Neue Code Signing-Regeln im Jahr 2025: So bleiben Sie mit CodeSign Secure immer einen Schritt voraus 

Einführung 

Code Signing ist zu einer Grundvoraussetzung für Softwareteams geworden, die nachweisen möchten, dass ihr Code sicher, unverfälscht und tatsächlich von ihnen stammt. Ob Desktop-Apps, mobile APKs oder Container – ein gültiges Code Signing-Zertifikat gibt Benutzern die Gewissheit, dass der Code nicht irgendwann verändert wurde. 

Kürzlich hat das CA/Browser Forum (die Gruppe, die die Regeln für digitale Zertifikate festlegt) eine große Änderung eingeführt: Gemäß der am 17. November 2025 verabschiedeten Abstimmung CSC-31 sinkt die maximale Gültigkeitsdauer für öffentlich vertrauenswürdige Code-Signaturzertifikate auf 460 Tage, also etwa 15 Monate, für alle Zertifikate, die am oder nach dem 1. März 2026 ausgestellt werden.

Kurz zusammengefasst: Die Abstimmung CSC-31 (verabschiedet am 17. November 2025, Code Signing Baseline Requirements v3.10.0) begrenzt die Gültigkeitsdauer öffentlich vertrauenswürdiger Code-Signatur-Zertifikate auf 460 Tage für solche, die ab dem 1. März 2026 ausgestellt wurden. Zertifikate, die vor diesem Datum ausgestellt wurden, behalten ihre ursprüngliche Gültigkeit bis zum Ablaufdatum. Eine bestätigte Kompromittierung des Schlüssels erfordert weiterhin den Widerruf der Zertifizierungsstelle innerhalb von 24 Stunden, unabhängig von der Gültigkeitsdauer.

Wichtige Erkenntnisse

• Der Stichtag ist der 1. März 2026 für Zertifikate, die an oder nach diesem Datum ausgestellt werden, nicht Februar 2025. Bitte bestätigen Sie dies direkt bei der zuständigen Behörde. die vom CA/Browser-Forum selbst veröffentlichten Anforderungen bevor eine Konformitätsbehauptung auf der Grundlage eines bestimmten Datums aufgestellt wird.
• Diese Website behandelt den Wahlvorgang ausführlicher und enthält die vollständige Checkliste für die Prüfung sowie Details zu Widerrufen und Zeitstempeln. Sichere Codesignatur: Reduzierte Zertifikatsgültigkeit auf 460 Tage.
• Eine kürzere Gültigkeitsdauer verringert das maximale Zeitfenster für die Offenlegung einer wichtigen Sicherheitslücke; sie ändert jedoch nichts an der 24-Stunden-Frist der Zertifizierungsstelle für den Widerruf, sobald eine Sicherheitslücke bestätigt wurde.

Dies ist keine kleine Änderung an den Richtlinien. Wenn Ihr Team mit 2- oder 3-Jahres-Zertifikaten arbeitet, müssen Sie die Verwaltung von Erneuerungen, Schlüsselsicherheit und Automatisierung überdenken. Ignorieren Sie diese Änderung, kann es zu Signierungsfehlern, Build-Problemen oder sogar nicht signierten Releases kommen. 

Im weiteren Verlauf dieses Artikels erläutern wir, was sich ändert, wie sich dies auf Ihre Signatur-Workflows auswirkt und wie unser CodeSign Secure Ihnen dabei helfen kann, sicher und konform zu bleiben, ohne dass zusätzlicher manueller Aufwand erforderlich ist. 

Was ändert sich bei der Gültigkeit der Code-Signatur? 

Bisher hatten die meisten Code Signing-Zertifikate eine lange Lebensdauer von bis zu drei Jahren (genauer gesagt 39 Monaten). Das vereinfachte die Sache: Sie erhalten Ihr Zertifikat, verwenden es für mehrere Versionen und erneuern es alle paar Jahre. 

Das wird sich ändern. 

Das CA/Browser-Forum hat beschlossen, die maximale Gültigkeitsdauer dieser Zertifikate auf nur noch 460 Tage, also etwas mehr als 15 Monate, zu verkürzen. Ziel ist es, die Sicherheit zu erhöhen und das Risiko zu verringern, dass langlebige Schlüssel offengelegt oder missbraucht werden. 

Wichtige Termine 

• März 1, 2026: Jede öffentlich vertrauenswürdige Person Codesignaturzertifikat Gemäß Wahlzettel CSC-31 (angenommen am 17. November 2025) ist die Gültigkeit von am oder nach diesem Datum ausgestellten Urkunden auf 460 Tage begrenzt. 
• Vor dem 1. März 2026Bereits ausgestellte Zertifikate behalten ihre ursprüngliche Gültigkeitsdauer bis zu ihrem natürlichen Ablauf; die Obergrenze gilt für die Ausstellung und Neuausstellung ab diesem Datum, nicht rückwirkend. 

Besitzen Sie also ein Zertifikat mit längerer Gültigkeit, das vor dem 1. März 2026 ausgestellt wurde, behält es seine ursprüngliche Gültigkeitsdauer. Für alle Zertifikate, die ab diesem Datum ausgestellt oder neu ausgestellt werden, gilt die Gültigkeitsdauerbegrenzung von 460 Tagen. 

Dies bedeutet häufigere Erneuerungen, mehr Nachverfolgung und mehr Raum für Fehler, sofern Sie nicht über ein System verfügen, das die Dinge auf Kurs hält. 

Warum ist diese Änderung wichtig?

Auf den ersten Blick mag die Verkürzung der Zertifikatsgültigkeit wie zusätzlicher Aufwand erscheinen. Doch tatsächlich gibt es gute Gründe dafür. 

Weniger Zeit für Schlüsselmissbrauch 

Je länger ein Zertifikat gültig ist, desto größer ist das Risiko, falls etwas schiefgeht, beispielsweise wenn ein privater Schlüssel durchgesickert oder gestohlen wird. Eine Verkürzung der Gültigkeitsdauer auf 460 Tage hilft, den Schaden im Falle einer Kompromittierung des Schlüssels zu begrenzen. Es ist ein Ansatz nach dem Motto „Weniger Zeitaufwand, weniger Risiko“. 

Fördert bessere Sicherheitsgewohnheiten 

Kürzere Lebensdauern bedeuten, dass Teams bei der Verwaltung von Zertifikaten und kryptografischen Algorithmen auf dem neuesten Stand bleiben müssen. Dies zwingt alle, Schlüssel und Einstellungen regelmäßiger zu aktualisieren, statt jahrelang nach dem Motto „einstellen und vergessen“ zu handeln. 

Hält Sie auf dem Laufenden über Branchenregeln 

Diese Änderung ist nicht nur eine Empfehlung, sondern nun Teil der offiziellen Richtlinien des CA/Browser-Forums. Wenn Ihre Codesignaturzertifikate als vertrauenswürdig gelten sollen, müssen Sie diese neuen Regeln einhalten. Tools wie CodeSign Secure helfen Ihnen dabei, die Richtlinien zu erfüllen, ohne dass die Zertifikatsverwaltung zu einer Vollzeitbeschäftigung wird.

Auswirkungen auf Organisationen und Entwickler 

Bei dieser neuen 460-Tage-Grenze handelt es sich nicht nur um eine Änderung per Kontrollkästchen; sie wirkt sich darauf aus, wie Teams Software planen, erstellen und veröffentlichen. 

Mehr Erneuerungen, häufiger 

Da Zertifikate in etwas mehr als einem Jahr ablaufen, müssen Sie sie häufiger erneuern. Das bedeutet, dass Sie mehr Ablaufdaten im Auge behalten, Pipelines aktualisieren und sicherstellen müssen, dass während einer Veröffentlichung nichts schiefgeht. Wenn Sie eine Erneuerung verpassen, können Ihre Builds fehlschlagen oder Ihre signierte Software kann Warnungen ausgeben. 

Schlüsselverwaltung wird knifflig 

Mehr Schlüsselerneuerungen bedeuten auch mehr Schlüsselpaare, die sicher verwaltet werden müssen. Falls Sie noch keine HSMs oder sichere Schlüsselspeicher verwenden, sollten Sie jetzt darüber nachdenken. Der Verlust eines privaten Schlüssels oder dessen Speicherung am falschen Ort kann schwerwiegende Folgen haben.

Budgetierung und Planung müssen optimiert werden 

Wenn Sie bisher mehrjährige Zertifikate gekauft und diese eine Zeit lang beiseite gelegt haben, funktioniert diese Strategie nicht mehr. Sie werden nun häufiger Zertifikate kaufen und verwalten. Daher lohnt es sich zu prüfen, wie sich dies auf Ihr Budget und Ihre internen Prozesse auswirkt. 

Hier kommt unsere Plattform ins Spiel: automatische Erneuerungen, Schlüsselspeicherung mit HSM-Integration und eine übersichtliche Möglichkeit, alle Ihre Zertifikate an einem Ort zu verwalten. Weniger Chaos, weniger Überraschungen. 

Best Practices für die Verwaltung kürzerer Zertifikatslebenszyklen 

Da Zertifikate mittlerweile nur noch etwas über ein Jahr gültig sind, ist eine manuelle Nachverfolgung nicht mehr wirklich praktikabel. Um Last-Minute-Probleme und fehlgeschlagene Builds zu vermeiden, ist es an der Zeit, die Dinge etwas zu straffen. 

• Automatisieren Sie Erneuerungen, wo immer Sie können: Wenn Ihr Prozess zur Zertifikatserneuerung immer noch Kalendererinnerungen und manuelle Schritte umfasst, wird er schnell langweilig. Die Automatisierung von Erneuerungen, insbesondere für sich wiederholende Aufgaben wie das Anfordern, Neuausstellen und Installieren von Zertifikaten, spart Zeit und verringert die Wahrscheinlichkeit, etwas Wichtiges zu übersehen. 
• Speichern Sie Schlüssel in sicherer Hardware: Die Speicherung privater Schlüssel auf lokalen Rechnern oder freigegebenen Laufwerken ist problematisch. HSMs (Hardware Security Modules) oder Cloud-basierte Schlüsseltresore bieten Ihnen den nötigen Schutz, insbesondere da Zertifikate immer häufiger aktualisiert werden. Dies trägt auch zur Einhaltung von Compliance-Anforderungen bei. 
• Behalten Sie Ablauf und Neuausstellung im Auge: Richten Sie Warnmeldungen und Dashboards ein, um den Ablauf von Zertifikaten zu verfolgen. Das ist längst nicht mehr nur ein nettes Extra. Das Verpassen eines Verlängerungsfensters kann Releases blockieren oder Vertrauensprobleme bei Ihren Benutzern auslösen. Ein wenig Transparenz kann viel bewirken. 

Unsere Plattform ist darauf ausgelegt, all dies zu erledigen. Von der Erneuerungsautomatisierung und HSM-Integration bis hin zur Ablaufverfolgung und sicheren Speicherung hilft sie Ihnen, mit deutlich weniger manuellem Aufwand alles in Ordnung zu halten. 

Wie CodeSign Secure die Code-Signierung nach den neuen Regeln vereinfacht

Da Zertifikate jetzt nur noch 460 Tage gültig sind, wird die manuelle Bearbeitung schnell zur lästigen Pflicht. Genau deshalb haben wir CodeSign Secure entwickelt : um den Stress beim Signieren von Code zu reduzieren und den gesamten Prozess zu vereinfachen.

• Zentralisierte Schlüssel- und Zertifikatsverwaltung: Sie müssen nicht mehr in freigegebenen Ordnern, E-Mails oder auf lokalen Rechnern nach dem richtigen Schlüssel oder Zertifikat suchen. Unsere Plattform bietet Ihnen einen zentralen Ort zur Verwaltung aller Elemente – egal, ob es sich um eine Web-App, eine mobile Version oder ein Desktop-Installationsprogramm handelt. 
• CI/CD-Integration: Unsere Plattform funktioniert gut mit den Tools, die Sie bereits verwenden, wie Bamboo, TeamCity, Azure-DevOps, Jenkinsund andere. Das Signieren wird Teil Ihrer Build-Pipeline und ist nichts, was Sie unterbrechen und separat ausführen müssen. 
• HSM-gestützte Signierung mit PKCS#11-Unterstützung: Ihre privaten Schlüssel verlassen niemals die sichere Hardware. Unsere Plattform unterstützt PKCS # 11, sodass es in HSMs eingebunden werden kann und Ihre Signaturschlüssel geschützt bleiben, unabhängig davon, ob Sie lokale HSMs oder Cloud-basierte Optionen verwenden. 
• Intelligente Warnmeldungen und Erneuerungsautomatisierung: Unsere Plattform behält Ihre Zertifikate im Auge und benachrichtigt Sie, bevor etwas abläuft. Sie übernimmt außerdem die Erneuerungsschritte im Hintergrund, sodass Sie sich keine Sorgen über verpasste Fristen oder fehlerhafte Builds machen müssen. 

Kurz gesagt: Unser CodeSign Secure hilft Ihnen, die neuen Regeln einzuhalten, ohne dass die Zertifikatsverwaltung zu einem Vollzeitjob wird. 

Migrationsstrategie: Von langlebigen Zertifikaten zu 460-Tage-Zertifikaten

Wenn Sie bisher 2- oder 3-Jahres-Zertifikate verwendet haben, mag die Umstellung auf die neue 460-Tage-Regel zunächst wie eine große Umstellung erscheinen, muss es aber nicht. Mit etwas Planung und den richtigen Tools lässt sich der Übergang reibungslos gestalten. 

• Beginnen Sie mit einem Zertifikatsaudit: Das Wichtigste zuerst: Erstellen Sie eine Liste aller Ihrer aktuellen Code-Signing-Zertifikate. Notieren Sie sich deren Ausstellungs- und Ablaufdatum, wo die Schlüssel gespeichert sind und welche Projekte davon abhängig sind. So erhalten Sie einen klaren Überblick darüber, was wann Aufmerksamkeit erfordert. 
• Plan für Erneuerungen und Neuausstellungen: Besitzen Sie ein mehrjähriges Zertifikat, das vor dem 1. März 2026 ausgestellt wurde? Beachten Sie: Jede Neuausstellung ab diesem Datum gewährt Ihnen nur 460 Tage Gültigkeit. Planen Sie daher vorausschauend. Erstellen Sie einen Verlängerungskalender, informieren Sie Ihre Entwicklungs- und Release-Teams und vermeiden Sie Hektik in letzter Minute. 

CodeSign Secure erleichtert den Wechsel 

Unsere Plattform unterstützt Sie bei der Umstellung auf kürzere Zertifikatszyklen, ohne Ihren Workflow zu beeinträchtigen. Sie scannt und verfolgt vorhandene Zertifikate, benachrichtigt Sie, wenn es Zeit für einen Austausch ist, und kümmert sich automatisiert um die Neuausstellung. Egal, ob Sie ein Team oder die gesamte Organisation umstellen – unsere Plattform sorgt für einen reibungslosen und sicheren Prozess. 

Widerruf und Zeitstempel gelten weiterhin

Eine kürzere Gültigkeitsdauer ändert nichts an zwei Regeln, die unabhängig von der Zertifikatslänge gelten: Eine Zertifizierungsstelle muss ein Zertifikat innerhalb von 24 Stunden nach Bestätigung der Kompromittierung des privaten Schlüssels widerrufen, und ein gültiger RFC-3161-Zeitstempel gewährleistet die Verifizierbarkeit bereits ausgelieferter Software nach Ablauf des Signaturzertifikats. Beides ist im neuen Zyklus nicht optional; im Gegenteil, ein 460-tägiger Erneuerungszyklus macht beides deutlicher sichtbar, da Sie Ihre Erneuerungs- und (idealerweise nie) Widerrufsprozesse häufiger nutzen werden.

Checkliste für Compliance-Audits

• Prüfen Sie, ob das Ausstellungsdatum jedes Zertifikats mit dem 1. März 2026 übereinstimmt, um zu erfahren, welche Gültigkeitsregel gilt.
• Es muss sichergestellt werden, dass die privaten Schlüssel in Hardware gespeichert werden, die die Mindestanforderungen von FIPS 140-2 Level 2 (oder Common Criteria EAL 4+) des CA/Browser Forum erfüllt.
• Stellen Sie sicher, dass jeder Signiervorgang von einer vertrauenswürdigen TSA-Stelle mit einem Zeitstempel versehen wird.
• Stellen Sie sicher, dass ein geprüftes, dokumentiertes Widerrufsverfahren existiert und innerhalb des 24-Stunden-Fensters durchgeführt werden kann.
• Die Bestätigungsautomatisierung, nicht Kalendererinnerungen, kümmert sich um die Zertifikatserneuerung im neuen 15-Monats-Rhythmus.

Fazit 

Eine kürzere Gültigkeitsdauer von Zertifikaten klingt vielleicht nach mehr Arbeit, aber in Wirklichkeit führt sie dazu, dass sich alle bessere Gewohnheiten aneignen, die Schlüsselsicherheit verbessern, schnellere Updates durchführen und den Signaturprozess besser kontrollieren. 

Hier spielt CodeSign Secure seine Stärken voll aus. Es wurde entwickelt, um Ihnen die komplexe Arbeit abzunehmen. Ob Zertifikatsverwaltung, Verlängerungsabwicklung, Sicherung privater Schlüssel in HSMs oder die direkte Integration in Ihre CI/CD-Pipelines – unsere Plattform sorgt für einen reibungslosen, sicheren und zukunftssicheren Codesignierungsprozess.

Lassen Sie nicht zu, dass die 460-Tage-Regel Ihr Team ausbremst.

Häufig gestellte Fragen

Wann tritt die 460-Tage-Regel tatsächlich in Kraft?

Für Zertifikate, die ab dem 1. März 2026 gemäß Wahlzettel CSC-31 (angenommen am 17. November 2025) ausgestellt wurden, gilt eine neue Gültigkeitsdauer. Zertifikate, die vor diesem Datum ausgestellt wurden, bleiben bis zu ihrer Neuausstellung unberührt.

Verkürzt eine kürzere Gültigkeitsdauer die Widerrufsfrist für kompromittierte Schlüssel?

Nein. Eine bestätigte Kompromittierung des Schlüssels erfordert gemäß den Code Signing Baseline Requirements weiterhin den Entzug der Zertifizierungsstelle innerhalb von 24 Stunden, unabhängig von der Dauer der Gültigkeitsdauer des Zertifikats.