Ist ACME nur für Let's Encrypt?

Nein. Es ist ein offener IETF-Standard; auch kommerzielle Zertifizierungsstellen und interne PKI-Produkte bieten ihn an.

Welche Validierung braucht ein Wildcard-Zertifikat?

Nur dns-01. http-01 und tls-alpn-01 sind für Wildcards nicht zulässig.

Wo sollte der ACME-Client laufen?

Auf dem Server, der das Zertifikat nutzt, oder in einem zentralen Verwaltungssystem. Der zentrale Ansatz ist sicherer, wenn er mit einem Inventar und verifizierter Installation kombiniert wird.

Ratgeber

Was ist ACME? So funktioniert die automatische Zertifikatsverlängerung

ACME ist der offene Standard, der Beschaffung und Verlängerung von Zertifikaten zu einer API macht. Ein 47-Tage-Zyklus ist nur damit tragbar.

24. August 2026 · 7 Min. Lesezeit

Das Protokoll

ACME (Automatic Certificate Management Environment) ist in RFC 8555 definiert, veröffentlicht von der IETF im Jahr 2019. Entwickelt wurde es für Let's Encrypt; heute bieten kommerzielle Zertifizierungsstellen und interne PKI-Produkte dasselbe Protokoll an.

Konto01
Der Client registriert ein Konto bei der Zertifizierungsstelle; der Kontoschlüssel signiert jede Anfrage.
Bestellung02
Für die gewünschten Domainnamen wird eine Bestellung angelegt; die Zertifizierungsstelle liefert je Name eine Autorisierung zurück.
Validierung03
Der Client weist die Kontrolle über die Domain mit einer Challenge nach.
Abschluss04
Der Client reicht einen Certificate Signing Request (CSR) ein; die Zertifizierungsstelle signiert das Zertifikat.
Zertifikat05
Der Client lädt das Zertifikat und seine Zertifikatskette herunter. Installation und Verifizierung liegen außerhalb von ACME.

Validierungsmethoden

http-01: Die Zertifizierungsstelle ruft eine bestimmte Datei auf Port 80 der Domain ab. Einfach, aber für Wildcards nicht zulässig, und es braucht einen öffentlich erreichbaren HTTP-Endpunkt.
dns-01: Ein TXT-Eintrag wird unter _acme-challenge gesetzt. Der einzige Weg für Wildcards und für interne Systeme, die von außen nicht erreichbar sind; erfordert API-Zugang zum DNS-Anbieter.
tls-alpn-01: Die Validierung findet innerhalb des TLS-Handshakes auf Port 443 statt (RFC 8737). Hinter Load Balancern nur eingeschränkt nutzbar.

Zeitpunkt der Verlängerung

Faustregel: verlängern, wenn noch etwa ein Drittel der Laufzeit übrig ist. 30 Tage vor Ablauf bei einem 90-Tage-Zertifikat, rund 15 Tage bei einem 47-Tage-Zertifikat.
Verlängerungsstürme vermeiden: Am selben Tag ausgestellte Zertifikate verlängern sich am selben Tag; ein kleiner zufälliger Versatz beim Verlängerungszeitpunkt hilft.
ACME Renewal Information (RFC 9773): Die Zertifizierungsstelle veröffentlicht je Zertifikat ein empfohlenes Verlängerungsfenster und kann bei einem Vorfall eine vorzeitige Verlängerung anfordern.
Zertifizierungsstellen setzen Rate Limits durch; bei großen Erstausrollungen sind sie einzuplanen.

Welche Zertifizierungsstellen ACME anbieten

Let's Encrypt: Kostenlos, domainvalidiert, 90-Tage-Zertifikate; die am weitesten verbreitete ACME-Zertifizierungsstelle.
Kommerzielle Zertifizierungsstellen: Viele kommerzielle Zertifizierungsstellen bieten ACME-Endpunkte für Unternehmenskonten an; die Organisationsvalidierung wird einmal am Konto hinterlegt, spätere Ausstellungen laufen automatisch.
Interne PKI: Produkte wie Smallstep step-ca und HashiCorp Vault PKI bieten ACME intern an. Zertifizierungsstellen ohne ACME hinterlassen manuelle oder überbrückende Prozesse.

Was ACME nicht abdeckt

ACME beschafft das Zertifikat; es installiert es nicht auf dem Zielsystem, lädt den Dienst nicht neu und prüft das Ergebnis nicht. Im Unternehmen steckt die eigentliche Arbeit in dieser zweiten Hälfte.

Zertifikat und Schlüssel müssen sicher auf das Zielsystem gelangen; der private Schlüssel sollte dort bleiben, wo er erzeugt wurde.
Der Dienst muss ohne Ausfallzeit neu geladen werden, und erst, nachdem der Konfigurationstest bestanden ist.
Es muss bestätigt werden, dass das Zielsystem das neue Zertifikat tatsächlich ausliefert; bei einem Fehler erfolgt ein Rollback aus der Sicherung.
Jeder Schritt muss protokolliert werden.

Häufige Fragen

Ist ACME nur für Let's Encrypt?: Nein. Es ist ein offener IETF-Standard; auch kommerzielle Zertifizierungsstellen und interne PKI-Produkte bieten ihn an.
Welche Validierung braucht ein Wildcard-Zertifikat?: Nur dns-01. http-01 und tls-alpn-01 sind für Wildcards nicht zulässig.
Wo sollte der ACME-Client laufen?: Auf dem Server, der das Zertifikat nutzt, oder in einem zentralen Verwaltungssystem. Der zentrale Ansatz ist sicherer, wenn er mit einem Inventar und verifizierter Installation kombiniert wird.

Quellen

Verwalten Sie Ihre Zertifikate an einem Ort

Inventar, Ablaufüberwachung, Verlängerung über ACME und verifizierte Installation, in Ihrer eigenen Infrastruktur.

Demo anfragen