Let’s Encrypt: 64-Tage-Zertifikate ab Februar 2027 – das ist zu tun

Von /
Isometrische Szene zu 64-Tage-Zertifikaten: Webserver, Laptop und Warnschild mit Countdown-Anzeige

Let’s Encrypt stellt ab dem 10. Februar 2027 stan­dard­mä­ßig nur noch 64-Tage-Zertifikate aus, bisher sind es 90 Tage. Betroffen sind alle Betreiber, die Zertifikate der kosten­lo­sen Zertifizierungsstelle für Websites, Server und Schnittstellen nutzen. Zum Testen stellt die Staging-Umgebung die kürze­ren Zertifikate seit dem 14. Oktober 2026 aus.

Die Umstellung ist Teil einer bran­chen­wei­ten Entwicklung: Alle öffent­lich vertrau­ens­wür­di­gen Zertifizierungsstellen müssen die Laufzeiten ihrer TLS-Zertifikate bis 2029 schritt­weise verkür­zen. Wer Zertifikate heute noch von Hand erneu­ert, sollte die Zeit bis Februar für eine Bestandsaufnahme nutzen.

Was ändert sich wann?

Den Zeitplan hat Let’s Encrypt bereits im Dezember 2025 veröf­fent­licht und am 7. Oktober 2026 bekräf­tigt. Die wich­tigs­ten Termine:

  • 14. Oktober 2026: Let’s Encrypt beginnt, in seiner Staging-Umgebung für Tests 64-Tage-Zertifikate auszu­stel­len.
  • 10. Februar 2027: Das Standardprofil »clas­sic« wech­selt von 90 auf 64 Tage. Zugleich sinkt laut der Dezember-Ankündigung der Zeitraum, in dem eine erfolg­rei­che Domain-Validierung (Autorisierung) wieder­ver­wen­det werden darf, von 30 auf 10 Tage.
  • 11. Mai 2027: Voraussichtlich läuft das letzte 90-Tage-Zertifikat ab. Gültige Zertifikate werden nicht wider­ru­fen.
  • 16. Februar 2028: Die Standardlaufzeit sinkt auf 45 Tage, Autorisierungen dürfen dann nur noch sieben Stunden wieder­ver­wen­det werden.

Wer früher umstel­len möchte, kann im ACME-Client schon heute das Profil »tlsser­ver« mit 45 Tagen oder »short­li­ved« mit rund sechs Tagen wählen. Rate Limits, ACME-Endpunkte und Zertifikatsketten blei­ben nach Angaben von Let’s Encrypt unver­än­dert.

Den Rahmen setzt das CA/Browser Forum, in dem Zertifizierungsstellen und Browser-Hersteller die Regeln für öffent­li­che Zertifikate fest­le­gen. Nach dem Beschluss SC-081 vom April 2025 dürfen neu ausge­stellte Zertifikate seit dem 15. März 2026 höchs­tens 200 Tage gültig sein, ab dem 15. März 2027 höchs­tens 100 Tage und ab dem 15. März 2029 höchs­tens 47 Tage. Die Wiederverwendung von Domain-Validierungen schrumpft paral­lel bis 2029 auf 10 Tage. Das betrifft also auch gekaufte Zertifikate kommer­zi­el­ler Anbieter.

Was bedeutet das konkret?

Wo Zertifikate voll­au­to­ma­tisch per ACME erneu­ert und ausge­rollt werden, ändert sich wenig. Unterstützt der Client zusätz­lich ACME Renewal Information (ARI, stan­dar­di­siert als RFC 9773), teilt Let’s Encrypt ihm den passen­den Erneuerungszeitpunkt selbst mit. Kritisch sind dage­gen alle Stellen, an denen Handarbeit oder starre Skripte im Spiel sind:

  • Feste Intervalle: Ein Cronjob, der alle 60 Tage erneu­ert, lässt bei 64 Tagen kaum Puffer und reicht für 45 Tage nicht mehr. Let’s Encrypt rät, Skripte und Betriebshandbücher gezielt nach Werten wie 83, 80 oder 60 zu durch­su­chen.
  • Erneuert, aber nicht aktiv: Ein neues Zertifikat nützt nichts, wenn Webserver, Proxy oder Dienst es erst nach einem Neustart laden.
  • Manuell einge­spielte Zertifikate: Load Balancer, Firewalls, Appliances oder Keystores, in die Zertifikate per Hand impor­tiert werden, müssen künf­tig deut­lich häufi­ger gepflegt werden.
  • Verteilte Kopien: Wird ein Zertifikat auf mehrere Systeme kopiert, muss jede Kopie bei jeder Erneuerung mitwan­dern.

In Medien- und Publishing-Umgebungen betrifft das etwa die Weboberflächen von Redaktionssystemen und DAM, Schnittstellen zu Web-CMS und Dienstleistern sowie einge­hende Webhooks. Bei einem On-Premises betrie­be­nen WoodWing Studio Server wird HTTPS laut WoodWing-Dokumentation auf dem Webserver einge­rich­tet, also in IIS oder Apache. Ein dort hinter­leg­tes Zertifikat einer öffent­li­chen Zertifizierungsstelle unter­liegt densel­ben Laufzeitgrenzen. Zertifikate einer eige­nen, inter­nen CA fallen nicht unter die Regeln des CA/Browser Forums, setzen aber voraus, dass alle Clients dieser CA vertrauen.

Unsere Empfehlung: 64-Tage-Zertifikate automatisch erneuern

Die Umstellung im Februar ist ein guter Anlass, die Zertifikatsverwaltung grund­sätz­lich auf kurze Laufzeiten auszu­rich­ten. Spätestens mit 45 Tagen ab 2028 ist manu­elle Pflege kaum noch prak­ti­ka­bel. Wir empfeh­len vier Schritte:

  • Inventur: Erfassen Sie alle öffent­li­chen Zertifikate mit Hostname, ausstel­len­der Stelle, Ablaufdatum, Erneuerungsweg und Verantwortlichem, einschließ­lich Test- und Schnittstellensystemen.
  • Automatisierung: Stellen Sie Erneuerung, Verteilung und Neuladen auf ACME um, bevor­zugt mit einem ARI-fähi­gen Client. Wo das nicht geht, legen Sie die Erneuerung auf etwa zwei Drittel der Laufzeit.
  • Test: Prüfen Sie Ihre Automatisierung jetzt gegen die Staging-Umgebung von Let’s Encrypt statt erst im Produktivbetrieb.
  • Monitoring: Überwachen Sie die tatsäch­lich ausge­lie­fer­ten Zertifikate und ihre Ablaufdaten, nicht nur die Dateien auf dem Server, und lassen Sie sich bei fehl­ge­schla­ge­nen Erneuerungen alar­mie­ren.

Für Appliances und Systeme ohne ACME-Unterstützung soll­ten Sie beim Hersteller klären, ob eine Automatisierung oder eine Schnittstelle für den Zertifikatsimport verfüg­bar ist. Alternativ kann TLS zentral an einem auto­ma­ti­sier­ten Reverse Proxy oder Load Balancer enden, sodass weni­ger Systeme eigene Zertifikate benö­ti­gen. Beachten Sie dabei: Auch gekaufte Zertifikate, die ab dem 15. März 2027 ausge­stellt werden, dürfen höchs­tens 100 Tage gültig sein.

So unter­stützt aaroon

Betreiben Sie Ihre Publishing-Systeme mit ao.Cloud Solutions, erhal­ten Sie Managed Services mit proak­ti­vem 24/7‑Monitoring und regel­mä­ßi­gen Sicherheitsupdates. Für On-Premises-Installationen unter­stützt Sie unser Support bei Analyse, Einrichtung und Wartung.

Wer die Monate bis Februar für Inventur und Tests nutzt, ist damit zugleich auf die weite­ren Verkürzungen bis 2029 vorbe­rei­tet.

Quellen

Wie können wir Sie unter­stüt­zen?

Kostenloses Erst-Gespräch

Lassen Sie uns gemein­sam prüfen, wo in Ihren Kommunikations‑, Marketing- oder Unternehmensprozessen konkrete Effizienzpotenziale liegen.

– Henning Bartens, Co-CEO

Termin verein­ba­ren


Strukturiert. Ehrlich. Informativ.

Nach oben scrollen