Gilt die Regel für interne Zertifikate?

Nein; nur für öffentlich vertrauenswürdige TLS-Zertifikate. Eine interne PKI legt ihre Regeln selbst fest.

Ich habe ein Ein-Jahres-Zertifikat; wird es nach dem 15. März 2026 ungültig?

Nein. Die Regel gilt für neue Zertifikate, die ab diesem Datum ausgestellt werden; ein bestehendes Zertifikat bleibt bis zu seinem eigenen Ablauf gültig.

Dürfen Zertifizierungsstellen weiterhin Zertifikate mit mehr als 47 Tagen Laufzeit ausstellen?

Nein. Täten sie es, würden sie aus den Root-Stores entfernt; deshalb überschreitet keine Zertifizierungsstelle die Regel.

Ein Monat (31 Tage), ein halber Monat (15 Tage) und ein Tag Puffer: ein Verlängerungsfenster von einem Monat plus Reserve für Verzögerungen.

Ratgeber

Die 47-Tage-Regel: Was der CA/Browser-Forum-Beschluss SC-081v3 festlegt

Die maximale Laufzeit öffentlich vertrauenswürdiger TLS-Zertifikate sinkt bis 2029 stufenweise auf 47 Tage. Die Entscheidung fiel im April 2025; Termine und Laufzeiten stehen fest.

10. September 2026 · 6 Min. Lesezeit

Wer entschieden hat

Das CA/Browser Forum ist das Branchengremium, in dem Zertifizierungsstellen sowie Browser- und Betriebssystemhersteller seit 2005 gemeinsam die Regeln festlegen. Es ist keine gesetzliche Instanz; seine Wirkung beruht darauf, dass Browser nur den Zertifizierungsstellen vertrauen, die seine Regeln einhalten.

Mitglieder: Zertifizierungsstellen (Let's Encrypt, DigiCert, Sectigo, GlobalSign und weitere) sowie Betreiber von Root-Stores wie Google, Apple, Mozilla und Microsoft.
Das Regelwerk: Die TLS Baseline Requirements: wie öffentlich vertrauenswürdige TLS-Zertifikate ausgestellt und validiert werden und wie lange sie gültig sein dürfen.
SC-081v3: Die von Apple vorgeschlagene und im April 2025 per Abstimmung angenommene Änderung. Sie verkürzt die Laufzeit von Zertifikaten und die Wiederverwendungsfrist der Domainvalidierung stufenweise.
Durchsetzung: Eine Zertifizierungsstelle, die gegen die Regel verstößt, wird aus den Root-Stores entfernt, und ihre Zertifikate werden in Browsern ungültig. Deshalb ist die Entscheidung in der Praxis weltweit bindend.

Quelle: CA/Browser Forum, Ballot SC-081v3 (April 2025) und die TLS Baseline Requirements, Abschnitt 6.3.2.

Der Zeitplan

Datum	Maximale Laufzeit des Zertifikats	Wiederverwendung der Domainvalidierung
seit 2020	398 Tage	398 Tage
15. März 2026	200 Tage	200 Tage
15. März 2027	100 Tage	100 Tage
15. März 2029	47 Tage	10 Tage

Jeder Termin gilt für Zertifikate, die ab diesem Tag ausgestellt werden; früher ausgestellte Zertifikate bleiben bis zu ihrem eigenen Ablauf gültig.

Warum die Laufzeiten sinken

Das Zeitfenster, in dem ein nach außen gelangtes oder fehlerhaft ausgestelltes Zertifikat missbraucht werden kann, wird kürzer.
Sperrmechanismen (CRL, OCSP) funktionieren in Browsern nicht zuverlässig; kurze Laufzeiten ersetzen die Sperrung weitgehend.
Angaben zum Domaininhaber bleiben aktuell; alte Zertifikate leben nicht für Domains weiter, die den Besitzer gewechselt haben.
Die Branche wird zur Automatisierung gedrängt: Ein von Hand verlängertes Zertifikat ist im 47-Tage-Zyklus nicht tragbar.

Was sich für Organisationen ändert

Was heute einmal im Jahr erledigt wird, wiederholt sich 2029 achtmal im Jahr für jedes Zertifikat. Für eine Organisation mit 500 Zertifikaten bedeutet das Tausende Ausstellungen, Installationen und Verifizierungen pro Jahr.

Inventar: Ohne zu wissen, welches Zertifikat wo installiert ist, ist keine Verlängerung sicher; Erkennung und Inventar kommen zuerst.
Automatische Verlängerung: ACME (RFC 8555) automatisiert die Beschaffung von Zertifikaten; Wildcards und interne Namen benötigen DNS-Validierung (dns-01).
Verifizierte Installation: Das Zertifikat zu beschaffen reicht nicht; es muss auf dem Zielsystem installiert, der Dienst neu geladen und bestätigt werden, dass der Server das neue Zertifikat tatsächlich ausliefert.
Audit-Trail: Jede Verlängerung und jede Installation muss protokolliert werden; im 47-Tage-Zyklus lässt sich die Frage, wer wann was getan hat, nicht mehr von Hand beantworten.

Was jetzt zu tun ist

Inventar01
Jeden TLS-Endpunkt scannen; Zertifikate und die Systeme, auf denen sie installiert sind, in einer Liste zusammenführen.
Zuständigkeit02
Jedem Zertifikat ein verantwortliches Team und einen Schwellenwert für Benachrichtigungen zuordnen.
ACME03
ACME-Unterstützung bei den eigenen Zertifizierungsstellen und API-Zugang zum DNS-Anbieter klären; für Wildcards ist dns-01 erforderlich.
Installationsautomatisierung04
Die Installation verlängerter Zertifikate auf den Zielsystemen automatisieren, mit Sicherung, atomarem Schreiben und Verifizierung.
Probelauf05
Den Prozess in der 200-Tage-Phase auf echten Systemen durchspielen; 2027 für 100 Tage bereit sein.

Häufige Fragen

Gilt die Regel für interne Zertifikate?: Nein; nur für öffentlich vertrauenswürdige TLS-Zertifikate. Eine interne PKI legt ihre Regeln selbst fest.
Ich habe ein Ein-Jahres-Zertifikat; wird es nach dem 15. März 2026 ungültig?: Nein. Die Regel gilt für neue Zertifikate, die ab diesem Datum ausgestellt werden; ein bestehendes Zertifikat bleibt bis zu seinem eigenen Ablauf gültig.
Dürfen Zertifizierungsstellen weiterhin Zertifikate mit mehr als 47 Tagen Laufzeit ausstellen?: Nein. Täten sie es, würden sie aus den Root-Stores entfernt; deshalb überschreitet keine Zertifizierungsstelle die Regel.
Warum genau 47 Tage?: Ein Monat (31 Tage), ein halber Monat (15 Tage) und ein Tag Puffer: ein Verlängerungsfenster von einem Monat plus Reserve für Verzögerungen.

Quellen

Verwalten Sie Ihre Zertifikate an einem Ort

Inventar, Ablaufüberwachung, Verlängerung über ACME und verifizierte Installation, in Ihrer eigenen Infrastruktur.

Demo anfragen