SSL-Zertifikat verlängern: Schritt-für-Schritt-Anleitung für 2026

Um ein SSL-Zertifikat zu verlängern, erzeugen Sie vor Ablauf des alten ein neues Zertifikat für dieselbe Domain, installieren es auf Ihrem Server oder Ihrer Plattform und prüfen das neue Ablaufdatum. Mit Let's Encrypt erledigt ein einziger Befehl (certbot renew) alles, und ein Timer führt ihn zweimal täglich für Sie aus. Haben Sie ein Zertifikat bei einer kommerziellen CA gekauft, erstellen Sie einen neuen CSR, durchlaufen die Domainvalidierung erneut, laden die neuen Dateien herunter und tauschen sie aus. Diese Anleitung behandelt beide Wege sowie Hosting-Panels und CDNs und zeigt, wie Sie prüfen, ob die Verlängerung wirklich funktioniert hat.

Der Einsatz steigt. Seit dem 15. März 2026 darf keine öffentliche CA mehr Zertifikate mit einer Laufzeit von über 200 Tagen ausstellen, und 2029 sinkt die Obergrenze auf 47 Tage (CA/Browser Forum, Abstimmung SC-081v3, angenommen im April 2025). Die Verlängerung ist keine jährliche Pflichtaufgabe mehr. Sie wird zu einem laufenden Prozess, und der einzige realistische Weg mitzuhalten ist Automatisierung.

Warum die SSL-Verlängerung 2026 wichtiger ist als je zuvor

Ein abgelaufenes Zertifikat versagt nicht sanft. Browser blockieren die Seite mit einer Vollbildwarnung (NET::ERR_CERT_DATE_INVALID in Chrome), API-Clients scheitern am TLS-Handshake, und E-Mail- sowie Monitoring-Integrationen werfen Fehler. Eine einzige vergessene Verlängerung legte Microsoft Teams am 3. Februar 2020 für rund drei Stunden lahm (TechCrunch), und ein abgelaufenes Zertifikat in Ericsson-Technik kappte am 6. Dezember 2018 Millionen O2- und SoftBank-Kunden das mobile Internet (The Register).

Kürzere Laufzeiten vervielfachen die Zahl der Verlängerungen, die Sie fehlerfrei hinbekommen müssen. Die Tabelle zeigt den Branchenfahrplan, den jede öffentliche CA einhalten muss.

Let's Encrypt, das nach eigenen Angaben über 700 Millionen Websites versorgt und Ende 2025 erstmals mehr als zehn Millionen Zertifikate an einem einzigen Tag ausgestellt hat (Let's Encrypt, 9. Dezember 2025), geht schneller voran als vorgeschrieben: Das Standardprofil wechselt am 10. Februar 2027 von 90-Tage- auf 64-Tage-Zertifikate und am 16. Februar 2028 auf 45-Tage-Zertifikate (Let's Encrypt, 2. Dezember 2025).

Verlängerungen pro Jahr für ein Zertifikat je maximaler Laufzeit (365 geteilt durch die Laufzeit in Tagen). Quellen: CA/Browser Forum SC-081v3; Let's Encrypt, 2. Dezember 2025. Eine Website mit zehn Zertifikaten zu 47 Tagen braucht rund 78 erfolgreiche Verlängerungen pro Jahr.

Schritt 1: Herausfinden, wie Ihr Zertifikat ausgestellt wurde

Die Verlängerungsmethode hängt ganz davon ab, woher das Zertifikat stammt. Führen Sie dies auf dem Server aus, um Aussteller und Ablaufdatum zu sehen:

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -issuer -dates

Die Zeile issuer verrät, welchem Weg Sie folgen müssen.

Schritt 2a: Let's Encrypt-Zertifikat mit Certbot verlängern

Let's Encrypt-Zertifikate gelten heute 90 Tage, und der mit Certbot paketierte Timer versucht zweimal täglich eine Verlängerung, verlängert aber nur, wenn weniger als 30 Tage verbleiben (Certbot-Dokumentation). Zeigt eine Website ein abgelaufenes Let's Encrypt-Zertifikat, schlägt die Automatisierung also seit mindestens einem Monat fehl.

Listen Sie zuerst auf, was Certbot kennt:

sudo certbot certificates

Testen Sie dann eine Verlängerung, ohne etwas zu verändern:

sudo certbot renew --dry-run

Läuft der Testlauf durch, starten Sie die echte Verlängerung und laden den Webserver neu:

sudo certbot renew
sudo systemctl reload nginx

Certbot meldet "Cert not yet due for renewal", wenn noch mehr als 30 Tage verbleiben; das ist normal. Wollen Sie trotzdem vorzeitig verlängern (etwa nach einer Änderung der Schlüssellänge), ergänzen Sie --force-renewal für ein einzelnes Zertifikat mit certbot renew --cert-name example.com --force-renewal, aber lassen Sie es nie in einem Cronjob stehen, denn Let's Encrypt begrenzt Duplikatzertifikate auf 5 pro Woche.

Prüfen Sie, ob der Timer aktiv ist, damit das ohne Ihr Zutun so weitergeht:

systemctl list-timers | grep certbot

Zwei Änderungen seit 2025 sind hier wichtig. Let's Encrypt hat die Ablauf-Warnmails am 4. Juni 2025 eingestellt und die gespeicherten Adressen gelöscht (Let's Encrypt, 26. Juni 2025), es erinnert Sie also niemand mehr. Und moderne ACME-Clients können die CA per ACME Renewal Information (ARI, RFC 9773) nach einem empfohlenen Verlängerungsfenster fragen; Certbot nutzt das ab Version 2.9. Halten Sie den Client aktuell, damit er ARI statt eines fest codierten Intervalls folgt; Let's Encrypt warnt ausdrücklich, dass eine Verlängerung im starren 60-Tage-Takt den Wechsel zu 45-Tage-Zertifikaten nicht übersteht.

Schritt 2b: Gekauftes Zertifikat verlängern (DigiCert, Sectigo, GoDaddy und andere)

Kommerzielle Zertifikate lassen sich nicht "verlängern" im Wortsinn. Verlängerung bedeutet, dass die CA ein komplett neues Zertifikat ausstellt, der Ablauf gleicht also der ursprünglichen Bestellung.

1. Neuen privaten Schlüssel und CSR auf dem Server erzeugen. Den alten Schlüssel wiederzuverwenden ist erlaubt, schwächt aber den Sicherheitsgewinn der Verlängerung.

openssl req -new -newkey rsa:2048 -nodes -keyout example.com.key -out example.com.csr -subj "/CN=example.com"

1. CSR im CA-Portal einreichen, unter Renew oder Reissue. Die meisten CAs erlauben den Start 30 bis 90 Tage vorher und übernehmen die Restlaufzeit.
2. Domainvalidierung erneut durchlaufen. Seit dem 15. März 2026 darf eine Validierung nur noch 200 Tage wiederverwendet werden, rechnen Sie also bei fast jeder Verlängerung mit einer Challenge per E-Mail, HTTP-Datei oder DNS-TXT-Eintrag. OV- und EV-Zertifikate brauchen zusätzlich Organisationsprüfungen; starten Sie diese zwei Wochen vorher.
3. Zertifikat und Zwischenkette herunterladen. Fehlende Intermediates verursachen auf manchen Geräten ERR_CERT_AUTHORITY_INVALID, selbst wenn das Endzertifikat in Ordnung ist.
4. Installieren und neu laden. Ersetzen Sie die in der Serverkonfiguration referenzierten Zertifikats- und Kettendateien, legen Sie den neuen Schlüssel daneben und laden Sie den Dienst neu. Bei nginx sind das ssl_certificate und ssl_certificate_key, bei Apache SSLCertificateFile und SSLCertificateKeyFile.
5. Jede Kopie aktualisieren. Load Balancer, Mailserver, CDN-Origins und Monitoring-Sonden halten oft eine eigene Kopie desselben Zertifikats.

Schritt 2c: Verlängern in Hosting-Panels, CDNs und Cloud-Plattformen

Schritt 3: Prüfen, ob die Verlängerung wirklich funktioniert hat

Verlängern und Ausrollen sind zwei verschiedene Dinge. Eine verlängerte Datei auf der Festplatte bewirkt nichts, solange der Serverprozess sie nicht geladen hat. Prüfen Sie von außen:

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -enddate -serial

Das Datum notAfter muss das neue sein und die Seriennummer muss sich vom alten Zertifikat unterscheiden. Prüfen Sie danach die vollständige Kette und jeden Hostnamen (www und nackte Domain, API-Subdomains, Mailhosts). Ein kostenloser FortifyNet-Scan prüft Kette, Ablaufdatum, Protokollversionen und HSTS in einem Durchgang, schneller als jeden Host einzeln zu testen.

Häufige Fehler bei der SSL-Verlängerung und ihre Lösung

Eine Verlängerungsrichtlinie, die Sie wirklich einhalten können

Mit 200-Tage-Zertifikaten heute und 47-Tage-Zertifikaten ab 2029 sollte eine Verlängerungsrichtlinie langweilig und automatisch sein. Verlängern Sie bei etwa zwei Dritteln der Laufzeit, genau das Verhalten, das Let's Encrypt für Clients ohne ARI empfiehlt. Betreiben Sie ein Monitoring, das 14 und 7 Tage vor Ablauf alarmiert, unabhängig vom Verlängerungswerkzeug, denn der Fehler, den Sie erwischen müssen, ist eine still stehengebliebene Automatisierung. Führen Sie ein Inventar aller Hostnamen, die TLS terminieren, auch der internen. Und wiederholen Sie den Testlauf nach jeder Servermigration, jedem PHP-Upgrade und jeder Firewall-Änderung, denn genau dann hört die ACME-Challenge auf zu funktionieren.

Verwandte Anleitungen

• Was passiert, wenn ein SSL-Zertifikat abläuft
• SSL/TLS-Zertifikatssicherheit: der vollständige Leitfaden
• "Dies ist keine sichere Verbindung" beheben
• Was ist HSTS und warum es nach einer Verlängerung zählt

FAQ

Wie früh kann ich ein SSL-Zertifikat verlängern? Let's Encrypt erlaubt die Verlängerung jederzeit, und Certbot erledigt sie automatisch 30 Tage vor Ablauf. Kommerzielle CAs öffnen die Verlängerung meist 30 bis 90 Tage vorher und rechnen die ungenutzten Tage dem neuen Zertifikat an.

Verursacht die Verlängerung eines SSL-Zertifikats Ausfallzeit? Nein, wenn Sie den Webserver neu laden statt neu starten. nginx und Apache laden das neue Zertifikat beim Reload, ohne bestehende Verbindungen zu trennen.

Brauche ich zum Verlängern einen neuen privaten Schlüssel? Nicht zwingend, aber ein neuer Schlüssel ist Best Practice. Certbot erzeugt standardmäßig bei jeder Verlängerung einen neuen Schlüssel.

Kann ich ein Zertifikat verlängern, nachdem es abgelaufen ist? Ja. Die Verlängerung nach Ablauf funktioniert genauso; der einzige Unterschied ist, dass Besucher Warnungen sehen, bis das neue Zertifikat installiert ist.

Wie oft pro Jahr muss ich ab 2029 verlängern? Bei maximal 47 Tagen etwa achtmal pro Zertifikat und Jahr, weshalb die manuelle Verlängerung in der Praxis ausläuft.

Prüfen Sie Ihr Zertifikat, bevor es zum Vorfall wird

Starten Sie den kostenlosen FortifyNet-Scan für Ihre Domain. In rund 60 Sekunden meldet er Ablaufdatum des Zertifikats, Gültigkeit der Kette, Protokollversionen, Sicherheits-Header, DNS und E-Mail-Authentifizierung, sodass eine fehlgeschlagene Verlängerung auffällt, bevor Ihre Besucher sie bemerken.