domainprüfung automatisieren
Für verteilte Infrastruktur eignet sich häufig DNS-01, sofern DNS-Zugang minimal berechtigt und sicher gespeichert ist. Vermeiden Sie breit privilegierte DNS-API-Tokens.
3. Schlüsselmaterial schützen
Private Keys sollten möglichst am Zielsystem oder in einem kontrollierten Secrets-System erzeugt und gespeichert werden. Schlüssel niemals in Git-Repositories, normalen Logdateien oder unverschlüsselten Tickets hinterlegen.
4. Deployment und Reload automatisieren
Nach Ausstellung muss das neue Zertifikat auf dem richtigen Dienst landen. Dazu gehören die vollständige Zertifikatskette, passende Schlüsselzuordnung, ein kontrollierter Reload und ein Rollback-Pfad.
5. Verlängerung unabhängig überwachen
Prüfen Sie nicht nur, ob der ACME-Job erfolgreich war. Kontrollieren Sie aktiv, welches Zertifikat der öffentlich erreichbare Endpunkt tatsächlich ausliefert, und alarmieren Sie bei knappen Restlaufzeiten.
Beispiel eines robusten Workflows
Inventar → Renewal-Auftrag → Domainvalidierung → Ausstellung → Deployment → Health Check → Audit-Log. Jeder Schritt braucht einen nachvollziehbaren Status und Wiederholungsstrategie. Bei mehreren Webservern oder Reverse Proxies muss sichergestellt sein, dass alle Instanzen das neue Zertifikat verwenden.
Typische Fehler beim Renewal
Ein häufiges Problem ist eine erfolgreiche Ausstellung bei fehlgeschlagenem Deployment. Weitere Fehler entstehen durch abgelaufene API-Tokens, nicht erreichbare DNS-Provider, fehlerhafte Uhrzeit, unvollständige Chains und Zertifikate, die trotz Erneuerung nicht aktiv geschaltet werden.
Häufige Fragen zu TLS-Zertifikaten
Muss jedes TLS-Zertifikat alle 200 Tage erneuert werden?
Die 200-Tage-Grenze gilt für neu ausgestellte öffentlich vertrauenswürdige TLS-Serverzertifikate ab dem Stichtag; bestehende Zertifikate ändern ihre Laufzeit dadurch nicht rückwirkend.
Kann eine API das komplette Zertifikatsmanagement übernehmen?
Nur wenn Inventar, Validierung, Ausstellung, Deployment, Monitoring und Berechtigungen durchgängig abgedeckt sind. Eine reine Bestell-API löst das Deployment-Problem nicht.
Ist ACME auch für Unternehmen sinnvoll?
Ja, insbesondere für standardisierte Web- und Cloud-Workloads. Bei Spezialgeräten muss die Integration gesondert geprüft werden.
Fazit: Wer TLS-Zertifikate automatisieren will, sollte 2026 nicht erst bei der Bestellung beginnen, sondern den gesamten Lebenszyklus inklusive unabhängiger Prüfung absichern.
Quellen: CA/Browser Forum Baseline Requirements · RFC 8555 – ACME · Post-Quantum Cryptography bei GORTNET.