Zertifikatsmanagement für KMU: Kürzere Laufzeiten und plötzliche Widerrufe meistern

Ende September 2026 zog die Bundesdruckerei-Tochter D-Trust überraschend Zertifikate zurück – mit der Folge, dass Browser die Website der AusweisApp nicht mehr akzeptierten. Was einer Bundesbehörde passiert, kann jedem KMU passieren: Ein Zertifikat wird widerrufen oder läuft unbemerkt ab, und plötzlich sind Webshop, Kundenportal oder VPN-Zugang nicht mehr erreichbar. Gleichzeitig verkürzen sich die maximalen Laufzeiten von TLS-Zertifikaten schrittweise auf 47 Tage. Zertifikatsmanagement wird damit vom lästigen Jahrestermin zur Daueraufgabe.

Warum Zertifikatsmanagement jetzt dringender wird

Die Laufzeiten schrumpfen – verbindlich

Das CA/Browser Forum, in dem Zertifizierungsstellen und Browserhersteller die Regeln für öffentliche TLS-Zertifikate festlegen, hat 2025 einen verbindlichen Fahrplan beschlossen:

• Seit 15. März 2026: maximal 200 Tage Laufzeit
• Ab 15. März 2027: maximal 100 Tage
• Ab 15. März 2029: maximal 47 Tage

Parallel wird die Zeitspanne verkürzt, in der eine einmal durchgeführte Domain-Validierung wiederverwendet werden darf. Im Klartext: Wer heute noch einmal im Jahr ein Zertifikat beim Anbieter kauft, per Hand auf den Server kopiert und den Webserver neu startet, muss das bald rund achtmal im Jahr tun – pro Zertifikat.

Widerrufe kommen ohne Vorwarnung

Zertifizierungsstellen sind verpflichtet, Zertifikate bei Fehlern in der Ausstellung innerhalb kurzer Fristen zu widerrufen – teils innerhalb von 24 Stunden, sonst nach spätestens fünf Tagen. Das betrifft auch Zertifikate, bei denen der Kunde selbst gar nichts falsch gemacht hat. Wer dann erst herausfinden muss, auf welchen Systemen das betroffene Zertifikat überhaupt installiert ist, verliert wertvolle Stunden.

Erinnerungs-Mails sind kein Sicherheitsnetz

Viele KMU verlassen sich auf die Ablauf-Erinnerung ihres Anbieters. Let’s Encrypt hat den Versand solcher E-Mails bereits im Juni 2025 eingestellt. Und selbst wo es sie noch gibt, landen sie oft im Postfach eines ehemaligen Mitarbeiters oder einer längst gekündigten Agentur.

Wo Zertifikate in KMU überall stecken

Ein häufiger Fehler: Man denkt nur an die Unternehmenswebsite. In der Praxis finden wir bei ostdeutschen KMU mit 20 bis 100 Mitarbeitenden regelmäßig deutlich mehr Stellen:

• Website, Webshop und Kundenportale
• Mailserver (SMTP, IMAP) und Webmail
• VPN-Gateways und Firewalls, etwa das Webinterface der OPNsense
• Nextcloud, Intranet, Ticketsystem
• Telefonanlagen wie FreePBX (Weboberfläche, SIP über TLS)
• Reverse Proxys und Load Balancer
• Drucker, NAS, Switches und IPMI-Schnittstellen mit eigenem Webinterface
• Interne Dienste mit Zertifikaten einer eigenen Firmen-CA

Jede dieser Stellen ist ein möglicher Ausfallpunkt. Besonders tückisch sind Zertifikate, die in Appliances oder Java-Keystores stecken – dort funktioniert eine automatische Erneuerung selten von selbst.

Schritt für Schritt zum belastbaren Zertifikatsmanagement

1. Inventar erstellen

Legen Sie eine Liste aller Zertifikate an: Hostname, Aussteller, Ablaufdatum, Speicherort, verantwortliche Person, Erneuerungsweg. Als Startpunkt helfen öffentliche Certificate-Transparency-Logs wie crt.sh: Dort sind alle öffentlich ausgestellten Zertifikate für Ihre Domains einsehbar – oft auch solche, von denen niemand mehr wusste. Interne Zertifikate ermitteln Sie mit einem Netzwerkscan, etwa mit nmap --script ssl-cert. Das Zertifikatsinventar gehört in Ihr IT-Asset-Management.

2. Erneuerung automatisieren mit ACME

Das ACME-Protokoll ist der Standard für automatische Zertifikatsausstellung. Let’s Encrypt nutzt es, inzwischen bieten es aber auch viele kommerzielle Zertifizierungsstellen an. Typische Werkzeuge:

• Certbot oder acme.sh auf Linux-Servern
• Caddy oder Traefik als Webserver bzw. Reverse Proxy mit eingebautem ACME
• OPNsense mit dem ACME-Client-Plugin für Firewall und HAProxy
• win-acme für Windows-Server und IIS

Wichtig: Nach der Erneuerung muss der jeweilige Dienst das neue Zertifikat auch laden. Ein Deploy-Hook, der Nginx, Postfix oder den VPN-Dienst neu lädt, gehört zu jeder Automatisierung dazu.

3. Systeme ohne ACME zentral versorgen

Für Geräte, die kein ACME können, gibt es zwei Wege: Entweder stellt man sie hinter einen Reverse Proxy, der die Zertifikate automatisch verwaltet, oder man verteilt Zertifikate per Skript bzw. Workflow. Mit n8n oder Ansible lässt sich das nachvollziehbar abbilden. Geräte, die weder das eine noch das andere zulassen, sollten auf der Austauschliste landen.

4. Ablauf überwachen – unabhängig von der Automatisierung

Automatisierung kann still scheitern: DNS-Änderung, Firewall-Regel, volle Festplatte. Deshalb braucht es eine zweite, unabhängige Kontrolle. Der Blackbox-Exporter in einem Grafana-/Prometheus-Monitoring prüft die Restlaufzeit aller Endpunkte und alarmiert, wenn ein Zertifikat weniger als 14 Tage gültig ist. Auch Uptime Kuma oder Zabbix können das.

5. Einen Widerrufs-Notfallplan haben

Für den Fall, dass eine Zertifizierungsstelle Zertifikate zurückzieht oder ein privater Schlüssel kompromittiert wurde:

1. Betroffene Zertifikate über das Inventar identifizieren
2. Neues Zertifikat ausstellen lassen – bei Bedarf bei einer zweiten Zertifizierungsstelle
3. Neues Schlüsselpaar erzeugen, alten Schlüssel nicht wiederverwenden
4. Auf allen Systemen austauschen und Dienste neu laden
5. Funktion von außen prüfen

Mit einer vollständig automatisierten Umgebung ist das eine Sache von Minuten. Ohne Automatisierung kann es Tage dauern. Der Ablauf gehört in den IT-Notfallplan.

6. Private Schlüssel schützen

Kürzere Laufzeiten begrenzen zwar den Schaden eines gestohlenen Schlüssels, ersetzen aber keinen Schutz. Schlüsseldateien gehören mit restriktiven Dateirechten auf den Server, nicht in E-Mail-Anhänge, Wikis oder Git-Repositories.

Häufige Fehler aus der Praxis

• Wildcard-Zertifikat überall: Ein einziges *.firma.de-Zertifikat auf zehn Systemen bedeutet zehn manuelle Austauschvorgänge und ein großes Risiko, wenn der Schlüssel abhandenkommt.
• Zertifikat beim Webdesigner: Die Agentur verwaltet das Zertifikat, niemand im Unternehmen hat Zugriff. Klären Sie Zuständigkeiten vertraglich.
• Zwischenzertifikate vergessen: Der Browser am Arbeitsplatz zeigt keinen Fehler, Smartphones und API-Clients aber schon.
• Nur auf Ablauf geachtet: Widerrufene Zertifikate sind bis zum Ablaufdatum formal “gültig”, werden aber von Clients abgelehnt. Monitoring sollte die Kette tatsächlich prüfen.

Wer die Grundlagen der TLS-Konfiguration auffrischen möchte, findet sie in unserem Beitrag zu HTTPS und TLS für KMU-Server.

Sie suchen Unterstützung in Dresden?

Rexoma hilft KMU in Dresden und ganz Sachsen beim Zertifikatsmanagement: Wir erstellen ein vollständiges Zertifikatsinventar, automatisieren die Erneuerung auf Linux-Servern, OPNsense-Firewalls und Reverse Proxys und richten ein Monitoring ein, das rechtzeitig warnt. So sind Sie für die 47-Tage-Laufzeiten gerüstet, bevor sie zum Problem werden. Nehmen Sie Kontakt mit uns auf – wir sind Ihr Ansprechpartner für IT-Sicherheit und Serverbetrieb in Dresden.

FAQ: Zertifikatsmanagement für KMU

Gelten die kürzeren Laufzeiten auch für interne Zertifikate?

Nein. Die Vorgaben des CA/Browser Forums betreffen öffentlich vertrauenswürdige TLS-Zertifikate. Zertifikate einer eigenen, internen CA können Sie selbst regeln. Aus Sicherheitsgründen sind aber auch dort überschaubare Laufzeiten und automatische Erneuerung sinnvoll.

Sind kostenlose Let’s-Encrypt-Zertifikate für Unternehmen geeignet?

Ja. Sie bieten dieselbe Verschlüsselung wie kostenpflichtige Domain-validierte Zertifikate und sind von Grund auf für Automatisierung ausgelegt. Für Ausfallsicherheit kann es sinnvoll sein, eine zweite ACME-fähige Zertifizierungsstelle als Ausweichoption vorzubereiten.

Was passiert, wenn ein Zertifikat abläuft?

Browser zeigen eine Warnseite, viele Besucher brechen ab. E-Mail-Server, Apps und Schnittstellen verweigern häufig komplett die Verbindung. Je nach System steht damit ein Geschäftsprozess still, bis das Zertifikat erneuert ist.

Wie erfahre ich, ob ein Zertifikat widerrufen wurde?

Zertifizierungsstellen informieren in der Regel per E-Mail an den hinterlegten Kontakt. Halten Sie diese Adresse aktuell, am besten ein Funktionspostfach. Ein Monitoring, das die Zertifikatskette von außen prüft, erkennt Probleme zusätzlich unabhängig davon.

Ab wann sollte ich mit der Umstellung beginnen?

Jetzt. Die Laufzeit liegt bereits bei 200 Tagen, ab März 2027 halbiert sie sich erneut. Wer die Automatisierung schrittweise einführt, hat bis 2029 genug Zeit, auch schwierige Altsysteme umzustellen oder zu ersetzen.