Das Zertifikat, das keiner erneuert hat
Ein abgelaufenes TLS-Zertifikat sperrt einen Dienst für jeden Browser, laut und sofort. Bisher ein überschaubares Ärgernis, weil ein Zertifikat gut ein Jahr hielt. Doch das CA/Browser-Forum verkürzt die maximale Laufzeit stufenweise von 398 auf 47 Tage. Warum manuelle Zertifikatspflege damit an ihr Ende kommt und was an ihre Stelle tritt.
Ein abgelaufenes TLS-Zertifikat legt keinen Server lahm. Es sperrt ihn nur für jeden Browser, der ihn aufruft, mit einer roten Warnseite, die niemand übersieht. Der Ausfall fällt sofort auf, und die Ursache ist fast immer banal: eine Erinnerung im falschen Kalender, ein Kollege im Urlaub, eine Liste, die niemand mehr pflegt.
Die Zeit, die man dafür hatte, schrumpft
Bisher war das ein überschaubares Ärgernis, weil ein Zertifikat gut ein Jahr hielt. Das ändert sich gerade grundlegend. Das CA/Browser-Forum, in dem unter anderem Apple, Google, Mozilla und Microsoft die Regeln für das Vertrauen der Browser setzen, hat 2025 einen Fahrplan beschlossen: Die maximale Laufzeit öffentlicher TLS-Zertifikate sinkt von 398 Tagen in Stufen auf 47. Die erste Stufe gilt bereits, seit März 2026 sind es 200 Tage, ab 2027 dann 100, ab 2029 schließlich 47. Was man einmal im Jahr von Hand erledigte, kehrt bald mehrmals im Jahr wieder.
Von Hand ist das nicht mehr zu führen
Bei einer Handvoll Zertifikate mag ein Kalendereintrag noch reichen. Die Wirklichkeit sieht anders aus: Zertifikate stecken nicht nur auf der Hauptdomain, sondern auf internen Diensten, Test-Umgebungen, Load-Balancern und Geräten, die vor Jahren jemand eingerichtet hat. Der gefährliche Ablauf ist nie der, den man kennt, sondern der, den man vergessen hat. Je kürzer die Laufzeiten, desto häufiger stößt man auf genau diese vergessenen Zertifikate, und desto weniger verzeiht ein Prozess, der auf Handarbeit beruht.
Wie isidaten das Zertifikatsmanagement führt
Das Zertifikatsmanagement in isidaten führt alle TLS-Zertifikate in einem zentralen Inventar, mit Lifecycle-Events, Erneuerungs-Workflows und Provider-Verwaltung. Zusammentragen müssen Sie die Zertifikate nicht von Hand: Was das Attack Surface Management auf Ihrer Außenfläche findet, wird direkt übernommen, auch die, an die niemand mehr gedacht hat. Die Ablaufwarnung ist je Zertifikat konfigurierbar und kennt den Fahrplan des CA/Browser-Forums bereits, mit gestaffelten Schwellen entlang der 200-, 100- und 47-Tage-Stufen. So wird aus dem stillen Risiko ein überwachter Vorgang.
Mehr zeigt die Zertifikatsmanagement-Modulseite. Wie die Zertifikate von der Angriffsfläche hereinkommen, führt das Attack Surface Management auf.
Fragen zu dieser Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die Funktion gern in einer Demo.