SSL-Verlängerung automatisieren: Warum die 90-Tage-Frist Ihre Sicherheits-Strategie verändert

SSL und TLS sind heute Infrastruktur, nicht mehr Sicherheitsfeature

Von Netscape 1994 ursprünglich entwickelt wurde SSL (Secure Socket Layer) schnell zum unverzichtbaren Bestandteil beispielsweise bei geschützten Datenverbindungen zwischen Clients und Server. 2026 sind wir soweit und ohne SSL-Zertifikate würde das heutige Internet nicht mehr funktionieren. Moderne Browser, Webanwendungen und Schnittstellen setzen verschlüsselte Verbindungen voraus. Was vor Jahren als Sicherheitsmerkmal begann, ist inzwischen technische Grundvoraussetzung geworden. HTTPS ist kein Qualitätskriterium mehr, sondern der Mindeststandard, auf dem das gesamte Web aufbaut. Und eigentlich heißt es seit 1999 auf TLS (Transport Layer Security) und nicht mehr SSL. Aber manche Bezeichnungen halten sich als Synonyme eben ewig. 

Kaum eine andere technische Maßnahme hatte einen vergleichbaren Einfluss auf die grundlegende Sicherheit des heutigen Internets. Gleichzeitig verändert sie den Blick auf die Zertifikate an sich. Nicht mehr die generelle Frage, ob man überhaupt ein SSL-Zertifikat benötigt, sondern in welchem Umfang diese Verschlüsselung betrieben wird, zählt. Und damit haben sich dann auch direkt die verschiedensten Möglichkeiten für Zertifikate geboten:

• Einfaches SSL-Zertifikat (ganz am Anfang)
• Domainvalidierte (DV)
• Organisationvalidierte Zertifikate (OV)
• Extended Validated Zertifikate (EV)

Um es noch komplizierter zu machen, wurden dann Farben eingeführt. Blaues Schloss war gut, grün aber noch viel besser! Geändert hat das am Ende aber nicht viel, der Grundgedanke einer verschlüsselten Verbindung ist gleich geblieben. Hinzu kam natürlich, dass auch Technik schneller und aufwändiger wurde. Während sich die symmetrische Verschlüsselung der Daten seit den 1990er Jahren mit 128 Bit als stabiler Standard etabliert hat, wurden die Verfahren zur Schlüsselabsicherung und Identitätsprüfung kontinuierlich verstärkt. Heute gelten 2048 Bit bei asymmetrischen Verfahren als Mindeststandard.

Verschlüsselung ist gesetzt, Verwaltung wird zum Kernproblem

Die flächendeckende Einführung von TLS (SSL-Zertifikaten) hat viele Angriffsflächen im Sinne der Verbraucher und Nutzer reduziert oder gar ganz ausgeschaltet. Daten werden heute normalerweise ausschließlich geschützt übertragen, Manipulationen sind deutlich schwieriger geworden und Nutzer müssen sich weniger Gedanken über technische Details machen. Auch die Einführung der DSGVO hat hier maßgeblich dazu beigetragen, dass ein höherer Sicherheitsstandard von Seitenbetreibern angestrebt wurde. Genau darin liegt heute jedoch eine neue Herausforderung.

SSL-Zertifikate sind im Alltag mittlerweile zum großen Teil unsichtbar, dennoch geht ohne sie nahezu gar nichts. Als Standard gesetzt, werden ohne ein aktuelles und korrekt ausgestelltes Zertifikat sofort alle Alarmglocken geläutet. Der Browser unterbindet sofort die Kommunikation, Fehlermeldungen werden angezeigt und der User wundert sich. Aber der Schutz unserer Daten geht eben vor.

Dies schützt den Besucher/Anwender vor diversesten Techniken und Datendiebstählen. 

Abgelaufene oder falsch konfigurierte Zertifikate führen direkt zu Browserwarnungen, Funktionseinschränkungen und dadurch Vertrauensverlusten bei Usern. In der Praxis zeigt sich seit Jahren, dass nicht die Ausstellung, sondern die laufende Pflege der Zertifikate das größte Risiko wie Problem gleichermaßen darstellt. Immer daran zu denken, das Zertifikat rechtzeitig zu tauschen ist anscheinend im hektischen Daily-Business nicht so einfach wie man denken möchte.

Selbst signierte Zertifikate und ihre Grenzen

Technisch ist es jederzeit möglich, Zertifikate selbst zu erstellen. In internen Systemen, Entwicklungsumgebungen oder abgeschotteten Netzwerken ist das ein normaler und sinnvoller Vorgang. Es existiert durch das interne Netzwerk eine physikalische Vertrauensbasis und keine unkontrollierte externe Nutzung.

Für öffentlich erreichbare Services und Websites ist dieses Modell natürlich ungeeignet. Browser können die Vertrauenswürdigkeit nicht passend überprüfen, Warnmeldungen sind die Folge und moderne Webservices und -funktionen werden teilweise blockiert. Selbst signierte Zertifikate sind damit ein rein internes Werkzeug und kein Ersatz für offiziell ausgestellte Zertifikate oder zumindest nur in eng gesteckten Korridoren.

Fremdzertifikate als stiller Standard

Öffentliche Websites setzen heute nahezu ausschließlich auf Zertifikate anerkannter Zertifizierungsstellen. Diese bilden die Vertrauensbasis zwischen Server, Browser und Nutzer. Der eigentliche Wandel liegt dabei weniger in der Art des Zertifikats, sondern in dessen Lebenszyklus.

Lange Laufzeiten, manuelle Erneuerungen und individuelle Sonderkonfigurationen gelten zunehmend als Risiko. Die Branche bewegt sich klar in Richtung kurzer Gültigkeiten und automatisierter Prozesse. Zertifikate sollen sich selbst erneuern, ohne menschliches Eingreifen und ohne Abhängigkeit von einzelnen Personen oder Prozessen, aber dennoch mit gleichbleibend hohem Sicherheitsstandard gegen Fälschungen. 

ACME als Maß der Dinge

Aus diesem Grund hat sich ACME (Automatic Certificate Management Environment) als standardisiertes Protokoll durchgesetzt und regelt die Kommunikation zwischen 3 Beteiligten:

1. Dem Server oder der Anwendung / Webseite, die ein neues Zertifikat benötigt
2. Der Zertifizierungsstelle, die alles korrekt überprüft
3. Einem standardisierten Prüfmechanismus zur Identitätskontrolle

Es ist also durchaus ernst gemeint und hat mit dem bekannten ACME aus den „Looney Tunes“ mit „Bugs Bunny, Duffy & Friends“ nur insofern etwas zu tun, als dass die Gründer diesen Service genauso permapräsent gestalten wollten wie die Waren und Dinge aus dem Zeichentrick-Genre, das durch die ACME Corp. stets und immer geliefert wird.

Der bekannteste Vertreter dieser Technologie ist die Zertifizierungsstelle „Let’s Encrypt“. Allseits bekannt hat sie das ACME-Verfahren nicht nur entscheidend mitentwickelt, sondern vor allem massentauglich gemacht. Let’s Encrypt hat uns gezeigt, dass Sicherheit und Automatisierung Hand in Hand gehen können und komplett ohne manuelle Prozesse.

Warum Automatisierung zur Pflicht wird

In den vergangenen Jahren haben Millionen von Websites temporär ihre Erreichbarkeit verloren, weil Administratoren vergessen haben, die Zertifikate zu erneuern. Wir sprechen hier absichtlich von „Erneuern“, denn eine „Verlängerung“ gibt es bereits seit vielen Jahren aus Sicherheitsgründen schon nicht mehr. Daher ist es auch der immerwährend gleiche Prozess, der für ein vollständiges Zertifikat durchlaufen werden muss, serverseitig wie auch bei der Erstellung. Die Folgen sind sofort sichtbar und technisch kompromisslos: 

Browser blockieren Zugriffe vollständig oder zeigen deutliche Warnungen.

Genau hier setzen aktuelle Bestrebungen an. Ziel ist es, Zertifikatsmanagement vollständig zu automatisieren und damit menschliche Fehlerquellen maximal zu minimieren oder ganz auszuschließen. Protokolle zur automatischen Ausstellung und Verlängerung sind längst etabliert und werden zunehmend als Standard vorausgesetzt und genutzt.

Suchmaschinen und Browserhersteller unterstützen diese Entwicklung ausdrücklich. Verschlüsselung soll nicht nur vorhanden sein, sondern dauerhaft korrekt funktionieren.

Laufzeitverkürzung zwingen zum Erneuern

Um die Sicherheit mit den Zertifikaten weiter auf ein hohes Level zu bringen, wurden die Laufzeiten daher künstlich und absichtlich verringert. Waren Zertifikate anfangs viele Jahre gültig, so ist das Ziel auf maximal 3 Monate einzugrenzen. Dass der Aufwand hier extrem hoch ist, der Nutzen aber gegeben sein muss, möchte jeder das automatisieren. Es ist schlicht mit Manpower nicht mehr handelbar, hunderte Zertifikate 4x oder öfter im Jahr zu erneuern. Automation ist also das klar ausgelobte Ziel der IETF (Internet Engineering Task Force) als zentrale Organisation der Standards im Internet.

Was also für viele nach einer drastischen Umstellung klingt, ist bei Let’s Encrypt bereits seit Jahren gelebter Standard! Hier laufen Zertifikate grundsätzlich nur 90 Tage und eine Erneuerung ist Pflicht. Auch dadurch hat uns die Praxis bewiesen, wenn der Prozess automatisiert ist, spielt die Laufzeit für die Stabilität der Webseite keine Rolle mehr. Je kürzer die Laufzeit, desto weniger lange sind gefälschte Zertifikate im Umlauf. Sie zerstören sich sozusagen selbst nach 90 Tagen, wie die Meldungen von Ethan Hunt in Mission Impossible.

Die Anwender wie Google, Apple, Mozilla, Microsoft, etc. setzen diese ausgewiesenen Standards lediglich um. 

Das Ende der grünen Vertrauenssymbole

Lange Zeit galten erweiterte Zertifikate mit sichtbarer Unternehmenskennzeichnung als Vertrauenssignal. Die bekannte grüne Adressleiste sollte Seriosität vermitteln und Nutzer schützen. Diese Darstellung existiert heute nicht mehr.

Der Grund liegt weniger in der Technik als im Nutzerverhalten. Die visuelle Differenzierung wurde kaum verstanden und bot keinen wirksamen Schutz vor Missbrauch. HTTPS ist heute allgegenwärtig und kein Unterscheidungsmerkmal mehr. Vertrauen entsteht nicht durch Symbole im Browser, sondern durch konsistente technische Standards und nachvollziehbare Inhalte.

Zertifikatsmanagement als Teil der Systemverantwortung

In der Praxis zeigt sich, dass Zertifikatsprobleme selten isoliert auftreten. Sie sind fast immer ein Symptom fehlender Prozesse, unklarer Zuständigkeiten oder historisch gewachsener Systemlandschaften. Interne Administratoren müssen ihre Kernkompetenz verlassen und sich um externe Server und Webseiten kümmern. Oder die Verantwortung wird an Agenturen übergeben, deren Prozesse die Leistungen nicht abbilden. Besonders bei übernommenen oder über Jahre erweiterten Umgebungen fehlt häufig eine durchgängige Automatisierung und Überwachung des Zertifikatslebenszyklus.

Ein stabiler Betrieb erfordert daher nicht nur gültige Zertifikate, sondern klar definierte technische Abläufe, regelmäßiges Monitoring, Updates der Systeme und eine saubere Integration in die bestehende Infrastruktur. Zertifikatsmanagement ist kein Einzelthema, sondern Teil des laufenden Systembetriebs.

Im Rahmen von Systemübernahmen und technischen Konsolidierungen prüfen wir diese Prozesse gezielt und integrieren automatisierte Lösungen dort, wo sie fehlen oder nicht zuverlässig greifen. Ziel ist ein Betrieb, der unabhängig von Einzelpersonen funktioniert und dauerhaft stabil bleibt.

Fazit: SSL als Basis für alles Weitere

SSL und TLS sind heute unsichtbare Basis und Infrastruktur, die Maßgabe und kein Nice-to-Have mehr sind. Sie bilden die Grundlage für Performance Optimierungen, moderne Web APIs, Suchmaschinenbewertung und Sicherheit. Ihr Vorhandensein wird nicht mehr positiv wahrgenommen, ihr Fehlen wird jedoch sofort bestraft und die Kommunikation durch den Browser rigoros abgebrochen. Alles zum Schutz des Users!

Die Zukunft liegt in klaren Standards, kurzen Laufzeiten und automatisierter Verwaltung. Wer Zertifikate heute noch manuell betreibt oder als Einmalaufgabe versteht, arbeitet gegen den aktuellen Stand der Technik.Verschlüsselung ist kein Projekt mehr, sondern ein laufender, automatisierter Prozess der fachgerecht und fortlaufend umgesetzt gehört.

Daher haben wir natürlich vor Jahren begonnen, die entsprechenden Prozesse für unsere Kunden zu etablieren und zu integrieren. Alles damit unsere Kundenwebseiten immer erreichbar bleiben.

Sollten Sie in der Vergangenheit Probleme mit Ihren Zertifikaten gehabt haben, ist es vielleicht Zeit über einen Wechsel zu einer serviceorientierten Agentur nachzudenken. Als Spezialisten für Systemübernahmen kümmern wir uns automatisch auch um derartige Details.