Reicht eine Benachrichtigung vor dem Ablauf nicht aus?

Eine Benachrichtigung ist notwendig, aber nicht ausreichend; wenn Verlängerung und Installation nach der Benachrichtigung weiterhin manuell erfolgen, bleibt die Fehlerquelle bestehen. Benachrichtigungen sollten die Absicherung für die verifizierte automatische Verlängerung sein.

Wer verfolgt den Ablauf von Root- und Zwischenzertifikaten?

Die Zertifizierungsstellen kündigen ihn an; auf Seiten der Organisation müssen die Trust Stores (Betriebssysteme, Anwendungen, Geräte) aktuell gehalten werden.

Ratgeber

Was kostet ein abgelaufenes Zertifikat? Öffentlich dokumentierte Ausfälle

Ein einziges abgelaufenes Zertifikat legt alles dahinter lahm. Die folgenden Vorfälle stammen aus öffentlichen Berichten; gemeinsam ist ihnen, dass niemand verfolgt hat, wo das Zertifikat installiert war und wann es ablaufen würde.

2. September 2026 · 5 Min. Lesezeit

Vorfälle

Microsoft Teams, Februar 2020: Am 3. Februar 2020 war Teams weltweit stundenlang nicht erreichbar; als Ursache nannte Microsoft ein abgelaufenes Authentifizierungszertifikat.
Spotify, August 2020: Am 19. August 2020 fiel Spotify etwa eine Stunde lang aus; das Unternehmen nannte ein abgelaufenes TLS-Zertifikat als Ursache.
Ericsson, Dezember 2018: Am 6. Dezember 2018 fielen die mobilen Datennetze vieler Betreiber aus, darunter O2 in Großbritannien und SoftBank in Japan; Ericsson bestätigte ein abgelaufenes Zertifikat in der Software des Kernnetzes. Millionen Teilnehmer waren stundenlang betroffen.
Let's Encrypt Root-Zertifikat, September 2021: Am 30. September 2021 lief die alte DST Root CA X3 ab; ältere Geräte und Software mit veralteten Root-Listen vertrauten gültigen Zertifikaten nicht mehr. Das Problem war nicht das Zertifikat, sondern das Management von Zertifikatskette und Trust Store.
Equifax, 2017: Laut Berichten der US-Regierung war das Zertifikat auf einem Gerät zur Prüfung des Netzwerkverkehrs abgelaufen und blieb monatelang unverlängert; deshalb blieb der Datenabfluss monatelang unbemerkt.

Gemeinsame Lehren

Dass das Zertifikat existierte, war bekannt; wo es installiert war und wann es ablaufen würde, wurde nicht verfolgt.
Die Verlängerung hing vom Gedächtnis einer Person oder einer Kalendererinnerung ab.
Der Ausfall begann mit einem Zertifikat und breitete sich auf jeden Dienst dahinter aus.
Ketten- und Root-Management gehören zum Zertifikatsmanagement; nur das Endzertifikat zu beobachten reicht nicht.

Was 47 Tage daran ändern

Ein Risiko, das heute einmal im Jahr auftritt, tritt 2029 achtmal im Jahr pro Zertifikat auf. Bei manueller Verlängerung wächst die Wahrscheinlichkeit, eines zu übersehen, im gleichen Verhältnis; Automatisierung und verifizierte Installation sind der einzige skalierbare Weg, diese Vorfälle nicht zu wiederholen.

Häufige Fragen

Reicht eine Benachrichtigung vor dem Ablauf nicht aus?: Eine Benachrichtigung ist notwendig, aber nicht ausreichend; wenn Verlängerung und Installation nach der Benachrichtigung weiterhin manuell erfolgen, bleibt die Fehlerquelle bestehen. Benachrichtigungen sollten die Absicherung für die verifizierte automatische Verlängerung sein.
Wer verfolgt den Ablauf von Root- und Zwischenzertifikaten?: Die Zertifizierungsstellen kündigen ihn an; auf Seiten der Organisation müssen die Trust Stores (Betriebssysteme, Anwendungen, Geräte) aktuell gehalten werden.

Quellen

Let's Encrypt · Ablauf der DST Root CA X3 (September 2021)
Weitere Vorfälle: die öffentlichen Statusseiten der Unternehmen und die Presseberichterstattung der jeweiligen Zeit (2017–2020)

Verwalten Sie Ihre Zertifikate an einem Ort

Inventar, Ablaufüberwachung, Verlängerung über ACME und verifizierte Installation, in Ihrer eigenen Infrastruktur.

Demo anfragen