Wenn der Zugang von einem Tag auf den anderen zumacht

Montagmorgen, der Außendienst meldet sich: Das Firmennetz nimmt niemanden mehr an. Nicht langsam, nicht wackelig. Der Zugang wird verweigert, mit einer roten Warnung, die nach Angriff aussieht. Im Haus läuft dabei alles weiter. Die Dateien liegen, wo sie liegen sollen, der Server dreht seine Runden, das Telefon klingelt. Nur von draußen kommt niemand mehr herein. Und als jemand nachsehen will, zeigt der Fernwartungszugang dieselbe Warnung.

Ein Angriff ist das selten. Meistens ist schlicht ein Zertifikat abgelaufen — derselbe digitale Ausweis, der im Browser das Schloss-Symbol trägt. Solche Ausweise sitzen nicht nur auf Websites, sondern auf jedem Gerät, das verschlüsselte Verbindungen annimmt. Ist der Ausweis abgelaufen, verweigert die Gegenstelle den Dienst. Das ist kein Fehler, sondern die Absicht: Eine Verbindung, deren Echtheit sich nicht mehr belegen lässt, gilt als unsicher.

Bisher war das eine überschaubare Angelegenheit. Einmal im Jahr tauschen, ein Kalendereintrag genügt, fertig. Diese Rechnung geht nicht mehr auf. Die erlaubte Laufzeit solcher Ausweise sinkt in festen Stufen, und daran ist niemand im Betrieb schuld. Es ist eine Regeländerung, die vor allem eines bewirkt: Aus einer lästigen Routine wird eine Ausfallursache, sobald der Takt schneller wird als der Mensch, der ihn bedient.

Auf einen Blick

Für öffentlich vertrauenswürdige TLS-Zertifikate — also für die Ausweise, denen jeder Browser und jedes Betriebssystem von sich aus vertraut — gilt seit dem 15. März 2026 eine Höchstlaufzeit von 200 Tagen. Zuvor waren 398 Tage erlaubt.
Ab dem 15. März 2027 sind es höchstens 100 Tage, ab dem 15. März 2029 höchstens 47 Tage.
Beschlossen wurde diese Staffel bereits am 11. April 2025 vom CA/Browser Forum, dem Gremium, in dem Zertifizierungsstellen und Browserhersteller ihre gemeinsamen Regeln festlegen.
Ihre Website ist dabei fast nie das Problem. Betroffen sind die Geräte im eigenen Haus, auf die einmal jemand von Hand ein Zertifikat hochgeladen hat.
Der Mechanismus ist die eigentliche Nachricht: Was zweimal im Jahr von Hand geht, geht achtmal im Jahr nicht mehr von Hand.
Die Aufgabe für den Betrieb ist keine technische, sondern eine organisatorische: eine Liste aller Geräte und Dienste mit Zertifikat — und je Eintrag die Frage, ob eine Automatik oder eine Person daran hängt.

Warum ein abgelaufenes Zertifikat sofort und vollständig blockiert

Es lohnt sich, den Unterschied zu anderen Störungen einmal auszusprechen, weil er die ganze Dringlichkeit trägt. Die meisten IT-Probleme kündigen sich an. Ein Datenträger wird langsam, ein Arbeitsspeicher wird knapp, eine Anwendung hakt beim Speichern. Man merkt etwas, ärgert sich, kümmert sich irgendwann.

Ein Zertifikat verhält sich anders. Es funktioniert bis zur letzten Sekunde tadellos und danach gar nicht mehr. Es gibt keinen Zwischenzustand, keine Warnstufe, keinen langsamen Verfall. Bis zum Ablaufzeitpunkt ist die Verbindung in Ordnung, eine Minute später wird sie abgelehnt — und zwar von der Gegenseite, also vom Browser, vom Mailprogramm, von der VPN-Software auf dem Notebook. Ihr eigenes Gerät kann sich darüber nicht hinwegsetzen.

Dazu kommt die Tücke, die diese Ausfälle so unangenehm macht: Sie treffen bevorzugt den Weg, über den man das Problem beheben wollte. Wenn das Zertifikat der Firewall abläuft, ist häufig auch deren Verwaltungsoberfläche betroffen. Wer den Betrieb aus dem Homeoffice stützt, sitzt dann vor einem Zugang, der genau deshalb zu ist, weil er repariert werden müsste. Man kommt an das Problem nur noch heran, indem jemand ins Gebäude fährt.

Die Staffel: 200, dann 100, dann 47 Tage

Die Regeln für diese Ausweise setzen nicht die Hersteller einzeln fest, sondern das CA/Browser Forum. Dort sitzen die Zertifizierungsstellen, die solche Ausweise ausstellen, gemeinsam mit den Herstellern der Browser, die ihnen vertrauen sollen. Das Regelwerk heißt Baseline Requirements, und darin steht ein Fahrplan, der am 11. April 2025 angenommen wurde:

Seit dem 15. März 2026: höchstens 200 Tage. Bis dahin waren 398 Tage zulässig, also gut dreizehn Monate.
Ab dem 15. März 2027: höchstens 100 Tage.
Ab dem 15. März 2029: höchstens 47 Tage.

Was das für den Alltag bedeutet, ist reine Rechenarbeit. Bei 398 Tagen fiel der Tausch einmal jährlich an. Bei 200 Tagen fällt er fast zweimal im Jahr an, bei 100 Tagen knapp viermal, bei 47 Tagen knapp achtmal. In der Praxis liegt der Takt jeweils noch etwas höher, denn erneuert wird sinnvollerweise nicht am letzten Tag, sondern mit Vorlauf.

Ein Punkt dazu, der oft für Verwirrung sorgt: Die Grenze gilt für das einzelne Zertifikat und wird bei seiner Ausstellung festgelegt. Sie greift nicht rückwirkend in ein laufendes Zertifikat hinein. Wer im Februar 2026 einen Ausweis mit langer Laufzeit bekommen hat, merkt von der ersten Stufe deshalb noch nichts — sondern erst bei der nächsten Erneuerung. Genau das ist der Grund, warum diese Änderung in vielen Betrieben bisher unbemerkt geblieben ist.

„Höchstens" heißt nicht „genau"

Eine Warnung, bevor jemand anfängt zu rechnen: Die 200 Tage sind eine Obergrenze, keine Zusage. Eine Zertifizierungsstelle darf kürzer ausstellen, und ob sie das tut, entscheidet sie selbst. Wer sich einen Termin ausrechnet, indem er 200 Tage auf das Ausstellungsdatum addiert, kann daher daneben liegen — im ungünstigen Fall um genau die Tage, die den Ausfall ausmachen.

Der richtige Weg ist unspektakulär: nicht rechnen, sondern nachsehen. Jedes Zertifikat trägt sein Ablaufdatum selbst, im Browser genauso wie in der Verwaltungsoberfläche eines Geräts. Dieses Datum gilt. Alles andere ist eine Schätzung, und Schätzungen sind bei einer Sache, die auf die Sekunde genau abschaltet, das falsche Werkzeug.

Let's Encrypt geht früher und tiefer

Viele Betriebe nutzen Zertifikate von Let's Encrypt, weil sie kostenlos sind und die Erneuerung von Haus aus automatisiert abläuft. Wer dort bezieht, sollte zwei weitere Daten kennen, denn diese Zertifizierungsstelle senkt die Laufzeiten aus eigenem Antrieb und schneller, als das Regelwerk verlangt:

Ab dem 10. Februar 2027: 64 Tage.
Ab dem 16. Februar 2028: 45 Tage.

Für Systeme, die ohnehin automatisch erneuern, ist das folgenlos — die Automatik zählt keine Tage, sie arbeitet einfach häufiger. Interessant sind diese Termine für den umgekehrten Fall: Wenn jemand Let's-Encrypt-Zertifikate von Hand erzeugt und von Hand auf ein Gerät kopiert, weil dieses Gerät keine automatische Erneuerung beherrscht, dann ist das der Punkt, an dem die Handarbeit zuerst kippt. Nicht 2029, sondern Anfang 2027.

Nicht die Website ist das Problem

Wer bis hierher an die eigene Firmenwebsite gedacht hat, darf beruhigt sein. Websites liegen fast immer bei einem Hoster oder hinter einem vorgelagerten Dienst, und dort erneuern sich Zertifikate seit Jahren automatisch. Diese Seite der Sache ist gelöst, bevor sie zum Problem wird.

Die Ausfälle entstehen woanders — bei den Geräten und Diensten im eigenen Haus, auf die einmal jemand von Hand ein Zertifikat hochgeladen hat. Typischerweise sind das:

Das VPN-Gateway oder die Firewall, über die der Außendienst und das Homeoffice hereinkommen.
Der Mailserver, wenn er im Haus steht und nicht beim Anbieter liegt.
Die Weboberfläche des NAS, also des Netzwerkspeichers, auf dem die Dateien liegen.
Der Fernwartungszugang, über den Ihr Dienstleister arbeitet.
Die Telefonanlage, sofern sie eine eigene Verwaltungsoberfläche mitbringt.
Die Zeiterfassung und jede andere selbst betriebene Anwendung mit Web-Login.

Diese Geräte haben eines gemeinsam: Sie sind unauffällig. Niemand meldet sich morgens an ihnen an, niemand sieht ihnen beim Arbeiten zu. Sie fallen erst auf, wenn sie nicht mehr funktionieren — und dann sofort und für alle.

Die Liste, die es in den meisten Betrieben nicht gibt

Und damit sind wir beim eigentlichen Befund. Nicht die kürzere Laufzeit ist das Problem, sondern eine Lücke, die schon vorher da war: In den meisten Betrieben existiert keine Aufstellung darüber, welche Geräte und Dienste überhaupt ein Zertifikat tragen.

Solange einmal im Jahr getauscht wurde, ist das nie aufgefallen. Ein Jahr ist lang genug, dass sich der Ablauf beiläufig regelt: Irgendwer bekommt eine Warnmail, irgendwer erinnert sich, irgendwer macht es. Bei knapp acht Terminen im Jahr, wie sie ab 2029 anstehen, verteilt auf sechs oder zehn Geräte, ist das kein beiläufiger Vorgang mehr. Es sind mehrere Dutzend Einzeltermine, die alle unabhängig voneinander eintreten und von denen jeder für sich einen Betriebsteil lahmlegen kann.

Erschwerend kommt hinzu, dass diese Termine nirgends zusammenlaufen. Jedes Gerät kennt nur sein eigenes Zertifikat. Es gibt keine Stelle, an der jemand alle Ablaufdaten nebeneinander sehen könnte — außer man baut sie sich. Genau das ist die Arbeit, die ansteht, und sie ist deutlich kleiner als ihr Nutzen.

Automatik oder Person — mehr Fragen braucht es nicht

Die Aufgabe lässt sich in drei Schritten beschreiben, und keiner davon erfordert Technikkenntnis.

Erstens: Die Liste anlegen. Alle Geräte und Dienste erfassen, die ein Zertifikat tragen. Die oben genannten sind der Ausgangspunkt, vollständig ist die Liste damit selten. Fragen Sie Ihren Dienstleister danach — er kann sie in der Regel zusammenstellen, ohne lange zu suchen, weil er die Geräte ohnehin betreut. Wichtig ist nur, dass die Liste danach an einer Stelle liegt, die auch jemand anders findet.

Zweitens: Je Eintrag eine Frage stellen. Erneuert sich dieses Zertifikat von selbst, oder hängt es an einer Person? Die Frage klingt banal und ist trotzdem die einzige, auf die es ankommt. Eine Automatik arbeitet in jedem Takt gleich zuverlässig, ob nun alle 398 oder alle 47 Tage. Eine Person nicht — sie hat Urlaub, wechselt den Arbeitgeber oder übersieht die Mail. Bei einem Termin im Jahr fällt das kaum ins Gewicht. Bei acht schon.

Drittens: Alles Personengebundene umstellen, und zwar bis zum Frühjahr 2027. Der Zeitpunkt ist nicht willkürlich gewählt: Mit der Stufe im März 2027 verdoppelt sich der Aufwand gegenüber der Stufe von 2026. Umstellen heißt dabei zweierlei, und beides ist vertretbar:

Automatische Erneuerung einrichten, wo das Gerät sie beherrscht. Das ist der eigentliche Zielzustand, weil er die Aufgabe vollständig aus dem Kalender nimmt.
Überwachung einrichten, wo das Gerät es nicht beherrscht. Ein Dienst, der die Ablaufdaten regelmäßig prüft und rechtzeitig warnt, verhindert zwar nicht die Handarbeit, aber den Ausfall. Das ist der kleinere Schritt, und er lässt sich kurzfristig einrichten.

Ob ein bestimmtes Gerät automatische Erneuerung unterstützt, hängt am Modell und an seiner Softwareversion — das ist eine Frage an den Hersteller, nicht an die Regel. Wo die Antwort dauerhaft Nein lautet, gehört sie bei der nächsten Ersatzbeschaffung auf die Kriterienliste: Ein Nachfolger, der die Erneuerung selbst erledigt, nimmt einen wiederkehrenden Handgriff dauerhaft aus dem Betrieb.

Zwei Verwechslungen, die wir vermeiden wollen

Selbst ausgestellte Zertifikate sind kein Ausweg. Die Staffel gilt für öffentlich vertrauenswürdige Zertifikate. Wer für interne Systeme eigene Zertifikate ausstellt, denen nur die eigenen Geräte vertrauen, ist von den Fristen tatsächlich nicht erfasst. Als Ausweichmanöver taugt das trotzdem nicht: Eine eigene Zertifikatsverwaltung aufzubauen und in jedem Browser, auf jedem Notebook und auf jedem Diensthandy zu verankern, ist ein eigenes Vorhaben mit eigenem Pflegeaufwand. Wer es nur tut, um kürzere Laufzeiten zu umgehen, tauscht eine kleine wiederkehrende Aufgabe gegen eine große dauerhafte.

Das hier hat nichts mit Secure Boot zu tun. In unserem Beitrag „Secure-Boot-Zertifikate 2026: jetzt prüfen" vom 15. Juni 2026 ging es ebenfalls um ablaufende Zertifikate, allerdings um eine völlig andere Sorte: um Ausweise in der Firmware von Rechnern, die beim Einschalten die Startsoftware prüfen. Gleiches Wort, anderer Gegenstand, anderer Handlungsbedarf. Wer beides gleichzeitig auf dem Tisch hat, sollte es getrennt behandeln.

Eine dritte Verbindung ist dagegen echt. Unser Beitrag „Wenn das Zertifikat streikt: Cloudflare-Störungen 2026" vom 22. Juni 2026 hat gezeigt, dass auch eine Automatik ausfallen kann und man deshalb selbst bei automatischer Erneuerung von außen mitschauen sollte. Beides zusammengenommen ergibt die vollständige Empfehlung: Automatik einrichten, wo es geht — und dann trotzdem überwachen, ob sie greift.

Unsere Einschätzung

Dieses Thema hat keinen Stichtag, an dem etwas Schlimmes passiert, und genau darin liegt seine Tücke. Es gibt kein Datum, das zum Handeln zwingt. Es gibt nur eine Entwicklung, die den Abstand zwischen zwei Terminen Stufe für Stufe verkürzt, bis eine Arbeitsweise, die jahrelang funktioniert hat, aufhört zu funktionieren. Wer erst reagiert, wenn der erste Ausfall da war, hat den denkbar teuersten Anlass abgewartet.

Der Aufwand steht dazu in keinem Verhältnis. Eine Liste anlegen, je Eintrag eine Frage beantworten, das Personengebundene umstellen oder wenigstens überwachen lassen — das ist ein überschaubares Vorhaben mit einem klaren Endpunkt. Danach ist ein Ausfall, der ganze Betriebsteile von außen unerreichbar macht, aus der Reihe der möglichen Montagmorgen gestrichen.

Wenn Sie nicht sicher sind, welche Geräte in Ihrem Haus ein Zertifikat tragen und woran deren Erneuerung hängt: Wir erstellen die Aufstellung, richten die automatische Erneuerung ein, wo die Geräte sie unterstützen, und legen für den Rest eine Überwachung an, die rechtzeitig warnt.

Zertifikate: Was zweimal im Jahr geht, geht achtmal nicht