Googles 90-Tage-TLS-Zertifikatsvorschlag: Was geschah wirklich?

Googles Vorschlag für ein 90-Tage-TLS-Zertifikat war ein Vorstoß aus dem Jahr 2023, die Gültigkeit öffentlicher TLS-Zertifikate auf 90 Tage zu verkürzen; das CA/Browser Forum verabschiedete schließlich einen anderen, gestaffelten Zeitplan unter dem Abstimmungsdokument SC-081v3, der die Gültigkeit bis März 2026 auf 200 Tage, bis März 2027 auf 100 Tage und bis März 2029 auf 47 Tage reduzierte.

Google hatte ursprünglich vorgeschlagen, die maximale Gültigkeitsdauer von TLS-Zertifikaten von 398 auf 90 Tage zu verkürzen, um die Automatisierung zu fördern und die Gefährdung durch kompromittierte Schlüssel zu begrenzen. Das CA/Browser Forum verabschiedete stattdessen den Vorschlag SC-081v3, der die Gültigkeitsdauer schrittweise auf 200 Tage im März 2026, 100 Tage im März 2027 und 47 Tage im März 2029 reduziert – ein längerer Zeitraum als Googles ursprünglicher Vorschlag.

Wichtige Erkenntnisse

• Googles ursprünglicher Vorschlag aus dem Jahr 2023 sah eine pauschale maximale Gültigkeitsdauer von TLS-Zertifikaten von 90 Tagen vor, gegenüber dem im Jahr 2020 festgelegten Limit von 398 Tagen.
• Das CA/Browser Forum hat im Rahmen der Abstimmung SC-081v3 ein anderes, gestaffeltes Ergebnis beschlossen: 200 Tage ab März 2026, 100 Tage ab März 2027 und 47 Tage ab März 2029.
• Die Kernmotivation wurde auch in den gewählten Zeitplan übernommen: Eine kürzere Gültigkeitsdauer begrenzt das Zeitfenster für die Offenlegung eines kompromittierten privaten Schlüssels und erzwingt die Automatisierung.
• Die von Let's Encrypt bekannt gemachten ACME-Tools (Automated Certificate Management Environment) sind heute der Standardmechanismus, um verkürzte Erneuerungszyklen zu bewältigen.
• Organisationen ohne automatisiertes Zertifikatslebenszyklusmanagement sind mit einem deutlich höheren Ausfallrisiko konfrontiert, wenn der SC-081v3-Zeitplan schrittweise eingeführt wird.

Was hatte Google ursprünglich vorgeschlagen?

Im Jahr 2023 schlug Google vor, die maximale Gültigkeitsdauer öffentlicher TLS-Zertifikate von 398 Tagen auf 90 Tage zu reduzieren. Google argumentierte, dass kürzere Gültigkeitsdauern die Automatisierung erzwingen, das Schadensfenster durch einen kompromittierten Schlüssel begrenzen und die Einführung neuerer Sicherheitspraktiken beschleunigen würden, einschließlich der Vorbereitung auf die Post-Quanten-Kryptographie.

Was hat das CA/Browser-Forum tatsächlich beschlossen?

Das CA/Browser Forum übernahm nicht Googles pauschale 90-Tage-Frist. Stattdessen verabschiedete es den Wahlvorschlag SC-081v3, einen Stufenplan, der Organisationen mehr Zeit für den Übergang einräumt als Googles ursprünglicher Vorschlag und dennoch ein kürzeres Endergebnis als 90 Tage ermöglicht.

Datum des Inkrafttretens	Maximale Gültigkeit
15. März 2026	200 Tage
15. März 2027	100 Tage
15. März 2029	47 Tage

Dies setzt einen längerfristigen Trend fort: Das CA/Browser Forum hatte die maximale Gültigkeitsdauer zuvor von 825 Tagen auf 398 Tage verkürzt, gültig ab September 2020. Der Zeitplan von SC-081v3 verlängert diese Entwicklung auf einen Endpunkt von 47 Tagen, anstatt bei 90 Tagen zu stoppen.

Warum hat sich die Branche unabhängig von der genauen Zahl in Richtung Automatisierung bewegt?

• Verkürztes Zeitfenster für die Offenlegung von Informationen: Eine kürzere Gültigkeitsdauer begrenzt, wie lange ein kompromittierter Schlüssel oder ein falsch ausgestelltes Zertifikat als vertrauenswürdig gilt.
• Schnellere Einführung neuer Kryptographie: Häufige Erneuerungszyklen erleichtern die Einführung aktualisierter Algorithmen, einschließlich Post-Quanten-Kandidaten, im gesamten Zertifikatsbestand.
• Weniger Ausfälle aufgrund abgelaufener Zertifikate: Die automatisierte Verlängerung über ACME beseitigt die häufigste Ursache für zertifikatsbezogene Ausfallzeiten, nämlich eine versäumte manuelle Verlängerung.

Das Automated Certificate Management Environment (ACME)-Protokoll, das durch Let's Encrypt weit verbreitet ist, automatisiert die Ausstellung, Verlängerung und den Widerruf von Zertifikaten und ist der praktische Mechanismus, auf den sich die meisten Organisationen heute verlassen, um die Gültigkeitsdauer von entweder 100 Tagen oder 47 Tagen ohne manuelles Eingreifen zu erfüllen.

Wie sollten sich Organisationen auf den SC-081v3-Zeitplan vorbereiten?

1. Führen Sie eine vollständige Zertifikatsprüfung durch, um jedes aktuell verwendete Zertifikat zu ermitteln, einschließlich derjenigen, die außerhalb des Sichtfelds der zentralen IT-Abteilung liegen.
2. Setzen Sie ACME-Agenten auf Webservern, Load Balancern und Reverse-Proxys ein, um die Ausstellung und Verlängerung von Lizenzen zu automatisieren.
3. Zentralisieren Sie Überwachung und Alarmierung, damit ungewöhnliches Zertifikatsverhalten oder ein bevorstehender Ablauf erkannt werden, bevor es zu einem Zwischenfall kommt.
4. Skalieren Sie die Automatisierung, um jede Umgebung abzudecken, von Cloud-Workloads bis hin zu IoT-Geräten, wenn die 100-Tage- und dann die 47-Tage-Frist ansteht.

Wie Verschlüsselungsberatung hilft

CertSecure Manager zentralisiert die Zertifikatssuche, die ACME-basierte automatische Erneuerung und die Echtzeitüberwachung. So ist Ihr Unternehmen für jede Phase des SC-081v3-Zeitplans bestens gerüstet – ganz ohne manuellen Erneuerungsaufwand. Entspricht den Standards von ISO/IEC 27001:2022 und SOC 2.

Häufig gestellte Fragen

Ist Googles 90-Tage-Zertifikatsvorschlag tatsächlich in Kraft getreten?

Nein. Google schlug 2023 eine pauschale maximale Gültigkeitsdauer von 90 Tagen vor, aber das CA/Browser Forum verabschiedete stattdessen im Rahmen der Abstimmung SC-081v3 einen anderen, gestaffelten Zeitplan: 200 Tage ab März 2026, 100 Tage ab März 2027 und 47 Tage ab März 2029.

Wie lange ist ein öffentliches TLS-Zertifikat derzeit maximal gültig?

Gemäß dem Zeitplan SC-081v3 beträgt die maximale Gültigkeitsdauer 200 Tage ab dem 15. März 2026, sinkt auf 100 Tage ab dem 15. März 2027 und erreicht 47 Tage ab dem 15. März 2029.

Warum hat sich die Branche von der pauschalen 90-Tage-Regel verabschiedet?

Der gestaffelte Zeitplan für SC-081v3 gibt Zertifizierungsstellen und großen Unternehmen mehr Zeit, die Automatisierung auszubauen, bevor sie einen 47-Tage-Endpunkt erreichen, anstatt einen abrupten Sprung direkt zu 90 Tagen zu erzwingen, was nach Ansicht vieler Organisationen ohne ausreichende Vorlaufzeit zu betrieblichen Störungen führen würde.

Welches Instrument hilft Organisationen dabei, kürzere Anforderungen an die Zertifikatsgültigkeit zu erfüllen?

Das Automated Certificate Management Environment (ACME)-Protokoll, das durch Let's Encrypt weit verbreitet ist und von Plattformen wie CertSecure Manager unterstützt wird, automatisiert die Ausstellung, Verlängerung und den Widerruf von Zertifikaten und beseitigt so den manuellen Verlängerungsschritt, der bei kürzeren Gültigkeitsdauern unpraktisch ist.

Bereiten Sie sich auf den Zeitplan für das SC-081v3-Zertifikat vor.

Gehen Sie den nächsten Schritt
CertSecure Manager Die Software automatisiert die Zertifikatserkennung, die ACME-basierte Erneuerung und die Überwachung, sodass Sie für jede Phase des SC-081v3-Zeitplans, von 200 Tagen bis hinunter zu 47 Tagen, bestens gerüstet sind. Machen Sie sich bereit für 47-Tage-Zertifikate.