47-tägige Gültigkeit des Zertifikats: Die vollständige Erklärung und Checkliste zur Vorbereitung

Die 47-tägige Gültigkeitsdauer des Zertifikats ist die letzte Stufe eines vom CA/Browser Forum vorgeschriebenen Zeitplans, Abstimmung SC-081v3, der die maximale Lebensdauer öffentlich vertrauenswürdiger TLS-Zertifikate von derzeit 398 Tagen auf 47 Tage bis zum 15. März 2029 reduziert, und zwar in Zwischenschritten von 200 Tagen und 100 Tagen.

Die Gültigkeitsdauer von Zertifikaten auf 47 Tage ist der Endpunkt von Abstimmung SC-081v3, der schrittweisen Reduzierung der maximalen Lebensdauer öffentlicher TLS-Zertifikate durch das CA/Browser Forum . Ab dem 15. März 2026 sinkt die Gültigkeit auf 200 Tage, ab dem 15. März 2027 auf 100 Tage und ab dem 15. März 2029 schließlich auf 47 Tage. Jedes nach einem dieser Stichtage ausgestellte öffentlich vertrauenswürdige Zertifikat muss diese Vorgaben erfüllen, wodurch die automatische Verlängerung obligatorisch und nicht mehr optional ist.

Wichtige Erkenntnisse

• 47 Tage ist der letzte Schritt in einem dreistufigen Zeitplan gemäß Wahlzettel SC-081v3: 200 Tage ab dem 15. März 2026, 100 Tage ab dem 15. März 2027 und 47 Tage ab dem 15. März 2029.
• Dies ersetzt die frühere, weniger präzise Regelung der „90-Tage-Zertifikate“; das CA/Browser Forum hat diesen gestaffelten Zeitplan anstelle einer pauschalen 90-Tage-Regel eingeführt.
• Bei einer maximalen Gültigkeitsdauer von 47 Tagen muss ein Zertifikat pro Domain etwa 7 bis 8 Mal im Jahr erneuert werden, was eine manuelle Erneuerung in einem nennenswerten Umfang betrieblich unmöglich macht.
• Die Wiederverwendung von Domain Control Validation (DCV) wird zusammen mit der Gültigkeit von Zertifikaten ebenfalls verkürzt, was bedeutet, dass Organisationen die Domaininhaberschaft auch häufiger neu validieren müssen.
• Die Einführung des ACME-Protokolls (Automated Certificate Management Environment) in Verbindung mit einer zentralisierten Zertifikatsverwaltungsplattform ist der praktikable Weg zur Einhaltung der Vorschriften in jeder Phase des Zeitplans.

Was ist der vollständige Gültigkeitsplan für SC-081v3?

Die Abstimmung SC-081v3 des CA/Browser Forums legt die maximale Gültigkeitsdauer öffentlich vertrauenswürdiger TLS/SSL-Zertifikate in drei festen Stufen fest. Jede Stufe tritt zu einem bestimmten Datum in Kraft und gilt für Zertifikate, die ab diesem Datum ausgestellt werden; früher ausgestellte Zertifikate behalten ihre ursprüngliche Gültigkeit bis zu ihrem Ablauf oder ihrer Ersetzung.

Datum des Inkrafttretens	Maximale Gültigkeitsdauer des Zertifikats	Ungefähre Anzahl der Verlängerungen pro Jahr
Heute (vor März 2026)	398 Tage	~1
15. März 2026	200 Tage	~2
15. März 2027	100 Tage	~4
15. März 2029	47 Tage	~ 7-8

Warum nimmt die Gültigkeit von Zertifikaten ab?

Der Hauptgrund liegt in der Angriffsdauer. Ein kompromittierter privater Schlüssel oder ein fehlerhaft ausgestelltes Zertifikat bleibt so lange vertrauenswürdig und somit angreifbar, wie das Zertifikat gültig ist. Eine Verkürzung der Gültigkeitsdauer verringert dieses Zeitfenster und zwingt die Branche zu einer automatisierten Ausstellung und Erneuerung. Dies beschleunigt auch die Einführung von Algorithmusaktualisierungen, einschließlich des letztendlichen Übergangs zu Post-Quanten-Kryptographie, für alle Zertifikate.

War das nicht Googles 90-Tage-Zertifikatsantrag?

Google hatte ursprünglich eine pauschale maximale Gültigkeitsdauer von 90 Tagen für 2023 vorgeschlagen. Das CA/Browser Forum übernahm diesen Wert jedoch nicht. Stattdessen verabschiedete es den Wahlvorschlag SC-081v3 mit dem oben genannten gestaffelten Ablaufplan von 200/100/47 Tagen. Dieser sieht zwar eine kürzere Gültigkeitsdauer als Googles ursprünglicher Vorschlag vor, gibt der Branche aber mehr Zeit, dieses Ziel schrittweise zu erreichen. Jegliche Inhalte, interne Dokumentationen oder gespeicherte Artikel, die noch eine kommende „90-Tage-Zertifikatsregel“ beschreiben, beziehen sich auf einen Vorschlag, der durch diesen neuen Ablaufplan ersetzt wurde.

Was ändert sich sonst noch neben der Gültigkeit des Zertifikats?

• Validierung der Domänensteuerung (DCV) Wiederverwendungszeitraum: Die maximale Zeitspanne, in der eine Zertifizierungsstelle eine zuvor erteilte Domainvalidierung ohne erneute Überprüfung wiederverwenden kann, verkürzt sich ebenfalls. Das bedeutet, dass die Domaininhaberschaft häufiger neu bestätigt werden muss und nicht nur das Zertifikat selbst neu ausgestellt werden muss.
• Ausstellungsbestätigung aus mehreren Perspektiven: Zertifizierungsstellen validieren die Domänenkontrolle zunehmend aus verschiedenen Netzwerkperspektiven, bevor sie Lizenzen ausstellen, wodurch das Risiko routingbasierter Validierungsangriffe verringert wird.
• Kurzlebige Zertifikatsprofile: Einige Zertifizierungsstellen bieten jetzt Zertifikatsprofile an, die speziell für eine Lebensdauer von unter 10 Tagen entwickelt wurden. Dies stellt eine noch aggressivere Option im Vorfeld der Frist 2029 dar und zielt auf hochautomatisierte Umgebungen ab.

Checkliste zur Vorbereitung auf die Zertifizierung in 47 Tagen

Nutzen Sie diese Checkliste, um die Bereitschaft für jede Phase des SC-081v3-Zeitplans zu beurteilen, beginnend mit dem Stichtag im März 2026.

1. Erstellen Sie ein Verzeichnis aller von Ihnen verwendeten Zertifikate, einschließlich solcher, die außerhalb des Sichtfelds der zentralen IT-Abteilung liegen, wie z. B. in Load Balancern, IoT-Geräten und internen Tools eingebettete Zertifikate.
2. Ermitteln Sie, welche Zertifikate heute manuell ausgestellt, erneuert und bereitgestellt werden, da diese im Zuge eines 47-Tage-Zyklus als erste ungültig werden.
3. Setzen Sie ACME-Clients auf Webservern, Load Balancern und Reverse-Proxys ein und stellen Sie sicher, dass jeder Client eine DNS-01- oder HTTP-01-Herausforderung ohne manuelles Eingreifen bewältigen kann.
4. Die Zertifikatsverwaltung und -erneuerung sollte zentral auf einer einzigen Plattform erfolgen, anstatt sie über Teams, Tabellenkalkulationen und Ad-hoc-Skripte zu verteilen.
5. Automatisieren Sie nicht nur die Ausstellung, sondern auch die Bereitstellung: Stellen Sie sicher, dass erneuerte Zertifikate ohne manuellen Neulade- oder Neustartschritt an die Systeme übertragen werden, die sie verwenden.
6. Richten Sie Benachrichtigungen über Ablauf und fehlgeschlagene Verlängerungen mit genügend Vorlaufzeit ein, um eine fehlgeschlagene automatische Verlängerung zu beheben, bevor das alte Zertifikat abläuft.
7. Testen Sie den gesamten automatisierten Zyklus von Anfang bis Ende rechtzeitig vor jedem SC-081v3-Termin, anstatt bis zum Stichtag zu warten und dann eine Lücke zu entdecken.
8. Überprüfen Sie die Prozesse zur Domänenvalidierung, da verkürzte DCV-Wiederverwendungsfenster bedeuten, dass die Domänenkontrolle unabhängig von der Zertifikatsneuausstellung häufiger neu bestätigt werden muss.
9. Erstellen Sie einen dokumentierten Notfallplan für den Fall eines kompromittierten oder falsch ausgestellten Zertifikats, einschließlich der Festlegung, wer das Zertifikat außerhalb des normalen Erneuerungszyklus widerrufen und neu ausstellen kann.
10. Weisen Sie eine klare Zuständigkeit für das Zertifikatslebenszyklusmanagement zu, da ein 47-tägiger Zyklus, der ohne Automatisierung und ohne Verantwortlichen abläuft, die häufigste Ursache für Ausfälle ist.

Was passiert, wenn eine Organisation nicht bereit ist?

Die manuelle Zertifikatsverwaltung ist für einen 47-Tage-Zyklus nicht skalierbar. Bei dieser Gültigkeitsdauer benötigt eine Domain etwa sieben bis acht Verlängerungen pro Jahr. Jeder manuelle Schritt – sei es die Beantragung des Zertifikats, die Validierung der Domainkontrolle oder die Bereitstellung im Produktivbetrieb – stellt eine wiederkehrende Fehlerquelle dar. Organisationen, die vor jeder SC-081v3-Frist keine Automatisierung implementiert haben, tragen ein deutlich höheres Ausfallrisiko, da eine versäumte Verlängerung nun wesentlich häufiger vorkommt als bei einem 398-Tage-Zertifikat.

Wie Verschlüsselungsberatung hilft

Wie Verschlüsselungsberatung hilft: CertSecure Manager automatisiert die Zertifikatserkennung, die ACME-basierte Ausstellung und Erneuerung sowie die Bereitstellung für Ihre gesamte Zertifikatslandschaft. So ist Ihr Unternehmen ohne manuelle Eingriffe für die 200-Tage-, 100-Tage- und 47-Tage-Phasen des SC-081v3-Zeitplans gerüstet. Die Lösung basiert auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Wann tritt die 47-tägige Gültigkeitsdauer des Zertifikats in Kraft?

Die maximale Frist von 47 Tagen tritt am 15. März 2029 als letzte Phase der Abstimmung SC-081v3 in Kraft. Sie folgt auf zwei frühere Verkürzungen: 200 Tage ab dem 15. März 2026 und 100 Tage ab dem 15. März 2027.

Entspricht eine Gültigkeitsdauer von 47 Tagen der von Google vorgeschlagenen 90-tägigen Zertifikatsdauer?

Nein. Google schlug 2023 eine pauschale Höchstdauer von 90 Tagen vor, aber das CA/Browser Forum beschloss stattdessen im Rahmen der Abstimmung SC-081v3 einen anderen, gestaffelten Zeitplan, der bis März 2029 über Zwischenstufen von 200 Tagen und 100 Tagen 47 Tage erreichen soll.

Wie oft muss ein Zertifikat gemäß dem neuen Zeitplan pro Jahr erneuert werden?

Bei einer maximalen Gültigkeitsdauer von 47 Tagen benötigt ein Zertifikat pro Domain etwa 7 bis 8 Verlängerungen pro Jahr, im Vergleich zu etwa 1 Verlängerung pro Jahr bei der heutigen maximalen Gültigkeitsdauer von 398 Tagen.

Was ist der wichtigste Schritt zur Vorbereitung auf eine verkürzte Gültigkeitsdauer des Zertifikats?

Automatisieren Sie den gesamten Lebenszyklus, nicht nur die Ausstellung: Discovery, DCV, Ausstellung, Bereitstellung und Verlängerung müssen alle ohne manuelle Schritte ablaufen, da die manuelle Bearbeitung an irgendeiner Stelle dieser Kette bei einem 47-Tage-Zyklus zu einem wiederkehrenden Fehlerpunkt wird.

Ändert sich die Wiederverwendung von DCV-Zertifikaten mit deren Gültigkeitsdauer?

Ja. Die maximale Zeitspanne, in der eine Zertifizierungsstelle eine frühere Domänenvalidierung ohne erneute Überprüfung wiederverwenden kann, verkürzt sich parallel zur Zertifikatsgültigkeit. Daher müssen Organisationen eine häufigere erneute Bestätigung der Domänenkontrolle einplanen, unabhängig von der eigentlichen Neuausstellung des Zertifikats.

Bereiten Sie sich auf 47-Tage-Zertifikate vor

Gehen Sie den nächsten Schritt: CertSecure Manager automatisiert die Zertifikatserkennung, die ACME-basierte Erneuerung und die Bereitstellung, sodass Sie für jede Phase des SC-081v3-Zeitplans, von 200 Tagen bis hinunter zu 47 Tagen, bestens gerüstet sind. Machen Sie sich bereit für 47-Tage-Zertifikate.