E-Mail ist nach wie vor einer der wirkungsvollsten Marketingkanäle, doch wenn E-Mails nicht im primären Posteingang landen, kann sich dies negativ auf den Umsatz auswirken. Laut einer Studie zum E-Mail-Zustellungs-Benchmark aus dem Jahr 2025 erreicht jede sechste legitime Marketing-E-Mail den Posteingang nicht, wobei die globale Zustellungsrate im Posteingang im Durchschnitt bei etwa 83 % liegt. Die weltweiten Spam-Zuweisungsraten haben sich im Jahr 2024 fast verdoppelt. Das bedeutet, dass ein erheblicher Teil der Investitionen des Unternehmens in E-Mail-Akquise, Content-Erstellung und Nurture-Programme niemals die Chance hat, einen Kunden zu beeinflussen, da die Nachricht gar nicht erst im Posteingang ankommt.

Selbst wenn die E-Mail den Posteingang erreicht, erhalten Nutzer heutzutage täglich Dutzende, ja sogar Hunderte von E-Mails. Diese stammen von persönlichen Kontakten, Unternehmen und Verteilern, für die sich die Nutzer angemeldet haben. Microsoft schätzt, dass ein durchschnittlicher Arbeitnehmer täglich 117 E-Mails erhält, von denen viele bereits am frühen Morgen überflogen werden. Inmitten dieser Flut von Nachrichten ist es schwieriger, aufzufallen. Selbst gut durchdachte E-Mail-Kampagnen können unter niedrigen Öffnungsraten leiden. Kritische Nutzer öffnen nicht einfach jede Nachricht. Sie suchen nach Anzeichen von Vertrautheit und schauen über Absendernamen und sogar Betreffzeilen hinaus nach weiteren Hinweisen darauf, dass Nachrichten lesenswert sind.

Doch aufzufallen ist nur ein Teil der Herausforderung. Die Empfänger müssen auch darauf vertrauen können, dass die Nachrichten, die sie erhalten, legitim sind. Das Öffnen einer falschen E-Mail könnte sie Cyberangriffen aussetzen, darunter Phishing- und Spoofing-Angriffe, die selbst digital versierte Nutzer zu Fall bringen können.

Eine starke E-Mail-Authentifizierung hilft legitimen Absendern, bei den Empfangssystemen Glaubwürdigkeit aufzubauen, indem sie Signale liefert, dass die Nachrichten autorisiert sind, von den von ihnen vertretenen Domains zu stammen. Zwar garantiert die Authentifizierung weder die Zustellung in den Posteingang noch die Interaktion, doch bietet sie eine wichtige technische Grundlage für den Schutz der sendenden Domain und den Aufbau von Vertrauen in legitime Markenkommunikation.

Schaffung der technischen Grundlage für vertrauenswürdige E-Mails

E-Mail-Marketingstrategien legen oft den Schwerpunkt auf das Timing oder den Inhalt, doch die technischen Mechanismen, die E-Mails zugrunde liegen, sind entscheidend für den Aufbau von Vertrauen und die Unterstützung der E-Mail-Performance. Die Authentifizierung liefert den Empfangssystemen stärkere Signale zur Identifizierung autorisierter E-Mails und zum Schutz der Absenderdomänen vor unbefugter Nutzung.

Mehrere Protokolle und Frameworks arbeiten zusammen, um diese Authentifizierungssignale bereitzustellen. S/MIME-Zertifikate bieten durch digitale Signatur und Verschlüsselung eine weitere Form der E-Mail-Vertrauenswürdigkeit, dienen jedoch einem anderen Zweck als Authentifizierungsprotokolle auf Domain-Ebene wie SPF, DKIM und DMARC.

SPF, DKIM und DMARC spielen jeweils ihre eigene, einzigartige Rolle bei der Überprüfung der E-Mail-Legitimität und dem Schutz der Absenderdomain, wie im Folgenden erläutert wird:

SPF und DKIM tragen zur Feststellung legitimer Absender bei

Das Sender Policy Framework (SPF) und DomainKeys Identified Mail (DKIM) liefern sich ergänzende Authentifizierungssignale, die empfangenden Systemen helfen, legitime E-Mails zu bewerten. SPF hilft dabei festzustellen, ob eine E-Mail von einer autorisierten Absenderquelle stammt, während DKIM die Überprüfung der signierenden Domain und der Integrität der Nachricht unterstützt.

Zusammen bilden diese Protokolle die Grundlage, auf der DMARC bewertet, ob eine E-Mail mit der Domain übereinstimmt, die sie angeblich vertritt.

DMARC trägt zum Schutz der Absenderdomain der Marke bei

DMARC baut auf SPF und DKIM auf und ergänzt diese um Domain-Übereinstimmung, Richtlinien und Berichterstellung. Während SPF und DKIM Authentifizierungsergebnisse liefern, hilft DMARC dabei festzustellen, ob diese Ergebnisse mit der in der Absenderadresse angegebenen Domain übereinstimmen.

Unternehmen können DMARC-Richtlinien veröffentlichen, in denen sie von empfangenden Systemen verlangen, Nachrichten zu überwachen, unter Quarantäne zu stellen oder abzulehnen, die die Domänenübereinstimmungsprüfung nicht bestehen. Die DMARC-Berichterstattung bietet zudem Einblick in die Absenderquellen und hilft Unternehmen dabei, die unbefugte Nutzung ihrer Domänen zu erkennen.

Wo die E-Mail-Authentifizierung an ihre Grenzen stößt

Die E-Mail-Authentifizierung bildet eine wichtige Schutzmaßnahme gegen Spoofing, ist jedoch nur eine von vielen mehrschichtigen Strategien, die umgesetzt werden müssen, um einen umfassenden Schutz zu gewährleisten. Durch die Durchsetzung von DMARC können Domain-Inhaber empfangende Systeme anweisen, Nachrichten, die die Authentifizierung und die Übereinstimmungsprüfung nicht bestehen, unter Quarantäne zu stellen oder zurückzuweisen.

Andere Bedrohungen, wie beispielsweise ähnliche Domains, die Vortäuschung von Anzeigenamen oder kompromittierte Konten, erfordern möglicherweise zusätzliche Sicherheitsmaßnahmen. Aus diesem Grund funktioniert die E-Mail-Authentifizierung am besten als Teil einer umfassenderen Strategie zum Schutz der Markenidentität und des Kundenvertrauens.

Die Authentifizierung hat zudem die Einschränkung, dass sie keine Sichtbarkeit im Posteingang garantieren kann. Authentifizierte E-Mails könnten dennoch möglicherweise im Werbe-Tab oder im Spam-Ordner landen, und selbst wenn sie es in den Hauptposteingang schaffen, könnten sie von vielbeschäftigten Empfängern völlig übersehen werden.

Argumente für mehr Vertrauen im Posteingang

Authentifizierung wird zunehmend zur Grundvoraussetzung. Sie hilft E-Mails zwar, den Posteingang zu erreichen, sorgt aber nicht dafür, dass sie dort auffallen. Hier kommen sichtbare Vertrauenssignale ins Spiel.

Brand Indicators for Message Identification (BIMI) bietet qualifizierten Organisationen die Möglichkeit, Logos in unterstützten E-Mail-Posteingängen anzuzeigen. BIMI baut auf der bestehenden E-Mail-Authentifizierung auf, anstatt diese zu ersetzen, und setzt voraus, dass DMARC auf „Enforcement“ eingestellt ist.

Ein erkennbares Markenlogo gibt den Empfängern ein zusätzliches visuelles Signal, das sie sofort wahrnehmen, wenn sie ihren Posteingang überfliegen. Dies verbindet Authentifizierung und Markenidentität und hilft legitimen Mitteilungen, sich durch vertrautes, einheitliches Branding abzuheben.

Die Verbreitung von BIMI ist noch relativ gering, sodass sich Marken, die heute ein verifiziertes Logo anzeigen, von Wettbewerbern abheben, deren E-Mails weiterhin nur generische Initialen zeigen.

Wie Mark-Zertifikate eine verifizierte Markenidentität gewährleisten

BIMI kann mit Mark-Zertifikaten zusammenarbeiten, um eine validierte Markenidentität in unterstützte Posteingänge zu bringen. Mark-Zertifikate bieten eine Validierung durch Dritte hinsichtlich des Rechts der Domain, das zugehörige Logo zu verwenden – was manche E-Mail-Anbieter vor der Anzeige eines BIMI-Logos verlangen. Mark-Zertifikate stützen sich auf folgende E-Mail-Authentifizierungs- und BIMI-Anforderungen:

• SPF und DKIM stellen Authentifizierungssignale bereit.
• DMARC sorgt für die Abstimmung und muss auf „Enforcement“ (Durchsetzung) eingestellt sein.
• BIMI verknüpft die authentifizierte Domain mit dem Markenlogo.
• Ein VMC oder CMC bietet eine Validierung der Organisation und des Logos durch einen unabhängigen Dritten.

Verified Mark-Zertifikate (VMCs) validieren eine Organisation und deren Berechtigung zur Nutzung eines qualifizierten, eingetragenen Markenlogos. Sie werden von vertrauenswürdigen Zertifizierungsstellen wie Sectigo ausgestellt und bieten eine Validierung durch Dritte, die unterstützte E-Mail-Anbieter mit BIMI nutzen können.

In Gmail kann ein VMC außerdem das blaue Verifizierungshäkchen neben dem Namen des Absenders aktivieren.

Für Unternehmen, deren Logos die VMC-Markenanforderungen nicht erfüllen, bieten Common-Mark-Zertifikate (CMCs) eine weitere Option für die Anzeige des BIMI-Logos. Zulässige Logos müssen die CMC-Anforderungen erfüllen, darunter eine vorherige öffentliche Nutzung von mindestens 12 Monaten. VMCs werden für Unternehmen mit markenrechtlich geschützten Logos bevorzugt. CMCs lösen das blaue Häkchen in Gmail-Posteingängen nicht aus.

Aufbau eines vertrauenswürdigeren E-Mail-Marketing-Programms

Die technischen und visuellen Aspekte des E-Mail-Marketings wirken zusammen, um Vertrauen aufzubauen. Marken sollten legitime Versandplattformen mit SPF und DKIM authentifizieren, DMARC-Berichte nutzen, um Versandquellen zu verstehen und die Durchsetzung zu stärken, sowie konsistente Absenderdomains und ein einheitliches Branding pflegen. Sobald die Authentifizierungsanforderungen erfüllt sind, können BIMI und ein zulässiges VMC oder CMC eine sichtbare, validierte Markenidentität hinzufügen.

Beim visuellen Branding ist Konsistenz entscheidend. Logos spielen dabei eine zentrale Rolle und können einen großen Unterschied machen, wenn sie in E-Mail-Posteingängen konsistent angezeigt werden. Aber auch die E-Mails selbst müssen den Erwartungen der Nutzer gerecht werden. Das bedeutet, an wiedererkennbaren Absendernamen festzuhalten und gleichzeitig einen vertrauten Ton oder eine markentypische Stimme in Betreffzeilen und E-Mail-Texten beizubehalten.

Verifizieren Sie Ihre Marke mit Sectigo Mark-Zertifikaten

Die Authentifizierung bildet die technische Grundlage für vertrauenswürdige E-Mails, während sichtbare Markensignale dieses Vertrauen im Posteingang noch deutlicher machen können. Sectigo Mark-Zertifikate helfen berechtigten Organisationen dabei, die Identität und das Logo im Zusammenhang mit ihrer BIMI-Implementierung zu validieren.

Sectigo bietet sowohl „Verified Mark“-Zertifikate (VMCs) als auch „Common Mark“-Zertifikate (CMCs) an und stellt Organisationen so Optionen zur Verfügung, die auf der Eignung ihres Logos und ihren Verifizierungsanforderungen basieren.

Was ist ein digitales Zertifikat?

Ein digitales Zertifikat ist eine Datei, die die Authentizität eines elektronischen Systems – beispielsweise eines Geräts, eines Servers oder eines Benutzers – mithilfe der Public-Key-Kryptografie und der Public-Key-Infrastruktur (PKI) bestätigt.

Durch die Implementierung dieser Identifizierungsmethode für Geräte und Benutzer können Unternehmen die Sicherheit ihrer Netzwerke gewährleisten. Eine weit verbreitete Art von digitalem Zertifikat ist das SSL/TLS-Zertifikat, das dazu dient, die Echtheit einer Website gegenüber einem Browser zu bestätigen.

Digitale Zertifikate enthalten Identifikationsdaten wie den Domainnamen, die Organisation, den Standort sowie gerätebezogene Informationen wie die IP-Adresse oder die Seriennummer. Außerdem enthalten sie einen öffentlichen Schlüssel, der einem privaten Schlüssel entspricht, der sich im Besitz des Zertifikatsinhabers befindet. Dieser wird verwendet, um die Identität zu überprüfen und sicherzustellen, dass das Zertifikat nicht manipuliert wurde.

Eine Zertifizierungsstelle stellt ein Zertifikat mit öffentlichem Schlüssel aus, um eine Identität mit einem öffentlichen Schlüssel zu verknüpfen. Die digitale Signatur der Zertifizierungsstelle gewährleistet die Vertrauenswürdigkeit, während der entsprechende private Schlüssel eine sichere Authentifizierung und Verschlüsselung ermöglicht.

Zu den gängigsten Arten digitaler Zertifikate gehören:

• SSL/TLS-Zertifikate
• Code-Signatur-Zertifikate
• S/MIME-Zertifikate

Sofern nicht anders angegeben, befasst sich dieser Artikel speziell mit SSL/TLS-Zertifikaten.

Verfallen digitale Zertifikate?

Ja, digitale Zertifikate verfallen. Die Gültigkeitsdauer variiert je nach Art des Zertifikats.

Wovon hängt die Gültigkeitsdauer des Zertifikats ab?

Letztendlich legen die Organisationen, die die Zertifikate akzeptieren, deren Gültigkeitsdauer fest. In der Regel halten sie sich dabei an die Empfehlungen des CA/Browser-Forums.

Das CA/Browser-Forum trifft sich, um über verschiedene Themen abzustimmen, wobei der Schwerpunkt häufig auf einer Reihe von Grundanforderungen für die Ausstellung vertrauenswürdiger digitaler Zertifikate liegt. Das CA/Browser Forum ist keine Regulierungsbehörde und hat keine Befugnis, seine Entscheidungen durchzusetzen. Die Stellen, die die Zertifikate akzeptieren, haben das letzte Wort und können strengere oder weniger strenge Kriterien anwenden als die von der Organisation formulierten Empfehlungen.

Ein wichtiger Aspekt digitaler Zertifikate ist, dass der Lebenszyklus des Zertifikats, einschließlich der maximalen Gültigkeitsdauer, nicht vom Aussteller, sondern vom Akzeptanten bestimmt wird, dessen Anliegen und Richtlinien sich im CA/Browser-Forum durch einen Abstimmungsprozess widerspiegeln.

Akzeptanzstellen sind Organisationen, die Produkte wie Betriebssysteme und Browser entwickeln. Ihr Ziel ist es, die Informationen der Endnutzer zu schützen, nicht die Prozesse der Organisation. Aus diesem Grund würden Unternehmen wie Microsoft und Google es vorziehen, Zertifikate, die ihren Kriterien nicht entsprechen, direkt abzulehnen und den Zugriff vorübergehend zu verweigern, anstatt einfach alle Zertifikate zu akzeptieren.

Wie lange sind SSL/TLS-Zertifikate gültig?

• Ab dem 15. März 2026 haben öffentliche SSL-Zertifikate eine maximale Gültigkeitsdauer von 200 Tagen
• 15. März 2027: Die maximale Gültigkeitsdauer wird auf 100 Tage verkürzt
• 15. März 2029: Die maximale Gültigkeitsdauer wird auf 47 Tage verkürzt

Seit September 2020 durften Sicherheitszertifikate nach dem SSL/TLS-Protokoll nicht mehr mit einer Gültigkeitsdauer von mehr als 13 Monaten (397 Tagen) ausgestellt werden. Diese Änderung wurde erstmals von Apple auf dem CA/Browser Forum angekündigt. Nun befinden wir uns in einer weiteren Phase der schrittweisen Verkürzung, die darin gipfeln wird, dass die maximale Gültigkeitsdauer der Zertifikate auf nur noch 47 Tage reduziert wird.

Vor 2015 war es möglich, ein Zertifikat mit einer Gültigkeitsdauer von bis zu fünf Jahren zu erhalten. Diese Frist wurde 2015 auf drei Jahre und anschließend 2018 auf zwei Jahre verkürzt. Ende 2019 wurde im CA/Browser Forum eine Abstimmung vorgeschlagen, die die Gültigkeitsdauer auf ein Jahr verkürzt hätte, diese wurde jedoch abgelehnt. Diese Entscheidung wurde dann im folgenden Jahr durch eine Änderung der Apple-Richtlinien rückgängig gemacht.

Wie erfahre ich, wann mein SSL/TLS-Zertifikat abläuft?

Derzeit laufen SSL-Zertifikate spätestens 200 Tage nach dem Ausstellungsdatum ab. Es ist wichtig, sie vor Ablauf zu verlängern. Ein Warten bis zum letzten Moment führt zu erheblichen Unannehmlichkeiten für Unternehmen und ihre Kunden. Die Ablaufdaten der Zertifikate werden von den jeweiligen Ausstellern klar kommuniziert, und jeder hat sein eigenes Verlängerungsverfahren.

Zertifizierungsstellen (CAs) versenden in der Regel vor dem Ablaufdatum eine Benachrichtigung; es wird daher empfohlen , das Zertifikat sofort nach Erhalt der ersten Benachrichtigung zu verlängern, um Dienstunterbrechungen zu vermeiden.

Häufig muss der Antragsteller bei der Erneuerung eines Zertifikats einen Teil der im vorherigen Zertifikat enthaltenen Informationen, die auch im neuen Zertifikat erscheinen sollen, erneut authentifizieren. Das dabei zu befolgende Verfahren ähnelt dem der ursprünglichen Ausstellung.

Die bevorstehende Umstellung auf Gültigkeitsdauer von 47 Tagen für SSL-Zertifikate

Es wird erwartet, dass die maximale Gültigkeitsdauer von SSL/TLS-Zertifikaten in den kommenden Jahren im Rahmen einer branchenweiten Initiative zur Verbesserung der Sicherheit und zur Risikominderung deutlich verkürzt wird. Im April 2025 wurde der Vorschlag SC-081v3 offiziell verabschiedet, womit ein schrittweiser Plan in Kraft trat, der die Gültigkeitsdauer öffentlicher SSL-Zertifikate bis 2029 auf 47 Tage verkürzen wird.

Diese Änderungen stellen eine der bedeutendsten Umstellungen im Zertifikatsmanagement der letzten Jahrzehnte dar und sollen die Auswirkungen kompromittierter oder fehlerhaft ausgestellter Zertifikate begrenzen. Allerdings erhöht sich dadurch auch die Anzahl der Verlängerungen, die Unternehmen jährlich verwalten müssen, erheblich. Da sich die Gültigkeitsdauer weiter verkürzt, wird das automatisierte Zertifikatslebenszyklusmanagement (CLM) von entscheidender Bedeutung sein, um die Einhaltung gesetzlicher Vorschriften zu gewährleisten und Dienstunterbrechungen zu vermeiden.

Worauf ist diese Änderung zurückzuführen?

Der Hauptgrund für die Verkürzung der Gültigkeitsdauer ist eine höhere Sicherheit. Kürzere Gültigkeitsdauern bedeuten, dass Zertifikate häufiger erneuert werden müssen, wodurch sichergestellt wird, dass die Verschlüsselungsstandards auf dem neuesten Stand bleiben und Schwachstellen schnell behoben werden.

Diese Änderung verringert den Zeitrahmen, den Hacker zur Ausnutzung kompromittierter Zertifikate haben, und verbessert so die allgemeine Cybersicherheit erheblich. Häufige Erneuerungen ermöglichen zudem die schnelle Behebung etwaiger Schwachstellen in Verschlüsselungsalgorithmen oder bei der Schlüsselverwaltung, wodurch ein Höchstmaß an Schutz für vertrauliche Daten gewährleistet bleibt.

Die automatische Zertifikatserneuerung gewinnt eine noch nie dagewesene Bedeutung

Mit der Einführung kürzerer Gültigkeitsdauer gewinnt die Automatisierung von Zertifikatserneuerungen entscheidend an Bedeutung. Manuelle Erneuerungsprozesse können zu Fehlern und Versäumnissen führen, die schwerwiegende Betriebsunterbrechungen und Sicherheitsrisiken für Unternehmen zur Folge haben können. Da der Erneuerungsprozess wesentlich häufiger stattfinden wird, nehmen diese Risiken zu. Automatisierte Systeme tragen dazu bei, dass Erneuerungen präzise und zeitnah durchgeführt werden, wodurch die Wahrscheinlichkeit verringert wird, dass abgelaufene Zertifikate zu Dienstunterbrechungen führen, und die IT-Mitarbeiter sich auf wichtigere Aufgaben konzentrieren können.

Darüber hinaus können automatisierte Tools für das Zertifikatslebenszyklusmanagement Überwachung und Warnmeldungen in Echtzeit bereitstellen und so sicherstellen, dass Unternehmen stets über bevorstehende Ablauftermine informiert sind und schnell handeln können. Die Integration von Automatisierung in die Zertifikatserneuerungsprozesse verbessert nicht nur die Effizienz, sondern stärkt auch die Sicherheit. Automatisierte Systeme sind weniger anfällig für menschliche Fehler und wenden die neuesten Sicherheitspraktiken und -richtlinien systematisch an. Dies ist besonders wichtig bei kürzeren Gültigkeitsdauern, bei denen die Häufigkeit der Erneuerungen zunimmt und der Spielraum für Fehler abnimmt.

Bereiten Sie sich mit einer zuverlässigen Lösung auf kürzere Gültigkeitsdauer von SSL-Zertifikaten vor

Als weltweit führender Anbieter digitaler Zertifikate unterstützt Sectigo Unternehmen dabei, den sich ständig ändernden Anforderungen an Zertifikate vorzugreifen. Neben unseren vertrauenswürdigen SSL/TLS-Zertifikaten ermöglicht unsere Plattform „Sectigo Certificate Manager“ (SCM) die automatisierte Verwaltung des Zertifikatslebenszyklus und bietet die nötige Transparenz und Kontrolle, um die häufigen Verlängerungen zuverlässig zu bewältigen, während sich die Gültigkeitsdauer immer weiter verkürzt. Kleinere Unternehmen und kleine IT-Teams können SCM Pro nutzen, um Zertifikate zu identifizieren und zu verwalten sowie die Ausstellung und Erneuerung über ACME zu automatisieren.

Kontaktieren Sie unser Team noch heute, um weitere Informationen zu unserem Angebot an digitalen Zertifikaten zu erhalten oder eine Vorführung unserer SCM-Plattform anzufordern.

Möchten Sie mehr erfahren? Kontaktieren Sie uns, um eine Vorführung des Sectigo Certificate Managers zu vereinbaren!

Verwandte Artikel:

Vorbereitung auf die Zukunft: Apples Vorschlag, die Gültigkeitsdauer von Zertifikaten auf 47 Tage zu verkürzen

Apple veröffentlicht einen Abstimmungsentwurf zur Verkürzung der Gültigkeitsdauer von Zertifikaten auf 47 Tage

Warum SSL-Zertifikate ablaufen: Eine Analyse der Vorteile kürzerer Gültigkeitsdauer

SSL-Zertifikate haben viel zu bieten, aber sie können ihr volles Potenzial nur dann entfalten, wenn sie strategisch implementiert und verwaltet werden - und das bedeutet eine nahtlose Handhabung in jeder Phase des Zertifikatslebenszyklus. Zu diesen Phasen gehören die Beantragung und Registrierung von Zertifikaten, die Ausstellung und Bereitstellung, die Nutzung und Überwachung sowie das Auslaufen und die Erneuerung (oder in einigen Fällen der Widerruf).

Wird einer dieser Schritte vernachlässigt, können diese Zertifikate (und die Websites, die sie schützen) gefährdet sein.

Die letzte Phase, die zum Ablauf des Zertifikats führt, ist besonders wichtig, da der Ablauf des Zertifikats zu SSL-Ausfällen und Ausfallzeiten führen und sich äußerst nachteilig auf den Ruf eines Unternehmens, das Vertrauen der Kunden, die Daten und den Gewinn auswirken kann. Dieser Teil des Lebenszyklus ist mit der Ankündigung von Google, die Gültigkeitsdauer von Zertifikaten in Zukunft zu verkürzen, ebenfalls von besonderer Bedeutung geworden. Für diejenigen, die SSL/TLS-Zertifikate manuell verwalten, bedeutet eine kürzere Gültigkeitsdauer mehr IT-Ressourcen, die benötigt werden, um Schritt zu halten, und mehr Möglichkeiten für menschliche Fehler oder Nachlässigkeit.

Während dieses Prozesses ist es wichtig, den Grund im Auge zu behalten, warum Zertifikate überhaupt ein Ablaufdatum haben, und wie kürzere Gültigkeitszeiträume Unternehmen auf lange Sicht tatsächlich Vorteile bringen können.
 

Wie lange sind SSL/TLS-Zertifikate gültig?

Derzeit haben öffentliche SSL-Zertifikate eine maximale Gültigkeitsdauer von 200 Tagen. Diese wird sich weiter verkürzen und soll zwei weitere erhebliche Anpassungen erfahren. Im März 2027 wird die Gültigkeitsdauer auf 100 Tage sinken, und bis März 2029 wird die maximale Gültigkeitsdauer auf nur noch 47 Tage sinken.

Einer der Gründe, warum Google diese Entscheidung getroffen hat, ist, dass sie „die Automatisierung und die Einführung von Praktiken fördert, die das Ökosystem von barocken, zeitaufwändigen und fehleranfälligen Ausstellungsprozessen wegbringen.“

Manuelle Verfahren zur Erneuerung von Zertifikaten reichen nicht mehr aus, wenn die Zertifikate so häufig aktualisiert werden müssen. Dieser Ansatz ist bereits ineffizient, wenn Zertifikate länger als ein Jahr gültig sind. Wenn dies alle 47 Tage erforderlich ist, werden die ohnehin schon überlasteten IT-Abteilungen noch stärker beansprucht.

Glücklicherweise versprechen automatisierte Lösungen, die Unannehmlichkeiten zu beseitigen, die mit kürzeren Zertifikatslaufzeiten verbunden sind, und es den Unternehmen gleichzeitig zu ermöglichen, die Vorteile dieser kurzen Gültigkeitszeiträume zu nutzen - und ja, diese kürzeren Zeiträume sind in der Tat unglaublich vorteilhaft.

Warum laufen SSL-Zertifikate ab?

Der Ablauf ist ein entscheidender Teil des Lebenszyklus eines digitalen Zertifikats. Dies geschieht, wenn ein SSL-Zertifikat das Ende seiner festgelegten Gültigkeitsdauer erreicht. Zu diesem Zeitpunkt wird das Zertifikat nicht mehr als gültig angesehen und kann daher zu ernsthaften Sicherheitsproblemen führen.

Viele Bedenken unterstreichen die Notwendigkeit des Ablaufs von SSL-Zertifikaten. Im Folgenden werden einige der wichtigsten Probleme erörtert, die die Notwendigkeit häufigerer Ablaufdaten und Erneuerungen von Zertifikaten begründen.

Sicherheitsbedenken

Das Ablaufdatum von SSL-Zertifikaten zielt vor allem darauf ab, die Cybersicherheit zu erhöhen. Dies mag kontraintuitiv erscheinen, denn schließlich können abgelaufene Zertifikate Websites gefährden. Ohne Ablaufdatum würden die Zertifikate jedoch auf unbestimmte Zeit gültig bleiben, und wenn Hacker in die Website eindringen, können das Zertifikat und der Schlüssel gestohlen werden, um sich als die Kunden-Website auszugeben.

Durch die Förderung der automatischen Erneuerung von Zertifikaten wird der Ablauf von Zertifikaten minimiert und gehört der Vergangenheit an. Dies fördert auch eine automatisierte Schlüsselrotation, um das Risiko der Wiederverwendung von Schlüsseln und einer möglichen Gefährdung zu verringern.
 

Fortschritte in der Technologie

Die kryptografische Landschaft entwickelt sich schnell weiter, und Technologien, die wir derzeit als selbstverständlich ansehen, könnten bald veraltet sein. Wenn SSL-Strategien nicht mit den neuesten Technologien aktualisiert werden, bieten sie möglicherweise keinen ausreichenden Schutz mehr.

Insbesondere die Rechenleistung nimmt rasant zu, was dazu führen kann, dass einst wirksame kryptografische Algorithmen nicht mehr funktionieren. Das bedeutet, dass Zertifikate, die nicht ablaufen oder eine lange Ablaufzeit haben, ein Sicherheitsrisiko darstellen.

Richtlinien und gesetzliche Anforderungen

Sich entwickelnde Richtlinien erfordern aktualisierte Zertifikate, aber dies zu erreichen - insbesondere in großem Umfang - ist alles andere als einfach. Das Auslaufen von Zertifikaten schafft die Voraussetzungen dafür, dass neue Zertifikate den aktualisierten Richtlinien und Vorschriften entsprechen. Im Allgemeinen fördern Ablauf und Erneuerung die Überprüfung von Strategien für digitale Zertifikate und andere Sicherheitslösungen; all dies steht im Einklang mit den strengen Sicherheitsanforderungen verschiedener gesetzlicher Rahmenbedingungen.

Vorteile einer kürzeren Gültigkeitsdauer

Auf den ersten Blick mögen längere Gültigkeitszeiträume vorteilhaft erscheinen: Viele Menschen gehen davon aus, dass dadurch der Zeitaufwand für die Erneuerung begrenzt wird. Manche vermuten auch, dass lange Gültigkeitszeiträume bedeuten, dass ein Verfall weniger wahrscheinlich ist.

Dies ist zwar richtig, aber kürzere Gültigkeitszeiträume können die Sicherheit erhöhen, was langfristig finanzielle Verluste verringert und den Ruf der Marke verbessert. Zu den erwägenswerten Vorteilen gehören:

Erhöhte Sicherheit

Je länger digitale Zertifikate gültig sind, desto anfälliger sind sie - vor allem, wenn neue Schwachstellen in die Cybersicherheitslandschaft eindringen. Diese Schwachstellen können leicht ausgenutzt werden, was dazu führt, dass das Schlüsselpaar des Zertifikats gestohlen wird. Wenn das Auslaufen jedoch zu einer schnellen und strategischen Erneuerung führt, können stärkere kryptografische Strategien implementiert werden.

Verbesserte Einhaltung von Vorschriften

Mit dem Aufkommen neuer gesetzlicher Anforderungen wird es für Unternehmen immer schwieriger, Schritt zu halten. Kürzere Gültigkeitszeiträume werden von einem automatisierten Zertifikats-Lebenszyklus-Management (CLM) begleitet, so dass es einfacher sein sollte, die strengen Anforderungen einzuhalten.

Erhöhte Agilität

Krypto-Flexibilität ist eine Priorität, da neue Bedrohungen, insbesondere im Zusammenhang mit Quantencomputern, immer schneller auftauchen. Wenn die Gültigkeitsdauer kurz bleibt, ist eine schnellere Reaktion erforderlich, mit raschen Aktualisierungen, die auf neue Sicherheitsbedenken eingehen. Sollten digitale Zertifikate fälschlicherweise ausgestellt werden, sind sie außerdem nicht lange gültig. Dieser Ansatz kann sogar zu einer verbesserten Anpassung an organisatorische Veränderungen führen, da Unternehmen dynamisch reagieren können, wenn sich ihre Bedürfnisse oder die Branche ändern.

Nutzen Sie die CLM-Automatisierung mit Sectigo

Kürzere Gültigkeitszeiträume stehen vor der Tür, aber denken Sie daran: Dies sollte kein Grund zur Sorge sein, es sei denn, Sie sind vollständig auf manuelle Zertifikatserneuerungsprozesse angewiesen. Mit dem richtigen Ansatz können digitale Zertifikate aktuell und sicher gehalten werden, während gleichzeitig die Abläufe rationalisiert und die Kosten für die Erneuerung reduziert werden.

Manuelle Erneuerungsprozesse sind seit langem riskant, aber im Zusammenhang mit der kurzen Lebensdauer von Zertifikaten sind sie noch besorgniserregender. Dies ist der perfekte Zeitpunkt für den Einsatz automatisierter Lösungen, die sicherstellen, dass SSL/TLS-Zertifikate vor ihrem Ablaufdatum erneuert werden. Mit einer zentralisierten Plattform und einer leistungsfähigen Überwachung ist dies eine wichtige Ressource, um die Sicherheitsherausforderungen von morgen zu bewältigen.

Wenn Sie bereit sind, die Vorteile eines automatisierten Zertifikatslebenszyklusmanagements zu nutzen, sollten Sie sich eine der vertrauenswürdigsten Lösungen auf dem Markt genauer ansehen: https://www.sectigo.com/de/ent.... Erfahren Sie mehr über diese leistungsstarke CLM-Plattform oder nutzen Sie unsere kostenlose Testversion.

Möchten Sie mehr erfahren? Nehmen Sie Kontakt auf und buchen Sie eine Demo von Sectigo Certificate Manager!

Verwandte Beiträge:

Warum Ihr SSL-Zertifikat alle 3 Monate abläuft und wie Sie es verwalten

Wie sich Unternehmen auf kürzere Gültigkeitszeiträume von SSL/TLS-Zertifikaten vorbereiten sollten

Vorhersage für 2024: Keine Organisation wird vor den Herausforderungen der schrumpfenden Lebensdauer digitaler Zertifikate gefeit sein

Unternehmen aller Größen und Branchen sind anfällig für Probleme bei der Erneuerung von Zertifikaten. Der Erneuerungsprozess kann im Allgemeinen zeitaufwändig sein, aber wenn große Organisationen eine große Anzahl von Zertifikaten benötigen (und diese Teil einer komplexen IT-Infrastruktur sind), kann es für IT-Teams schwierig sein, damit Schritt zu halten. Leider sind auch kleine und mittelständische Unternehmen von diesen Problemen nicht ausgenommen, insbesondere angesichts der bevorstehenden Änderung, die die Gültigkeitsdauer von SSL-Zertifikaten auf nur noch 47 Tage verkürzt. Die kürzere Gültigkeitsdauer in Verbindung mit der Tatsache, dass es kleinen und mittleren Unternehmen manchmal an IT-Fachwissen mangelt, bedeutet, dass Unternehmen dieser Größe noch anfälliger für Ausfälle und abgelaufene Zertifikate sein können.

Die gute Nachricht? Zertifikatsausfälle sind keineswegs unvermeidlich. Durch die automatische Erneuerung von Zertifikaten können große Risiken umgangen werden, indem sichergestellt wird, dass alle SSL-Zertifikate auf dem neuesten Stand bleiben. Lesen Sie weiter, um zu erfahren, was dies bedeutet, warum es für alle - von kleinen bis hin zu großen Unternehmen - notwendig ist und welche Vorteile Sie bei der Implementierung einer automatischen Zertifikatserneuerung erwarten können.

Zum Verständnis von SSL-Zertifikaten

Secure Sockets Layer (SSL)/Transport Layer Security (TLS)-Zertifikate spielen eine grundlegende Rolle bei der Erleichterung der sicheren Webkommunikation. Diese Zertifikate verschlüsseln Daten, die zwischen Webservern und Browsern ausgetauscht werden, und schützen diese Daten so vor Eingriffen böswilliger Akteure. Darüber hinaus authentifizieren SSL-Zertifikate Identitäten, um zu bestätigen, dass die Benutzer mit legitimen Websites interagieren.

Es gibt viele Arten von SSL-Zertifikaten, die alle dazu dienen, die digitale Kommunikation zu schützen und das digitale Vertrauen zu stärken. Es gibt drei verschiedene Stufen der Zertifikatsvalidierung:

• Domain-Validierung (DV) : Der schnellste, einfachste und kostengünstigste Weg, eine dem Industriestandard entsprechende Verschlüsselung zu erhalten. Dieser Validierungstyp erfordert einen Eigentumsnachweis für die gesicherte Domain und wird normalerweise innerhalb weniger Minuten ausgestellt.
• Organisations-Validierung (OV) : OV umfasst einen etwas umfangreicheren Validierungsansatz, bei dem die Legitimität des mit einer bestimmten Domain verbundenen Unternehmens geprüft wird. Dies schafft ein höheres Maß an Vertrauen.
• Erweiterte Validierung (EV) : Als gründlichste Form der Validierung erfordern EV-Zertifikate tiefgreifende Maßnahmen, um alles zu überprüfen, von der rechtlichen Existenz einer Organisation bis hin zu ihrem physischen Standort. Dieser Typ ist der Industriestandard für eCommerce-Websites.

Innerhalb dieser Validierungsstufen gibt es verschiedene Varianten von Zertifikaten, darunter Single-Domain-, Wildcard- und Multi-Domain-Zertifikate. Ein Multi-Domain-Zertifikat ermöglicht es, mit einem einzigen Zertifikat mehrere Domains zu schützen. Wildcard-Zertifikate sind so konzipiert, dass sie eine Hauptdomäne und eine unbegrenzte Anzahl von Unterdomänen unter dieser Hauptdomäne schützen..

Derzeit können öffentliche SSL-Zertifikate nach der Erstausstellung bis zu 200 Tage gültig bleiben. Die Gültigkeitsdauer wird jedoch bis 2029 noch zweimal verkürzt, und die Verwaltung der Verlängerungen wird deutlich schwieriger werden, sobald die erwartete Gültigkeitsdauer von 47 Tagen in Kraft tritt. Um zu vermeiden, dass SSL-Zertifikate ihr Ablaufdatum erreichen, müssen Unternehmen jetzt damit beginnen, sich vorzubereiten, indem sie gezielte Strategien einschließlich der automatischen Zertifikatserneuerung implementieren.

Die Bedeutung der Erneuerung von SSL-Zertifikaten

Die Erneuerung spielt eine entscheidende Rolle im übergreifenden Lebenszyklus von Zertifikaten. In der Regel ist dies die letzte Phase, bevor der gesamte Zyklus wieder von vorne beginnt.

Wenn Zertifikate nicht rechtzeitig erneuert werden, laufen sie ab, was die Wahrscheinlichkeit von verheerenden Serviceunterbrechungen/Betriebsunterbrechungen, Kunden-/Markenreputationen drastisch erhöht und in einigen Fällen zu Sicherheitsverletzungen führt.

Obwohl es viele Möglichkeiten gibt, die Erneuerung von Zertifikaten zu handhaben, verlassen sich viele kleine bis mittlere Unternehmen immer noch auf manuelle Prozesse, die umständlich und fehleranfällig sind. Es gibt jedoch Lösungen für die automatische Erneuerung von SSL-Zertifikaten, die dazu beitragen können, die zahlreichen Risiken im Zusammenhang mit der manuellen Erneuerung und abgelaufenen Zertifikaten zu mindern. Dies ist besonders wichtig im Hinblick auf die oben erwähnten bevorstehenden Änderungen der Gültigkeitsdauer, da es deutlich mehr Zeit und Mühe kosten wird, ablaufende Zertifikate auf dem neuesten Stand zu halten.

Vorteile der automatischen Erneuerung

Der Schritt der Erneuerung ist eine äußerst wichtige Phase im gesamten CLM-Prozess (Certificate Lifecycle Management). Wenn Sie einen automatisierten SSL-Erneuerungsservice in Betracht ziehen, sollten Sie nach einer Lösung suchen, die zuverlässig, kosteneffizient, skalierbar und vielseitig ist. Zu den Vorteilen der Implementierung dieser Art von Automatisierung gehören:

• Vermeiden von Ablauffristen : Bei überlastetem IT-Personal und einer eskalierenden Verringerung der Gültigkeitsdauer von SSL-Zertifikaten kann es leicht passieren, dass man mit den vorhandenen Zertifikaten in Verzug gerät. Darüber hinaus haben manche Unternehmen Probleme mit der Transparenz von Zertifikaten und sind nicht in der Lage festzustellen, welche Zertifikate überhaupt erneuert werden müssen. Dies kann zu Abläufen führen, die Serviceunterbrechungen riskieren und die Datenintegrität gefährden. Automatisierte Lösungen stellen jedoch sicher, dass Zertifikate umgehend erneuert werden, wodurch das Risiko von Ausfällen drastisch reduziert wird.
• Erhebliche Zeitersparnis : Manuelle Erneuerungsprozesse sind unter den besten Umständen zeitaufwändig, aber diese Tatsache hat mit der zunehmenden Komplexität der IT-Umgebungen noch an Bedeutung gewonnen. Heutzutage ist es unglaublich schwierig, mit manuellen Erneuerungen Schritt zu halten, vor allem, wenn es sich um Hunderte (möglicherweise Tausende) von Zertifikaten handelt, die über große Netzwerke verteilt sind oder von einer Vielzahl von Zertifizierungsstellen (CAs) stammen. Automatische Lösungen beschleunigen diesen Prozess, so dass sich vielbeschäftigte IT-Experten auf andere wichtige Dinge konzentrieren können.
• Größere Genauigkeit : Selbst die erfahrensten IT-Fachleute sind anfällig für menschliche Fehler, und bei komplexen Prozessen wie der Ermittlung und Erneuerung von Zertifikaten sind solche Fehler besonders wahrscheinlich. Automatisierte Systeme sind für ihre Genauigkeit bekannt und bieten daher ein Höchstmaß an Sicherheit.

Einfach ausgedrückt: Automatische Erneuerungen sind lohnenswert, weil sie die allgemeine Cybersicherheit eines Unternehmens verbessern. Sicherheitsverletzungen und andere Sicherheitsbedenken können kostspielig sein und nicht nur zu erheblichen Ausfallzeiten führen, sondern auch den Ruf eines Unternehmens erheblich schädigen. Für kleine und mittelständische Unternehmen kann dies geradezu verheerend sein, da sie sich das Vertrauen ihrer Kunden hart erarbeiten und nach Sicherheitsverletzungen nur schwer wiedergewinnen können.

Wie Sie die Erneuerung von SSL-Zertifikaten automatisieren können

Die Automatisierung der Zertifikatserneuerung verspricht zahlreiche Vorteile, aber es kommt auf die Lösung an, die Sie für die Automatisierung dieses Prozesses verwenden. Der erste Schritt ist die Auswahl einer Plattform, und die Wahl der richtigen ist entscheidend.

Im Idealfall bieten automatisierte SSL-Erneuerungsdienste eine Reihe von Funktionen, darunter automatisierte Prozesse, die den gesamten Lebenszyklus eines Zertifikats abdecken - von der Suche bis zur Erneuerung und alles dazwischen. Die besten Plattformen bieten außerdem nahtlose Technologieintegrationen, die es ihnen ermöglichen, problemlos in der aktuellen IT-Umgebung eines Unternehmens zu funktionieren. Benachrichtigungen sind ebenfalls von entscheidender Bedeutung, da sie sicherstellen, dass auftretende Probleme mit digitalen Zertifikaten (z. B. die Notwendigkeit eines Widerrufs) schnell behandelt werden, bevor es zu erheblichen Ausfallzeiten kommt.

Sectigo bietet eine vertrauenswürdige Lösung, die nicht nur die Erneuerung von Zertifikaten automatisiert, sondern auch andere kritische Komponenten des Lebenszyklus von Zertifikaten: Erkennung, Bereitstellung, Einsatz und mehr. Sectigo Certificate Manager (SCM) Pro ist eine umfassende Lösung zur Rationalisierung und Automatisierung des gesamten Lebenszyklus von digitalen Zertifikaten. Dieses leistungsstarke Tool bietet Unternehmen die Möglichkeit, SSL-Zertifikate automatisch zu verwalten, zu überwachen und zu erneuern. Mit seinen fortschrittlichen Automatisierungsfunktionen reduziert diese Plattform den Verwaltungsaufwand für KMUs und IT-Teams erheblich, so dass sie sich auf strategischere Initiativen konzentrieren können, während ein kontinuierlicher Schutz gewährleistet wird.

Automatisieren Sie die Erneuerung von SSL-Zertifikaten mit Sectigo

Sind Sie bereit, sich keine Gedanken mehr über das drohende Risiko eines ablaufenden Zertifikats zu machen? Der Certificate Manager Pro von Sectigo automatisiert den Erneuerungsprozess, damit Ausfälle der Vergangenheit angehören. Unser System nutzt die Leistungsfähigkeit der Automated Certificate Management Environment (ACME), um eine Vielzahl von wesentlichen Zertifikatsverwaltungsaufgaben zu rationalisieren - einschließlich der zeitaufwändigen Zertifikatserneuerung.

Wenn Sie bereit sind, die Automatisierung zu nutzen und den Ärger und das Risiko der manuellen Zertifikatsverwaltung zu vermeiden, zögern Sie nicht, sich an Sectigo zu wenden. Starten Sie noch heute Ihre kostenlose Testversion und entdecken Sie die Vorteile der automatisierten Erneuerung von SSL-Zertifikaten.

Want to learn more? Get in touch to book a demo of Sectigo Certificate Manager!

Verwandte Beiträge:

Der sich entwickelnde Lebenszyklus von SSL/TLS-Zertifikaten und wie man mit den Änderungen umgeht

Wie erneuert man SSL-Zertifikate und wie automatisiert man den Vorgang?

Wie sich Unternehmen auf kürzere Gültigkeitszeiträume von SSL/TLS-Zertifikaten vorbereiten sollten

Während die derzeitige Gültigkeitsdauer dieser Zertifikate etwa ein Jahr beträgt (die Einzelheiten hängen von der Art des Zertifikats ab), zeigen jüngste Trends, dass diese Gültigkeitsdauer wahrscheinlich deutlich sinken wird. Im Jahr 2025 beschloss das CA/Browser Forum eine schrittweise Verkürzung der Gültigkeitsdauer öffentlicher SSL/TLS-Zertifikate. Die maximale Gültigkeitsdauer wurde im März 2026 auf 200 Tage verkürzt und wird sich im März 2027 weiter auf 100 Tage sowie im März 2029 auf 47 Tage verkürzen. Obwohl das Datum dieser Änderung nicht bekannt ist, war diese Ankündigung ein deutliches Zeichen dafür, was kommen wird.
 

Diese kürzeren Gültigkeitszeiträume bieten zwar wichtige Sicherheitsvorteile, bedeuten aber auch, dass Organisationen viermal so viel Zeit und Ressourcen für die jährliche Erneuerung von Zertifikaten aufwenden müssen. Ebenso erhöht sich das Risiko eines SSL-Ausfalls durch ein abgelaufenes Zertifikat erheblich, wenn die Arbeit manuell erledigt wird. Glücklicherweise gibt es automatisierte Tools für das Zertifikatslebenszyklus-Management (CLM), die diesen Prozess wesentlich rationaler, effizienter und risikofreier gestalten können.
 

In diesem Artikel erfahren Sie alles, was Sie über kürzere Gültigkeitszeiträume von SSL/TLS-Zertifikaten wissen müssen, einschließlich der Gründe für die kürzeren Gültigkeitszeiträume und was jeder, von KMUs bis hin zu Großunternehmen, tun sollte, um sich darauf vorzubereiten.

Gültigkeitszeiträume von SSL-Zertifikaten verstehen

Ein SSL-Zertifikat ist eine Art digitales Zertifikat, das die Identität einer Website authentifiziert und es Websites ermöglicht, eine verschlüsselte Verbindung zu verwenden, wenn Daten zwischen dem Browser eines Benutzers und dem Server der Website übertragen werden. Bei einer Website mit einem gültigen SSL-Zertifikat wird in der Adressleiste vor der Domain die Zeichenfolge HTTPS angezeigt.

Die Gültigkeit eines SSL-Zertifikats hängt von zwei Schlüsselfaktoren ab: dem Ausstellungsdatum und dem Ablaufdatum. Sobald ein SSL-Zertifikat ausgestellt wurde, in der Regel von einer vertrauenswürdigen Zertifizierungsstelle, wird das Ablaufdatum derzeit auf 200 Tage ab dem Ausstellungsdatum festgelegt. Die Gültigkeitsdauer ist für alle SSL-Zertifikat-Validierungstypen gleich, Domainvalidierung (DV) oder Organisationsvalidierte (OV) und erweiterte Validierung (EV) Zertifikate. Die Gültigkeitsdauer ändert sich jedoch für verschiedene Arten von digitalen Zertifikaten. Ein Code Signing-Zertifikat ist beispielsweise drei Jahre lang gültig. Unternehmen, die SSL-Zertifikate verwenden, erhalten wahrscheinlich Benachrichtigungen, wenn sich ihr Ablaufdatum nähert, um sie daran zu erinnern, dass sie erneuert werden müssen.

Gründe und Vorteile kürzerer Gültigkeitszeiträume

Die Umstellung auf kürzere Gültigkeitszeiträume für SSL-Zertifikate bietet mehrere Vorteile, aber der Hauptgrund ist die Verbesserung der Cybersicherheit.

Durch die Verkürzung der Gültigkeitszeiträume von SSL-Zertifikaten wird das Zeitfenster für die potenzielle Ausnutzung neuer Schwachstellen verkleinert. Durch die häufigere Erneuerung von SSL-Zertifikaten können diese Schwachstellen leichter entdeckt und behoben werden, sodass Hackern weniger Zeit für die Ausnutzung bleibt.

Durch die kürzere Gültigkeitsdauer sind auch falsch ausgestellte Zertifikate nur für einen kürzeren Zeitraum gültig.

Die Änderung soll die Nutzung von Automatisierung fördern, da manuelle Prozesse zur Erneuerung von SSL-Zertifikaten veraltet und riskant sind (dies wurde als ursprünglicher Grund in Googles Moving Forward, Together-Richtlinie angeführt). Unternehmen müssen agil sein und dynamischere und reaktionsschnellere Cybersicherheitspraktiken einführen, da sich Cyberbedrohungen weiterhin rasant entwickeln.

Der frühere Vertreter von Google im CA/B-Forum vertrat die Auffassung, dass SSL-Zertifikate nur etwa sechs Wochen gültig sein sollten, um eine optimale Zuverlässigkeit zu gewährleisten. Zwar haben die meisten Zertifikate vorerst eine längere Gültigkeitsdauer, doch der Trend zu kürzeren Gültigkeitszeiträumen ist jetzt eindeutig.

Herausforderungen für Unternehmen

Insgesamt bietet die Verkürzung der Gültigkeitsdauer von SSL-Zertifikaten einige große Sicherheitsvorteile, stellt Unternehmen und Website-Betreiber jedoch auch vor einige Herausforderungen – und diese Herausforderungen können je nach Unternehmensgröße unterschiedlich sein.
 

Unternehmen mit einer umfangreichen Netzwerkinfrastruktur müssen oft eine große Anzahl von SSL-Zertifikaten verwalten. Wenn diese Zertifikate alle 47 Tage erneuert werden müssen, wird die Verwaltung des Zertifikatslebenszyklus plötzlich zu einer Vollzeitbeschäftigung. Für diese Unternehmen ist die Automatisierung des Prozesses mithilfe eines Zertifikatslebenszyklus-Managementsystems von entscheidender Bedeutung.
 

Es ist ein weit verbreiteter Irrglaube, dass kürzere Gültigkeitszeiträume für SSL-Zertifikate KMU nicht wirklich betreffen, da sie weniger Zertifikate zu verwalten haben. Für kleine Unternehmen ist es jedoch genauso wichtig, den Überblick über diese Zertifikate zu behalten wie für große.

Für KMU ist das Risiko von Ausfällen und Sicherheitsverletzungen aufgrund abgelaufener Zertifikate erheblich. Heutzutage sind KMU häufig Ziele von Cyberangriffen, sodass die Aufrechterhaltung gültiger SSL-Zertifikate für die Sicherheitslage eines KMU von entscheidender Bedeutung ist. Automatisierte Tools für das Zertifikatslebenszyklus-Management können KMUs dabei helfen, ihre Zertifikate gültig zu halten und gleichzeitig den manuellen Aufwand und das erforderliche Wissen der Mitarbeiter zu reduzieren.

4 Möglichkeiten für Unternehmen, sich vorzubereiten

Der beste Zeitpunkt für Unternehmen, sich auf die bevorstehenden Änderungen der Gültigkeitsdauer von SSL-Zertifikaten vorzubereiten, ist jetzt. Es ist nicht empfehlenswert, sich erst nach der vollständigen Umsetzung der Änderung auf den neuesten Stand zu bringen.

Vor diesem Hintergrund finden Sie hier vier Schritte, die Unternehmen jeder Größe unternehmen können, um sich auf kürzere Gültigkeitszeiträume von SSL-Zertifikaten vorzubereiten:

1. Prüfung und Bestandsaufnahme

Sie sollten eine gründliche Bestandsaufnahme der vorhandenen digitalen Zertifikate durchführen, einschließlich ihrer Art, Ausstellungsdetails und Ablaufdaten. Dies fördert die Transparenz und hilft Ihnen, Ihre Zertifikate organisiert zu verwalten.

2. Implementieren Sie eine automatisierte Lösung für das Zertifikatslebenszyklus-Management

Durch die Verwendung eines automatisierten Tools für das Zertifikatslebenszyklus-Management wie der Sectigo Certificate Manager (SCM)-Plattform wird der Aufwand für die Zertifikatsverwaltung drastisch reduziert, sodass sich Ihr IT-Team auf andere wichtige Aufgaben konzentrieren kann.

Ein automatisiertes System zur Verwaltung des Lebenszyklus von Zertifikaten stellt rund um die Uhr sicher, dass SSL-Zertifikate gültig sind. Diese Tools können auch bei der Suche nach Zertifikaten helfen, indem sie blinde Flecken reduzieren und Ihnen dabei helfen, Zertifikate zu finden, von denen Sie möglicherweise nichts wissen (was wiederum Schwachstellen reduziert).

Durch die Automatisierung des Prozesses können Unternehmen SSL-Ausfälle vermeiden, da Verlängerungen rechtzeitig erfolgen und Zertifikate nicht ablaufen. Wenn Sie verhindern möchten, dass ein einfaches Versehen Ihrem Unternehmen erhebliche Ausfallzeiten verursacht, kann ein automatisiertes Tool zur Zertifikatsverwaltung Abhilfe schaffen.

3. Mitarbeiter schulen und weiterbilden

Es ist wichtig, dass Sie Ihre IT-Mitarbeiter in den Feinheiten des Zertifikatslebenszyklus-Managements und den bevorstehenden Änderungen der Gültigkeitsdauer schulen. Je besser sie den Prozess und ihre Verantwortlichkeiten verstehen, desto geringer ist die Wahrscheinlichkeit, dass Probleme auftreten.

Denken Sie daran, dass kürzere Gültigkeitszeiträume mehr manuelle Verwaltung von SSL-Zertifikaten bedeuten, es sei denn, Sie nutzen Automatisierung. IT-Mitarbeiter müssen auf die Änderung vorbereitet sein und wissen, wie sich Dinge wie Elternzeit oder das Ausscheiden von Mitarbeitern darauf auswirken können.

Durch die Durchführung von Schulungen, um die Teams über die neuesten Entwicklungen im Bereich SSL/TLS-Zertifikatsverwaltung und bewährte Verfahren für die Cybersicherheit auf dem Laufenden zu halten, kann sichergestellt werden, dass alle über dieses wichtige Thema informiert bleiben.

4. Wählen Sie zuverlässige Partner

Das Zertifikatslebenszyklus-Management muss von Ihrem Unternehmen nicht allein umgesetzt werden. Es ist wichtig, einen zuverlässigen Partner zu finden, der dafür sorgt, dass Ihr Unternehmen auf die bevorstehenden Änderungen vorbereitet ist. Sectigo ist eine weltweit vertrauenswürdige Zertifizierungsstelle und ein führender Anbieter von CLM-Automatisierungslösungen, der mit seinen Lösungen für das Zertifikatsmanagement zuverlässige Unterstützung bietet. Unsere CLM-Plattformen sind einfach, sicher und skalierbar.

Wie Sectigo helfen kann

Kürzere Gültigkeitszeiträume für SSL/TLS-Zertifikate haben zwar ihre Vorteile, erhöhen jedoch auch den Verwaltungsaufwand für IT-Teams in allen Organisationen.

Sectigo bietet zwei robuste Lösungen für die automatisierte Verwaltung des Zertifikatslebenszyklus: Sectigo Certificate Manager für Unternehmen und SCM Pro für KMUs. Wenn Sie mehr darüber erfahren möchten, wie diese beiden branchenführenden Lösungen Ihrem Unternehmen helfen können, sich auf kürzere Gültigkeitszeiträume für SSL/TLS-Zertifikate vorzubereiten, kontaktieren Sie uns noch heute.

Möchten Sie mehr erfahren? Nehmen Sie Kontakt auf und buchen Sie eine Demo von Sectigo Certificate Manager!

Verwandte Beiträge:

Die Lebensdauer von Zertifikaten verkürzt sich exponentiell

Warum läuft mein SSL alle 3 Monate ab?

Bewährte Verfahren für die Cybersicherheit von KMUs für 2024

Für die meisten Organisationen ist die wichtigste Erkenntnis nicht, ob sich MTCs letztendlich als dominantes Modell durchsetzen werden. Vielmehr wird bereits deutlich, welche betrieblichen Trends ihre Entwicklung vorantreiben.

Was sind Merkle-Tree-Zertifikate?

MTCs sind eine vorgeschlagene Form von X.509-Zertifikaten, die die öffentliche Protokollierung direkt in das Zertifikatsmodell integriert. Anstatt sich ausschließlich auf herkömmliche Zertifikatssignaturen zu stützen, können Zertifikate durch den Nachweis validiert werden, dass sie in einer öffentlich protokollierten Merkle-Tree-Struktur vorhanden sind. Dieser Ansatz soll den mit kürzeren Zertifikatslaufzeiten und größeren postquantenfesten Signaturen verbundenen Aufwand reduzieren und gleichzeitig Sicherheit und Transparenz gewährleisten.

Wichtig ist, dass MTCs kein Ersatz für X.509 sind. Der aktuelle Vorschlag beschreibt sie als eine neue Form von X.509-Zertifikaten und nicht als ein völlig eigenständiges PKI-System.

Kurzlebige Zertifikate könnten zur neuen Normalität werden

Eines der deutlichsten Signale, die sich aus den Diskussionen um MTCs abzeichnen, ist die wachsende Erwartung, dass die Gültigkeitsdauer von Zertifikaten weiter sinken wird. Für TLS-Zertifikate gilt die Vorgabe, die Gültigkeitsdauer schrittweise zu verkürzen, was bis 2029 zu einer Laufzeit von 47 Tagen führen wird. Im Zusammenhang mit MTCs wurden in den Diskussionen Gültigkeitsdauer von sieben Tagen erörtert, doch dieser Zeitraum ist im aktuellen Standard noch keine festgelegte Anforderung. Die operative Ausrichtung ist dennoch klar: Ein häufigerer Zertifikatsaustausch erhöht die Bedeutung zuverlässiger, wiederholbarer Prozesse.

• Zertifikatsverlängerungen und -ersetzungen könnten häufiger stattfinden.
• Manuelle Zertifikatsworkflows lassen sich in großem Maßstab immer schwerer aufrechterhalten.
• Fehler bei der Ausstellung, Bereitstellung oder Erneuerung müssen schnell erkannt werden.

Automatisierung wird zu einer geschäftlichen Anforderung

Für Zertifikatsteams sind MTCs ebenso sehr eine Frage des Betriebs wie der Kryptografie. Häufige Erneuerungen können nicht auf Tabellenkalkulationen, fragmentierte Skripte oder Tools sowie einmalige manuelle Installationen angewiesen sein. Unternehmen benötigen Automatisierung über den gesamten Zertifikatslebenszyklus hinweg, einschließlich:

• Erfassung und Bestandsaufnahme
• Ausstellung und Bereitstellung
• Verlängerung und Ersatz
• Widerruf und Überwachung

Ein automatisiertes Zertifikatslebenszyklusmanagement (CLM) kann Unternehmen dabei helfen, operative Risiken zu reduzieren und sich gleichzeitig auf Änderungen bei Zertifikatsformaten, Gültigkeitsdauern und kryptografischen Standards vorzubereiten. Unternehmen, die bereits über ein CLM verfügen, sind deutlich besser aufgestellt, um sich an zukünftige Zertifikatsmodelle anzupassen.

MTCs könnten die Automatisierung noch wichtiger machen, da der Zertifikatsbetrieb das Abrufen, Bereitstellen, Überwachen und Ausgeben mehrerer Zertifikatsformen umfassen könnte, die zu unterschiedlichen Zeitpunkten verfügbar werden.

Warum Automatisierung wichtiger denn je ist

Da die Gültigkeitsdauer von Zertifikaten immer weiter sinkt, gewinnen automatisierte Registrierungs- und Erneuerungsprozesse zunehmend an Bedeutung.

Der aktuelle MTC-Vorschlag beschreibt eigenständige und an Bezugspunkten orientierte Zertifikate, die zu unterschiedlichen Zeitpunkten verfügbar werden und je nach den Anforderungen der vertrauenden Partei bereitgestellt werden müssen. Die manuelle Verwaltung dieses Prozesses wäre in großem Maßstab schwierig. Unabhängig davon, ob Unternehmen letztendlich ACME oder andere Automatisierungstechnologien einsetzen, ist das zugrunde liegende Prinzip klar: MTCs könnten die manuelle Zertifikatsverwaltung zunehmend unpraktikabel machen.

Unternehmen werden wahrscheinlich mehrere Zertifikatstypen verwalten

Selbst wenn sich MTCs weitreichend durchsetzen, sollten Unternehmen nicht mit einem sofortigen Übergang rechnen.

Bestehende Anwendungen, Geräte, Infrastruktur und eingebettete Systeme werden sich wahrscheinlich mit unterschiedlicher Geschwindigkeit anpassen. Infolgedessen müssen Unternehmen möglicherweise direkt signierte Zertifikate neben neuen MTC-Zertifikatsformen verwalten, während sich die Unterstützung weiterentwickelt.

Tatsächlich beschreibt der aktuelle MTC-Vorschlag zwei Zertifikatsformen für denselben zugrunde liegenden Protokolleintrag: ein anfängliches eigenständiges Zertifikat und ein kleineres, auf einem Meilenstein basierendes Zertifikat, das verfügbar wird, nachdem der entsprechende Meilenstein zugewiesen wurde. Da die „Landmark-relative“ Form nur mit ausreichend aktuellen vertrauenden Parteien funktioniert, müssen Server möglicherweise beide Formen verwalten und für jede Verbindung die passende auswählen. Dies erhöht die betriebliche Komplexität, die ohne Automatisierung nur schwer zu bewältigen sein wird.

Krypto-Agilität ist die eigentliche Priorität

Die wichtigste Erkenntnis aus der MTC-Diskussion hat möglicherweise gar nichts mit MTCs selbst zu tun.

Unabhängig davon, ob die Branche letztendlich MTCs, ein anderes postquantenes Zertifikatsformat oder eine Kombination verschiedener Ansätze einführt, müssen Unternehmen in der Lage sein, sich schnell an die Weiterentwicklung der Standards anzupassen. Googles Post-Quantum-Roadmap betont ausdrücklich die kryptografische Agilität als grundlegende Fähigkeit für die Zukunft.

Unternehmen sollten sich auf Folgendes konzentrieren:

• die Führung eines vollständigen Bestandsverzeichnisses von Zertifikaten und kryptografischen Ressourcen
• die Implementierung eines automatisierten Zertifikatslebenszyklusmanagements
• die Festlegung einer klaren Strategie zur Vorbereitung auf die Post-Quantum-Ära
• Einführung von Technologien, die operative Flexibilität im Zuge der Weiterentwicklung von Standards unterstützen

Die Zukunft des Zertifikatsmanagements könnte MTCs beinhalten, doch am besten auf diese Zukunft vorbereitet sind jene Organisationen, die bereits heute in Automatisierung, Transparenz und kryptografische Agilität investieren.

Bei der manuellen Verwaltung des Zertifikatslebenszyklus (CLM) werden digitale Zertifikate mithilfe von manuell gesteuerten Prozessen durch ihre jeweiligen Phasen geführt: Ausstellung, Bereitstellung, Überwachung, Verlängerung, Widerruf oder Ablauf. Dieser Ansatz stützt sich auf Mitarbeiter, Tabellenkalkulationen, Erinnerungen, Skripte und nicht vernetzte Tools, um zertifikatsbezogene Aufgaben zu erledigen.

In der Praxis kann dies bedeuten, dass eine Zertifikatssignierungsanforderung (Certificate Signing Request, CSR) mit Befehlszeilentools erstellt, Unternehmensdaten übermittelt, Zertifikate auf Servern installiert und in Tabellenkalkulationen nachverfolgt werden. Diese Prozesse können mit steigendem Zertifikatsvolumen zu einer erheblichen operativen Belastung führen.

Inwiefern birgt die manuelle Zertifikatsverwaltung Cybersicherheitsrisiken?

Die manuelle Zertifikatsverwaltung verursacht zusätzlichen Aufwand, ist aber auch aus Sicht der Cybersicherheit problematisch. Die Tabellenkalkulationen und manuellen Übermittlungen, die betriebliche Herausforderungen mit sich bringen, erhöhen zudem das Risiko für menschliche Fehler, Fehlkonfigurationen oder versäumte Verlängerungen, wodurch Systeme ungeschützt bleiben.

Jeder manuelle Schritt birgt eine weitere Fehlerquelle, von der Eingabe falscher Zertifikatsdaten bis hin zur fehlerhaften Konfiguration von Zertifikaten während der Bereitstellung. Die Nachverfolgung mithilfe von Tabellenkalkulationen kann zudem dazu führen, dass bevorstehende Ablaufdaten leichter übersehen werden, was möglicherweise zu Ausfällen führen kann. Mögliche Risiken sind unter anderem:

• Unbekannte Zertifikate. Ohne zentralisierte Bestandsaufnahmen riskieren Unternehmen blinde Flecken. Eingeschränkte Transparenz erschwert es, Fehlkonfigurationen zu erkennen oder Verlängerungen im Blick zu behalten, insbesondere bei steigendem Zertifikatsvolumen.
• Ablaufdaten und Ausfälle. Bei der Nachverfolgung mithilfe von Tabellenkalkulationen können abgelaufene Zertifikate unbemerkt bleiben, was zu Ausfällen führt, die den Zugriff blockieren oder das Vertrauen untergraben. Ablaufdaten werden zudem wahrscheinlicher, wenn überlastete Teams, die einen großen Zertifikatsbestand verwalten, mit der Fülle an Zertifikaten und den verzögerten manuellen Prozessen nicht Schritt halten können.
• Fehlkonfigurationen. Von falschen Domainnamen bis hin zu fehlerhafter Bereitstellung treten verschiedene Fehlkonfigurationen auf, wenn manuelle Prozesse inkonsistent sind. Mit jedem zusätzlichen manuellen Schritt steigt das Fehlerrisiko.
• Verzögerte Reaktion auf Vorfälle. Eingeschränkte Transparenz erschwert es, bei einer Kompromittierung festzustellen, welche digitalen Zertifikate betroffen sind. Ohne zentralisierte Verwaltung müssen Teams betroffene Zertifikate möglicherweise manuell ausfindig machen, widerrufen und ersetzen, was die Reaktion auf Vorfälle verlangsamt.
• Uneinheitliche Durchsetzung von Richtlinien. Strenge Richtlinien verbessern die Rechenschaftspflicht, um das Vertrauen aufrechtzuerhalten, doch ihre konsequente Durchsetzung über fragmentierte Teams oder Systeme hinweg wird erschwert. Anforderungen hinsichtlich Algorithmen oder Schlüssellängen werden möglicherweise uneinheitlich angewendet, und diese Uneinheitlichkeit kann Sicherheitslücken begünstigen.
• Schwache Überwachung. Eine ad-hoc-basierte Nachverfolgung reicht möglicherweise nicht aus, um sorgfältige Sicherheitsstandards oder zugängliche Zertifikatsaufzeichnungen aufrechtzuerhalten. Compliance und Überwachung werden schwieriger, wenn Informationen zur Zuständigkeit sowie Aufzeichnungen über die Ausstellung, Erneuerung, den Austausch und die Sperrung von Zertifikaten unvollständig oder über verschiedene Systeme verstreut sind.

Warum es immer schwieriger wird, den Überblick zu behalten

Die manuelle Zertifikatsverwaltung lässt sich immer schwerer aufrechterhalten, da der Zertifikatsbestand über Cloud-Infrastrukturen, Anwendungen, Geräte, Workloads und Dienste hinweg wächst. Gleichzeitig verkürzen sich die Fristen für die Erneuerung öffentlicher SSL/TLS-Zertifikate, da die maximale Gültigkeitsdauer der Zertifikate immer weiter sinkt.

Vom CA/Browser Forum genehmigte Änderungen sind bereits in Kraft getreten, wodurch sich die Gültigkeitsdauer von zuvor 398 Tagen auf maximal 200 Tage verkürzt hat. Weitere Verkürzungen stehen bevor: Die am 15. März 2027 beginnende 100-Tage-Phase bringt Erneuerungszyklen von etwa drei Monaten mit sich, gefolgt von fast monatlichen Erneuerungsterminen, wenn 2029 die maximale Laufzeit von 47 Tagen in Kraft tritt.

Verteilte Infrastrukturen und die Ausweitung der Cloud verstärken diese Bedenken. Zertifikate müssen nicht nur häufiger erneuert werden, sondern es gibt von vornherein auch mehr Zertifikate, die erneuert werden müssen. Containerisierte Arbeitsabläufe erhöhen die Komplexität zusätzlich, insbesondere wenn Open-Source-Kubernetes diese Container in großem Maßstab verwaltet. Angesichts des beschleunigten Tempos der Orchestrierung wird die manuelle Nachverfolgung unhaltbar, und unerwartete Ablaufdaten werden wahrscheinlicher.

Wie reduziert Automatisierung zertifikatsbezogene Cybersicherheitsrisiken?

Die Zertifikatsautomatisierung begegnet den sich wandelnden Herausforderungen der Cybersicherheit mit zentralisierten Bestandsaufnahmen und richtliniengesteuerten Prozessen. Dieser Ansatz beschleunigt das Zertifikatslebenszyklusmanagement in jeder Phase und reduziert gleichzeitig Fehler.

Dieser Wandel beginnt mit der automatisierten Erfassung und Bestandsaufnahme, wodurch blinde Flecken reduziert werden, da sich Zertifikate oft über umfangreiche digitale Umgebungen verteilen. Mit einem vollständigeren Zertifikatsbestand wird die zentralisierte Überwachung effektiver. Diese zentralisierte Übersicht macht auf bevorstehende Ablauftermine aufmerksam und kann zudem aufkommende Probleme schnell aufdecken, sodass diese behoben werden können, bevor sie eskalieren.

Mit automatisierten CLM-Lösungen können Unternehmen Zertifikatsrichtlinien einheitlich anwenden, einschließlich Anforderungen an Algorithmen, Schlüssellängen und Gültigkeitsdauer. Auch die Bereitstellungsphase lässt sich automatisieren, um vermeidbare Fehler wie Tippfehler oder Versehen beim Kopieren und Einfügen zu verhindern. Sollten Zertifikate kompromittiert werden, beschleunigen automatisierte Sperr-Workflows die Reaktionszeiten, um das Risiko von Sicherheitslücken zu minimieren. Maßnahmen werden zentral protokolliert, um die Transparenz und Nachvollziehbarkeit zu verbessern, die Einhaltung von Vorschriften zu unterstützen und Audits zu vereinfachen.

ACME hilft bei der Automatisierung von Ausstellung und Verlängerung

Das ACME-Protokoll (Automatic Certificate Management Environment) bietet einen optimierten Ansatz für die Ausstellung und Erneuerung von Zertifikaten. Sobald kompatible ACME-Clients und -Integrationen konfiguriert sind, können wiederkehrende Aufgaben im Zertifikatslebenszyklus ohne manuellen Eingriff erledigt werden.

Automatisiertes CLM bietet zentrale Transparenz und Kontrolle

Das automatisierte Zertifikatslebenszyklus-Management geht über das ACME-Protokoll hinaus und schafft ein umfassendes System zur Verwaltung des gesamten Zertifikatslebenszyklus – ohne manuelle Prozesse. Während sich ACME auf die Ausstellung und Erneuerung konzentriert, decken automatisierte CLM-Plattformen wie der Sectigo Certificate Manager auch die Erkennung, Überwachung, Durchsetzung von Richtlinien und sogar die Sperrung ab. Der Zugriff auf die zentralisierte Überwachung erfolgt dann über Verwaltungs-Dashboards.

So wechseln Sie von der manuellen zur automatisierten Zertifikatsverwaltung

Unternehmen können schrittweise von der manuellen Verwaltung abrücken, anstatt eine vollständige Umstellung anzustreben und jeden Zertifikats-Workflow auf einmal zu automatisieren. Beachten Sie diese Schritte, um manuelle Workflows durch automatisierte, richtliniengesteuerte Prozesse zu ersetzen.

• Zertifikate erfassen. Die Erfassung schafft die Grundlage für automatisierte Strategien, indem sie aufzeigt, wo sich Zertifikate befinden. Im Idealfall suchen Erfassungslösungen in verschiedenen Umgebungen und bei mehreren Zertifizierungsstellen nach Zertifikaten.
• Verantwortlichkeiten zuweisen. Ermitteln Sie, wer für jedes Zertifikat oder jede Umgebung verantwortlich ist.
• Priorisieren Sie Systeme mit hohem Risiko. Beginnen Sie mit geschäftskritischen, öffentlich zugänglichen oder ausfallempfindlichen Systemen, bei denen Zertifikatsausfälle die größten Auswirkungen hätten, und erweitern Sie die Automatisierung dann im Laufe der Zeit.
• Zentralisieren Sie das Lebenszyklusmanagement. Implementieren Sie im Zuge der Ausweitung automatisierter Strategien Dashboards, die die Transparenz in den wachsenden Zertifikatsumgebungen verbessern. Nutzen Sie zentralisierte Strategien, um die Überwachung und die Durchsetzung von Richtlinien zu verbessern und so für Konsistenz zu sorgen, auch wenn das Zertifikatsvolumen weiter zunimmt.
• Erweitern Sie das System im Laufe der Zeit. Erweitern Sie die Automatisierung auf weitere Zertifikatstypen und Umgebungen, sobald sich die Arbeitsabläufe bewährt haben.

Automatisieren Sie das Zertifikatslebenszyklusmanagement mit Sectigo

Der „Cybersecurity Awareness Month“ erinnert uns daran, dass betriebliche Realitäten eng mit Sicherheitsherausforderungen verknüpft sind. Automatisierung kann beide Aspekte gleichzeitig angehen und so widerstandsfähige Infrastrukturen schaffen, die sich problemlos skalieren lassen und gleichzeitig vermeidbare Risiken begrenzen.

Sectigo Certificate Manager (SCM) ist eine automatisierte CLM-Plattform, die größere und komplexere Umgebungen unterstützt. Sie wurde für diejenigen entwickelt, die eine CA-unabhängige Lebenszyklusautomatisierung, zentralisierte Transparenz, die Durchsetzung von Richtlinien, Integrationen sowie die Verwaltung öffentlicher und privater digitaler Zertifikate benötigen.

SCM Pro richtet sich an kleinere Unternehmen und schlanke IT-Teams, die eine zentralisierte Übersicht über öffentliche SSL/TLS-Zertifikate, die Erkennung von Zertifikaten sowie eine geführte, ACME-basierte Automatisierung des Lebenszyklus benötigen.

Da Zertifikatsumgebungen immer komplexer werden und der Bedarf an Erneuerungen steigt, ist der Verzicht auf manuelles Zertifikatsmanagement zunehmend weniger eine Frage der Effizienz als vielmehr eine Notwendigkeit der Cybersicherheit.

In der Cybersicherheit hat ein Umdenken stattgefunden, und Vertrauen wird heutzutage nicht mehr als selbstverständlich vorausgesetzt. Da digitale Zertifikate eine immer wichtigere Rolle beim Aufbau vertrauenswürdiger Identitäten und verschlüsselter Verbindungen spielen, ist es unerlässlich, dieses Vertrauen aufrechtzuerhalten, da Unternehmen in ihrer gesamten digitalen Infrastruktur zunehmend auf Zertifikate angewiesen sind.

Kürzere Gültigkeitsdauern von Zertifikaten unterstützen diesen Wandel, indem sie die Zeitspanne verkürzen, in der potenziell veraltetes oder kompromittiertes Vertrauen bestehen bleiben kann. Außerdem zwingen sie Unternehmen dazu, Zertifikate häufiger zu überprüfen und zu ersetzen, wodurch ein automatisiertes Zertifikatslebenszyklusmanagement (CLM) für die Aufrechterhaltung von Sicherheit, Agilität und Kontinuität an Bedeutung gewinnt.

Kürzere Gültigkeitsdauer begrenzt das Risiko

Überblicke über den Zertifikatslebenszyklus konzentrieren sich oft darauf, wie digitale Zertifikate ermittelt, ausgestellt oder erneuert werden, doch auch Gültigkeitsfristen spielen eine wichtige Rolle bei der Begrenzung von Sicherheitsrisiken.

Eine kürzere Gültigkeitsdauer begrenzt die maximale Zeitspanne, in der ein digitales Zertifikat weiterhin als vertrauenswürdig gilt, falls sein Schlüssel kompromittiert wird, seine Informationen veralten oder ein anderes Sicherheitsproblem unentdeckt bleibt. Längere Gültigkeitsdauern führen zu einem größeren Sicherheitsrisiko und können daher dazu führen, dass potenziell problematische Zertifikate länger gültig bleiben.

Durch die Sperrung werden bekannte Fälle von Zertifikatskompromittierung behoben, doch was geschieht, wenn Zertifikatsprobleme unentdeckt bleiben? In diesem Fall bietet das Ablaufen des Zertifikats einen entscheidenden Schutz. Sobald ein Zertifikat abgelaufen ist, gilt es nicht mehr als gültig und muss ersetzt werden, bevor das Vertrauen wiederhergestellt werden kann.

Kürzere Gültigkeitsdauern tragen daher dazu bei, die Dauer eines unentdeckten Problems zu begrenzen. Die Sperrung kann bekannte Kompromittierungen beheben, während das Ablaufen der Gültigkeit ein definitives Ende der Gültigkeit eines Zertifikats darstellt, wenn Probleme verzögert erkannt oder gar nicht entdeckt werden.

Häufigere Validierungen halten das Vertrauen in Zertifikate auf dem neuesten Stand

Das CA/Browser Forum hat Wiederverwendungszeiträume für die Domain Control Validation (DCV) festgelegt, um zu bestimmen, wie lange eine frühere Validierung noch akzeptiert wird, bevor neue Überprüfungen durchgeführt werden müssen. Der Hauptzweck dabei ist, zu verhindern, dass die Validierung als dauerhaft angesehen oder behandelt wird.

Mit den festgelegten DCV-Fristen wird die Validierung zu einem fortlaufenden Prozess; wenn die Wiederverwendungsfristen kürzer sind, müssen Unternehmen die Domänenkontrolle häufiger überprüfen. Dadurch sinkt die Wahrscheinlichkeit, dass veraltete Validierungen auftreten, wenn Domänen den Eigentümer wechseln oder insbesondere, wenn der Zugriff kompromittiert wird.

Es wurde bereits viel über kürzere Gültigkeitsfristen für Zertifikate gesprochen, doch die Verkürzung der DCV-Fristen ist ebenso bemerkenswert. Gemäß den Anforderungen des CA/Browser-Forums werden diese bis 2029 auf nur noch 10 Tage sinken, parallel zur Verkürzung der maximalen Gültigkeitsdauer öffentlicher SSL/TLS-Zertifikate auf nur noch 47 Tage.

Kürzere Lebenszyklen verbessern die Krypto-Agilität

Der „Cybersecurity Awareness Month“ konzentriert sich nicht ausschließlich darauf, aktuelle Sicherheitsprobleme zu finden oder zu beheben. Vielmehr liegt ein klarer Fokus auf den bevorstehenden Bedrohungen und den anpassungsfähigen Sicherheitsstrategien, die erforderlich sind, um mit sich weiterentwickelnden Bedrohungen Schritt zu halten. Hier kommt das Konzept der Krypto-Agilität ins Spiel.

Krypto-Agilität ermöglicht es Unternehmen, zwischen kryptografischen Algorithmen zu wechseln, ohne den Betrieb oder die allgemeine Sicherheit wesentlich zu beeinträchtigen. Kürzere Zertifikatslebenszyklen unterstützen dies, indem sie die Nutzungsdauer älterer kryptografischer Konfigurationen verkürzen und den häufigeren Austausch von Zertifikaten zu einem Teil des normalen Betriebs machen. Der durch kürzere Lebensdauern entstehende operative Druck regt Unternehmen zudem dazu an, die Automatisierungen und Prozesse aufzubauen, die erforderlich sind, um zukünftige kryptografische Übergänge schneller und überschaubarer zu gestalten.

Als zentraler Vorteil, der vom CA/Browser Forum bei der Einführung des Ballots SC081v3 angeführt wurde, hat Krypto-Agilität enorme Auswirkungen auf den Übergang in das postquantenzeitalter. Der Übergang zur postquanten Kryptografie (PQC) wird Organisationen dazu verpflichten, quantenangreifbare Algorithmen in ihren gesamten Umgebungen zu ersetzen. Organisationen, die bereits automatisierte Lösungen eingeführt haben, sind gut aufgestellt, um diesen Übergang zu bewältigen.

Warum werden die Gültigkeitsdauer von SSL/TLS-Zertifikaten immer kürzer?

Kürzere Gültigkeitsdauern von Zertifikaten sind eine moderne Verbesserung der Cybersicherheit, die durch Sicherheitsbedenken im Zusammenhang mit kompromittierten Zertifikaten motiviert ist, aber auch durch die Erkenntnis der bevorstehenden Herausforderungen: das Post-Quanten-Zeitalter und die Notwendigkeit kryptografischer Agilität.

Bisher waren SSL/TLS-Zertifikate 398 Tage lang gültig und mussten jährlich erneuert werden. Apple schlug Änderungen vor, die schließlich vom CA/Browser Forum im Rahmen des Ballots SC-081v3 genehmigt wurden.

Während die offizielle Gültigkeitsdauer auf maximal 47 Tage festgelegt wurde, erstellte das CA/Browser Forum zudem einen Zeitplan zur Begleitung dieses Übergangs, der regelmäßige schrittweise Verkürzungen der Zertifikatslaufzeiten vorsieht. Wir sind bereits bei einer Gültigkeitsdauer von 200 Tagen angelangt (Stand: 15. März 2026), doch eine weitere große Umstellung steht bevor: Ab dem 15. März 2027 wird die Gültigkeitsdauer von Zertifikaten auf nur noch 100 Tage verkürzt. Die endgültige Begrenzung auf 47 Tage wird im März 2029 in Kraft treten.

Kürzere Gültigkeitsdauern erhöhen zudem das Risiko von zertifikatsbedingten Ausfällen

Kürzere Gültigkeitsdauern mögen aus Sicherheitsgründen notwendig sein, können jedoch bei unsachgemäßer Verwaltung selbst erhebliche Sicherheitsrisiken mit sich bringen. Wenn Zertifikate nur noch 47 Tage gültig sind, müssen sie fast monatlich erneuert werden. Werden Erneuerungen versäumt, können vertrauenswürdige Verbindungen ausfallen.

Abgelaufene Zertifikate können Browser-Warnungen auslösen, die Websites und Dienste für Nutzer unzugänglich machen. Dies beeinträchtigt das Nutzererlebnis, ist aber auch aus Reputationssicht problematisch – Ausfallzeiten sind frustrierend und deuten aus Sicht der Verbraucher auf umfassendere Sicherheitsschwächen hin.

Die Automatisierung des Zertifikatslebenszyklus macht kürzere Laufzeiten überschaubar

Das automatisierte Zertifikatslebenszyklusmanagement reduziert den betrieblichen Aufwand, doch seine Vorteile beschränken sich keineswegs auf Effizienz und Komfort. Zertifikatsautomatisierung wird zunehmend zu einem unverzichtbaren Sicherheitsfaktor, der notwendig ist, um Lücken und Schwachstellen zu begrenzen, während die Gültigkeitsdauer von Zertifikaten immer kürzer wird. Sie hilft Unternehmen dabei, diese Veränderungen zuverlässig und in großem Maßstab zu bewältigen.

Automatisierungsfunktionen mindern die Herausforderungen, die mit höheren Zertifikatsmengen (und häufigem Wechsel) in allen Phasen des Zertifikatslebenszyklus verbunden sind:

• Erfassung und Bestandsaufnahme. Automatisierte Lösungen verbessern die Transparenz, indem sie alle Zertifikate in gesamten Umgebungen lokalisieren. Erfassungsdienste nutzen umfassende Scans, um alle Zertifikate zu finden und zu katalogisieren, und mit der richtigen CLM-Plattform lassen sich diese über zentralisierte Dashboards einsehen und verwalten.
• Überwachung des Ablaufs. Die Erfassung verbessert die Transparenz, doch diese muss durch konsequente Überwachung aufrechterhalten werden. Ohne ausreichende Überwachung können Zertifikate unbemerkt ablaufen. Eine konsequente Überwachung stellt sicher, dass Verlängerungen rechtzeitig erfolgen.
• Automatisierte Verlängerungen. Die CLM-Automatisierung kann den manuellen Aufwand bei der Zertifikatsverlängerung reduzieren. ACME unterstützt die optimierte Ausstellung und Verlängerung von Zertifikaten, während kompatible Tools auch die Installation und Bereitstellung automatisieren können.

Wie bereiten sich Unternehmen auf diese Veränderung vor?

Der Cybersecurity Awareness Month bietet eine gute Gelegenheit, sich mit proaktiven Sicherheitsstrategien auseinanderzusetzen. Setzen Sie auf automatisierte Lösungen und bereiten Sie sich auf die bevorstehenden großen Veränderungen vor: kürzere Zertifikatslaufzeiten und DCV-Wiederverwendungszeiträume, gefolgt schließlich vom Übergang zur Post-Quantum-Sicherheit.

Beginnen Sie mit einer Bestandsaufnahme der digitalen Zertifikate und identifizieren Sie öffentlich vertrauenswürdige SSL/TLS-Zertifikate, deren Erneuerung oder Bereitstellung noch manuell erfolgt. Priorisieren Sie anschließend geschäftskritische Systeme und testen Sie automatisierte Erneuerungsworkflows noch vor dem 100-Tage-Stepdown im Jahr 2027. Unternehmen mit ausgereifteren Programmen können zudem das CLM-Reifegradmodell nutzen, um die nächsten Schritte zur Ausweitung von Automatisierung, Transparenz und zentraler Kontrolle zu ermitteln.

Die 47-Tage-Vorgabe gilt zwar nur für öffentlich vertrauenswürdige SSL/TLS-Zertifikate, doch auch private Zertifikate können von einer zentralisierten Verwaltung und gegebenenfalls kürzeren Gültigkeitsdauern profitieren. Ein frühzeitiger, umfassenderer Blick auf die Zertifikatsumgebung kann dazu beitragen, Verlängerungsfehler, zertifikatsbedingte Ausfälle und andere vermeidbare Lücken zu reduzieren, wenn das Zertifikatsvolumen und die Verlängerungshäufigkeit zunehmen.

Werfen Sie einen Blick in den 47-Tage-SSL/TLS-Leitfaden von Sectigo, um Einblicke zu gewinnen, einschließlich praktischer Schritte zur Bewältigung dieses Übergangs.

Machen Sie automatisiertes CLM zu einem Bestandteil Ihrer Cybersicherheitsstrategie

Der Cybersecurity Awareness Month erinnert uns daran, Cybersicherheitspraktiken aus einer breiteren Perspektive zu betrachten. Machen Sie eine Bestandsaufnahme manueller Prozesse und überlegen Sie, wo automatisierte Lösungen implementiert werden können, um vermeidbare Risiken zu begrenzen. Diese Verbesserungen haben den zusätzlichen Vorteil, dass sie betriebliche Einschränkungen beseitigen, insbesondere da der Übergang zu einer Laufzeit von 47 Tagen weiter voranschreitet.

Sectigo bietet zwei CLM-Plattformen an, die darauf ausgelegt sind, die Einschränkungen der manuellen Zertifikatsverwaltung zu überwinden. Der Sectigo Certificate Manager (SCM) unterstützt komplexe Unternehmensumgebungen, die eine CA-unabhängige Automatisierung des Zertifikatslebenszyklus, zentralisierte Transparenz, die Durchsetzung von Richtlinien und Kontrolle in großem Maßstab benötigen.

Kleine Unternehmen und Webadministratoren profitieren vom Einsatz von SCM Pro, das die Zertifikatsverwaltung vereinfacht und gleichzeitig die Automatisierung über das ACME-Protokoll nutzt. Entdecken Sie noch heute die Lösungen von Sectigo und machen Sie den nächsten Schritt zum Aufbau einer stärkeren Grundlage für digitales Vertrauen.

Phishing besteht aus betrügerischen Nachrichten, die darauf abzielen, Informationen oder Zugangsdaten zu stehlen oder den Empfänger zu schädlichen Handlungen zu verleiten. Diese Angriffe basieren in der Regel auf Identitätsdiebstahl, um den Anschein zu erwecken, dass die Nachrichten von einer vertrauenswürdigen Quelle stammen.

Früher waren Phishing-E-Mails oft schwer zu erkennen, wiesen jedoch dennoch einige entscheidende Anzeichen auf:

• Rechtschreibfehler
• Allgemeine Anredeformeln
• Schlampige Grammatik
• Versprechen, die zu gut klingen, um wahr zu sein
• Meldungen oder Aufforderungen zu dringenden Maßnahmen

Erfahrene Nutzer erkannten diese Betrugsanzeichen und reagierten entsprechend, doch heute sind Phishing-E-Mails weitaus ausgefeilter und daher überzeugender. Der Inhalt ist überzeugender, da die Angreifer auf ein professionelles Layout, persönliche Informationen, ähnliche Domains, gefälschte Benutzernamen oder verschiedene Kanäle (z. B. E-Mail und SMS) zurückgreifen können, um legitime Marken und Kontakte nachzuahmen. Künstliche Intelligenz kann zudem die Erstellung betrügerischer Nachrichten in großem Maßstab erleichtern und deren Erkennung allein anhand der Schreibqualität erschweren.

Die traditionellen Warnzeichen für Phishing bleiben zwar wichtig, reichen aber nicht mehr aus, um gefährliche E-Mails von legitimen zu unterscheiden.

Der Monat der Cybersicherheitsaufklärung unterstreicht die anhaltende Notwendigkeit, Phishing proaktiv zu erkennen und zu bekämpfen. Sowohl Absender als auch Empfänger können Maßnahmen ergreifen. Unternehmen können das Bewusstsein der Nutzer durch technische Schutzmaßnahmen und Vertrauensindikatoren fördern, die den Empfängern helfen, legitime Mitteilungen zu erkennen und verdächtige Nachrichten zu identifizieren.

Wie können Unternehmen die Erkennung legitimer E-Mails erleichtern

Die Verantwortung, Phishing-Angriffe von authentischen Nachrichten zu unterscheiden, sollte nicht ausschließlich beim Empfänger einer E-Mail liegen. Marken und E-Mail-Dienstleister können einen Großteil dieser Aufgabe übernehmen, indem sie Strukturen und Protokolle implementieren, die dazu beitragen, Phishing bereits an der Quelle zu bekämpfen . Verschiedene Protokolle wirken synergetisch zusammen, um E-Mail-Sicherheitsrisiken zu bekämpfen und visuelle Indikatoren für die Vertrauenswürdigkeit zu etablieren. Zu den wichtigsten zählen:

• SPF. Das Sender Policy Framework bildet die grundlegende Basis für verschiedene E-Mail-Sicherheitsmaßnahmen. Es hilft den empfangenden E-Mail-Servern zu überprüfen, ob die absendenden Server berechtigt sind, Nachrichten im Namen einer bestimmten Domain zu versenden.
• DKIM. Das Protokoll „DomainKeys Identified Mail“ nutzt die Public-Key-Kryptografie, um E-Mails mit einer kryptografischen Signatur zu versehen. Die empfangenden Systeme überprüfen diese Signatur mithilfe des öffentlichen Schlüssels der Domain. Dank des DKIM-Protokolls können sie die Authentizität der signierenden Domain überprüfen und feststellen, ob der Inhalt der signierten Nachricht verändert wurde.
• DMARC. Das DMARC-Protokoll (Domain-based Message Authentication, Reporting, and Conformance) stützt sich auf SPF und DKIM, um die Authentifizierung und die Konformität mit der „Von“-Domäne zu bewerten. Domain-Inhaber können Richtlinien veröffentlichen, die Empfänger dazu verpflichten, Nachrichten, die die Konformitätsauthentifizierung nicht bestehen, unter Quarantäne zu stellen oder abzulehnen.
• BIMI. Der E-Mail-Standard „Brand Indicators for Message Identification“ (BIMI) ermöglicht es Marken, die die Anforderungen erfüllen, verifizierte Logos neben ihren E-Mails in Posteingängen anzuzeigen, die diese Funktion unterstützen. BIMI nutzt die oben genannten Authentifizierungsstandards, sodass nur Domänen, die diese Standards ordnungsgemäß erfüllen, ihre Logos anzeigen können.

Markenzertifikate machen die authentifizierte Identität der Marke sichtbar

BIMI ermöglicht es Marken, ihre Logos in den Posteingängen anzuzeigen, während Marken-Zertifikate die von zahlreichen E-Mail-Anbietern für die Anzeige geforderte Validierung der Organisation und des Logos durch eine dritte Stelle gewährleisten. Dies fügt authentifizierten E-Mails ein visuelles Signal für eine unabhängig validierte Marke hinzu.

Es gibt zwei Arten von Marken-Zertifikaten, die dazu beitragen, die Vorteile der Markensichtbarkeit und des visuellen Vertrauens in den Posteingängen der Kunden zu gewährleisten. Verifizierte Marken-Zertifikate (VMC) ermöglichen es Marken, markenrechtlich geschützte Logos anzuzeigen und das blaue Häkchen von Gmail zu erhalten.

Gemeinsame Marken-Zertifikate (CMC) bieten eine Alternative für Organisationen, die die Anforderungen erfüllen, aber keine eingetragene Marke besitzen. Die Logos, die den Anforderungen entsprechen, müssen seit mindestens 12 Monaten öffentlich verwendet worden sein.

S/MIME-Zertifikate überprüfen die Identität der Absender und schützen die Integrität der E-Mails

Der Standard „Secure/Multipurpose Internet Mail Extensions“ (S/MIME) ermöglicht den Schutz von E-Mails durch Verschlüsselung und digitale Signaturen. Diese Zertifikate, die in der Regel über Zertifizierungsstellen (CA) erworben und auf E-Mail-Clients installiert werden, nutzen die Public-Key-Verschlüsselung, um den Inhalt von E-Mails, einschließlich der Anhänge, zu schützen.

Dank des S/MIME-Protokolls helfen digitale Signaturen den Empfängern, die Identität des Absenders zu bestätigen, und garantieren ihnen, dass die Nachrichten aus vertrauenswürdigen Quellen stammen. Darüber hinaus weist das S/MIME-Protokoll nach, dass die Nachrichten während der Übertragung nicht verändert wurden. Bei Verwendung der Verschlüsselung kann der Inhalt von Nachrichten und Anhängen so geschützt werden, dass nur der vorgesehene Empfänger sie entschlüsseln kann.

Diese Funktionen können den Schutz vor Phishing verstärken, indem sie den Empfängern ein zusätzliches Mittel zur Überprüfung der Identität des Absenders und der Integrität der Nachricht bieten und es Angreifern somit erschweren, sich als legitimer und signierter Absender auszugeben.

Integrieren Sie die Vertrauenswürdigkeit von E-Mails in Ihre Strategie zur Bekämpfung von Phishing

Das Erkennen und Melden von Phishing-Versuchen ist ein Schlüsselelement der Sensibilisierung für Cybersicherheit, doch da Betrugsversuche immer raffinierter werden, reicht es nicht mehr aus, sich auf das Erkennen klassischer Warnzeichen zu beschränken. Die Sensibilisierung der Nutzer muss durch technische Schutzmaßnahmen verstärkt werden. Standards wie SPF, DKIM und DMARC bilden eine Grundlage für die E-Mail-Authentifizierung. Sie helfen Unternehmen dabei, ihre Absenderdomänen zu schützen, und ermöglichen es den empfangenden Systemen, nicht autorisierte Nachrichten leichter zu identifizieren.

BIMI und Marken-Zertifikate (VMC oder CMC) stärken diese Glaubwürdigkeit durch visuelle Indikatoren, die diese technische Grundlage ergänzen. Dank BIMI und VMC (oder CMC) können validierte Markenlogos in kompatiblen Posteingängen angezeigt werden.

Bei diesem Ansatz spielen sowohl Absender als auch Empfänger eine wichtige Rolle. Unternehmen schaffen die Grundlage für eine sichere E-Mail-Kommunikation, indem sie die Protokolle SPF, DKIM, DMARC und BIMI implementieren und S/MIME hinzufügen, wenn eine Überprüfung der Absenderidentität, eine digitale Signatur oder eine Verschlüsselung erforderlich ist.

Die Empfänger tragen dazu bei, indem sie die Domains der Absender sorgfältig prüfen und auf validierte Markenlogos achten (sowie gegebenenfalls auf die blauen Häkchen von Gmail). Sie sollten es vermeiden, auf unerwartete oder verdächtig wirkende Links zu klicken. Die gleiche Vorsicht ist bei unerwarteten Anhängen geboten. Unerwartete oder heikle Anfragen sollten über andere Kanäle überprüft werden. Jeder festgestellte Phishing-Versuch muss umgehend gemeldet werden.

Sectigo stärkt das Vertrauen in E-Mails durch Lösungen, die auf verschiedene Aspekte der Identität und Sicherheit von E-Mails zugeschnitten sind. Mark-Zertifikate bestätigen die Identität der Marke und die Logos in kompatiblen E-Mail-Postfächern, während S/MIME-Zertifikate die Überprüfung des Absenders, die digitale Signatur, die Integrität der Nachrichten und die Verschlüsselung ermöglichen.

Ein Zertifikat, das in der Woche vom 15. März 2026 ausgestellt wurde, erreicht Anfang Oktober 2026 das Ende seiner 200-tägigen Gültigkeitsdauer – doppelt so schnell, wie es nach dem alten 398-Tage-Standard der Fall gewesen wäre. Das bedeutet, dass der Arbeitsaufwand für die Erneuerung, den Sicherheits- und IT-Teams jährlich einkalkuliert haben, nun zweimal im Jahr anfällt – und zwar zum ersten Mal in diesem Herbst.

Dies ist kein zukünftiges Risiko mehr, das man einplanen muss. Es ist ein aktuelles Risiko, das es zu bewältigen gilt.

Ein kurzer Rückblick: Wie es dazu kam

Im April 2025 genehmigte das CA/Browser Forum den Beschluss SC-081v3, einen Antrag, der ursprünglich von Apple vorgeschlagen und von großen Browser-Anbietern und Zertifizierungsstellen, darunter Google/Chrome, Mozilla und Sectigo, unterstützt wurde. Der Beschluss legte einen stufenweisen Zeitplan für die Verkürzung der Gültigkeitsdauer öffentlicher SSL/TLS-Zertifikate und der Wiederverwendungsfristen für die Domain-Kontrollvalidierung (DCV) fest:

Die Begründung war einfach: Längere Gültigkeitsdauern von Zertifikaten bedeuten längere Zeitfenster, in denen ein Risiko besteht, falls ein Zertifikat oder der ihm zugrunde liegende Schlüssel jemals kompromittiert wird, und längere Zeiträume zwischen den Validierungsprüfungen bedeuten, dass Daten zur Domain-Inhaberschaft veralten können. Kürzere Gültigkeitsdauern, gepaart mit dem Bestreben der postquantum-Kryptografie nach einer schnelleren Schlüsselrotation, sind Teil desselben umfassenderen Wandels hin zu Krypto-Agilität.

Das war die Richtlinie. Was nun auf die IT- und Sicherheitsteams zukommt, ist die operative Realität dieser Richtlinie.

Was ändert sich, wenn sich die Erneuerungszyklen verkürzen?

Die Halbierung der Gültigkeitsdauer von Zertifikaten verdoppelt nicht nur die Häufigkeit, mit der ein Zertifikat erneuert werden muss, sondern verstärkt auch jeden Prozess, der um diese Erneuerung herum aufgebaut ist:

• Das Erneuerungsvolumen verdoppelt sich sofort: Jedes Zertifikat, das ein Unternehmen verwaltet, erfordert nun doppelt so oft Aufmerksamkeit wie bei einer Gültigkeitsdauer von 398 Tagen. Teams, die bisher jährlich erneuert haben, müssen nun etwa alle sechs Monate erneuern, ohne dass sich der Aufwand pro Erneuerung verringert, wenn der Prozess weiterhin manuell abläuft.
• Lücken bei der Erfassung treten schneller zutage: Zertifikate, die bei einem 13-Monats-Zyklus nach dem Prinzip „einmal einrichten und vergessen“ verwaltet wurden, müssen nun bereits nach weniger als sieben Monaten erneut bearbeitet werden. Jedes Zertifikat, das beim ersten Mal nicht ordnungsgemäß erfasst wurde, ist früher als erwartet wieder fällig.
• Auch die Zeitfenster für die Wiederverwendung der DCV verkürzen sich: Die Zeiträume für die Wiederverwendung der Domain Control Validation (DCV) verkürzen sich parallel zur Gültigkeitsdauer der Zertifikate. Teams, die keinen wiederholbaren DCV-Workflow haben, werden diese Reibungsverluste bei jeder Verlängerung spüren, nicht nur bei einigen davon.
• Der Spielraum für Fehler schrumpft: Da Verlängerungen häufiger anstehen, stellt eine versäumte Verlängerung ein wiederkehrendes Risiko dar. Ausfälle aufgrund abgelaufener Zertifikate sind für Unternehmen, die sich noch auf Tabellenkalkulationen und Kalendererinnerungen verlassen, nur noch eine Frage des „Wann“, nicht mehr des „Ob“.

All dies gilt nicht nur für eine bestimmte Branche oder Unternehmensgröße. Jede Organisation mit öffentlich zugänglichen Zertifikaten (also fast alle) sieht sich derzeit gleichzeitig mit dieser Verknappung konfrontiert, was mit ein Grund dafür ist, dass die Auswirkungen in diesem Herbst breitflächig spürbar sind und nicht nur schrittweise zum Tragen kommen.

Die Kosten des Stillstands

Die manuelle Zertifikatsverwaltung war bereits vor der Verkürzung der Gültigkeitsfristen kostspielig. Eine im Auftrag von Sectigo durchgeführte Forrester Total Economic Impact™ (TEI)-Studie ergab jedoch, dass Unternehmen, die das Zertifikatslebenszyklusmanagement mit dem Sectigo Certificate Manager (SCM) automatisieren, eine Kapitalrendite von 243 % erzielten, darunter 1,3 Millionen Dollar an eingesparten Arbeitskosten für die Bereitstellung und 965.000 Dollar an reduzierten Verlängerungskosten über drei Jahre sowie weitere 2,4 Millionen Dollar an vermiedenen ausfallbedingten Kosten.

Diese Zahlen wurden auf der Grundlage eines langsameren Erneuerungsrhythmus berechnet. Bei einer Gültigkeitsdauer von 200 Tagen verdoppeln sich der Arbeitsaufwand und das Risiko, die durch die Automatisierung ausgeglichen werden. Jeder Dollar, den manuelle Prozesse pro Erneuerungszyklus kosteten, wird nun doppelt so oft ausgegeben, und jede Stunde, die mit der Suche nach ablaufenden Zertifikaten verbracht wurde, wird nun ebenfalls doppelt so oft aufgewendet. Die Rentabilitätsberechnung für die Automatisierung gilt auch bei einer Gültigkeitsdauer von 200 Tagen und wird mit jeder Verkürzung noch überzeugender.

Anzeichen dafür, dass Ihr Unternehmen noch nicht bereit ist

Der erste 200-Tage-Verlängerungszyklus deckt in der Regel immer wieder dieselben Lücken auf:

• Unvollständige, veraltete oder auf verschiedene Teams und Tools verteilte Zertifikatsbestände.
• Keine klare Zuständigkeit für Verlängerungen, DCV oder die Reaktion auf Zertifikatsvorfälle.
• Verfolgung von Verlängerungen, die in Tabellenkalkulationen, Tickets oder im Kalender einer einzelnen Person statt in einem zentralisierten System erfolgt.
• Kein automatisierter Ausstellungs- oder Verlängerungsprozess (z. B. über ACME) zumindest für die Zertifikatstypen mit dem höchsten Volumen.

Sollte Ihnen eines dieser Probleme bekannt vorkommen, ist dieser Erneuerungszyklus das Signal, noch vor Beginn des nächsten Zyklus (100-Tage-Gültigkeit) im März 2027 zu handeln.

Was in diesem Quartal zu tun ist

1. Stimmen Sie jetzt Ihren Zertifikatsbestand ab: Überprüfen Sie, welche Zertifikate um den 15. März herum ausgestellt wurden und bald ablaufen, und ermitteln Sie den jeweiligen Inhaber. Erstellen Sie dabei gleich eine Bestandsaufnahme aller Zertifikate in Ihrem Unternehmen.
2. Automatisieren Sie, was Sie können, bevor die nächste Verlängerung ansteht: Selbst eine teilweise Automatisierung für Ihre Zertifikate mit dem höchsten Volumen oder dem höchsten Risiko reduziert den Betriebsaufwand bei der nächsten Erneuerungswelle.
3. Legen Sie klare Zuständigkeiten zwischen den Bereichen Sicherheit, IT und DevOps fest: Der Rhythmus der Erneuerungen ist mittlerweile so hoch, dass Unklarheiten darüber, wer verantwortlich ist, zu erheblichen Verzögerungen führen.
4. Richten Sie Ihren DCV-Workflow ein (oder unterziehen Sie ihn einem Stresstest): Da die Wiederverwendungsfristen immer kürzer werden, ist ein wiederholbarer Validierungsprozess genauso wichtig wie die Verlängerung selbst. Ziehen Sie eine dauerhafte DCV von CLM-Anbietern wie Sectigo in Betracht, damit Sie die Domain-Validierung einmal einrichten und dann nicht mehr daran denken müssen.
5. Legen Sie Überwachungs- und Alarmschwellenwerte jetzt fest, nicht erst nach einem Beinahe-Ausfall: Da Verlängerungen nun alle sechs Monate statt jährlich anstehen, sind Alarmfenster, die auf einen 398-Tage-Zyklus abgestimmt sind, bereits veraltet.
6. Nutzen Sie diesen Zyklus als 100-tägigen Testlauf: Was auch immer diesmal nicht funktioniert oder zu lange dauert, muss genau vor März 2027 behoben werden, wenn sich derselbe Arbeitsaufwand erneut verdichtet.

Was die CLM-Automatisierung aus diesem Bild entfernt

Die Lücken, die in einem ersten 200-tägigen Verlängerungszyklus auftreten, betreffen selten die Zertifikate selbst. Sie betreffen vielmehr die manuellen Prozesse, die damit verbunden sind. Das automatisierte Zertifikatslebenszyklusmanagement (CLM) geht auf jeden einzelnen Punkt direkt ein:

• Erfassung: Ein kontinuierlich aktualisiertes Bestandsverzeichnis ersetzt einmalige Audits, sodass Zertifikate zwischen den Verlängerungszyklen nicht aus dem Blickfeld geraten.
• Ausstellung und Verlängerung: Protokolle wie die Automated Certificate Management Environment (ACME) ermöglichen die automatische Verlängerung von Zertifikaten, wenn ihr Ablaufdatum näher rückt, ohne dass eine Person die Termine manuell nachverfolgen muss.
• DCV: Zentralisierte, wiederholbare Workflows zur Domain-Validierung halten mit den immer kürzer werdenden Wiederverwendungsfenstern Schritt, anstatt bei jeder Verlängerung zu einem Engpass zu werden. Persistentes DCV vereinfacht die Domain-Validierung in großem Maßstab.
• Überwachung und Benachrichtigung: Dank zentraler Transparenz werden Zertifikate, deren Ablaufdatum näher rückt, bereits im Vorfeld als kritisch gekennzeichnet – und nicht erst, wenn die Servicequalität bereits beeinträchtigt ist.
• Governance: Klare Prüfpfade und Zuständigkeitsnachweise ersetzen die Unklarheiten, die die Reaktion verlangsamen, wenn doch einmal ein Eingreifen erforderlich ist.

Nichts davon beseitigt den zugrunde liegenden Richtlinienwechsel. Die Gültigkeitsdauer verkürzt sich weiterhin planmäßig und wird wahrscheinlich auch nach der 47-tägigen Übergangsphase weiter sinken. Was dadurch entfällt, ist der Aufwand und das Risiko, diesen Wandel manuell zu bewältigen.

Als Nächstes stehen 100 Tage an

Die 200-Tage-Gültigkeitsdauer wurde als Anpassungsfenster konzipiert, und für Organisationen, die jetzt handeln, kann sie das auch weiterhin sein. Doch die nächste Verkürzung ist bereits geplant: Am 15. März 2027 tritt eine maximale Gültigkeitsdauer von 100 Tagen in Kraft, wodurch sich der heutige Verlängerungszyklus erneut halbiert. Welche Lücken dieser erste 200-Tage-Zyklus auch immer aufdeckt – bei 100 Tagen werden sie nur noch schwerer zu bewältigen sein und bei der letztendlichen Höchstlaufzeit von 47 Tagen im Jahr 2029 werden sie unhaltbar.

Unternehmen, die diesen Zyklus nutzen, um echte Automatisierung aufzubauen, werden den nächsten Zyklus problemlos bewältigen. Unternehmen, die sich manuell durch den Zyklus flicken, werden in weniger als einem Jahr an eine noch größere Hürde stoßen.

Seien Sie der Erneuerungskurve mit SCM einen Schritt voraus

Die Häufigkeit von Erneuerungen wird bis 2029 weiter steigen. Die manuelle, kalendergesteuerte Zertifikatsverwaltung ist für dieses Tempo nicht ausgelegt, und der aktuelle Erneuerungszyklus beweist dies in Echtzeit.

Der Sectigo Certificate Manager (SCM) automatisiert die Erkennung, Ausstellung, Erneuerung und Überwachung von Zertifikaten durchgängig, sodass eine verkürzte Gültigkeitsdauer zu einer Konfigurationsänderung wird und nicht zu einer Notfallsituation. Vereinbaren Sie eine Demo, um zu sehen, wie SCM den bereits einsetzenden Erneuerungsansturm bewältigt.