SSL-Zertifikat erneuern: Auto-Renew und Schritte für bezahlte Zertifikate

SSL-Zertifikat erneuern: Let's Encrypt automatisch verlängern, bezahltes Zertifikat Schritt für Schritt erneuern und kürzere Laufzeiten einplanen.

Häufige Fragen

Wie erneuere ich ein Let's-Encrypt-Zertifikat?

Führen Sie `sudo certbot renew` aus. Der Befehl erneuert nur Zertifikate, die bald ablaufen, und lässt sich deshalb bedenkenlos zeitgesteuert ausführen. Bei den meisten Certbot-Installationen ist dafür bereits ein geplanter Task eingerichtet. Mit `sudo certbot renew --dry-run` testen Sie den Ablauf gegen den Staging-Server von Let's Encrypt, ohne die Testzertifikate zu speichern.

Wie lange ist ein SSL-Zertifikat 2026 gültig?

Nach dem Beschluss SC-081v3 des CA/Browser Forum war die Laufzeit öffentlich vertrauenswürdiger Zertifikate bis zum 15. März 2026 auf 398 Tage begrenzt. Seitdem liegt die Obergrenze bei 200 Tagen. Am 15. März 2027 sinkt sie auf 100 Tage und am 15. März 2029 auf 47 Tage. Manche Zertifizierungsstellen stellen Zertifikate mit etwas kürzerer Laufzeit aus, und Let's Encrypt hat einen eigenen, kürzeren Zeitplan.

Was passiert, wenn mein SSL-Zertifikat abläuft?

Browser zeigen Besuchern eine ganzseitige Sicherheitswarnung an, und viele lassen sich nur mit manueller Bestätigung zum Weitersurfen bewegen. API-Clients sowie Zahlungs- oder Login-Integrationen, die Zertifikate streng prüfen, können komplett ausfallen. Mit der Erneuerung und Installation eines neuen Zertifikats ist das Problem behoben, und Besucher müssen nichts tun, sobald das neue Zertifikat aktiv ist.

Ist eine Erneuerung dasselbe wie der Kauf eines neuen Zertifikats?

Bei den meisten bezahlten Zertifikaten ist eine Erneuerung ein neu ausgestelltes Zertifikat für dieselbe Domain, in der Regel mit erneuter Validierung und einer neuen oder wiederverwendeten CSR. Manche Anbieter gewähren Rabatte oder bündeln Erneuerungen, andere behandeln sie wie einen normalen Kauf. Prüfen Sie die Erneuerungsbedingungen Ihres Anbieters, statt einen Rabatt vorauszusetzen.

Warum funktioniert die automatische Erneuerung von Let's Encrypt nicht mehr?

Häufige Ursachen sind ein entfernter oder deaktivierter Timer bzw. Cronjob, ein Webserver, der die HTTP-Validierungsanfrage auf Port 80 nicht mehr beantwortet, eine DNS-Änderung oder ein mit der Option „manual“ erstelltes Zertifikat ohne Authentifizierungs-Hook. Wildcard-Zertifikate brauchen ein DNS-Plugin, um automatisch erneuert zu werden. Führen Sie `sudo certbot renew --dry-run` aus und lesen Sie die ausgegebene Fehlermeldung.

Kurz gesagt: Stammt Ihr Zertifikat von Let's Encrypt, führen Sie sudo certbot renew aus (oder überlassen Sie das dem geplanten Task, den Ihre Certbot-Installation bereits angelegt hat). Haben Sie es bei einer Zertifizierungsstelle oder einem Reseller gekauft, erneuern Sie es im Dashboard des Anbieters, validieren die Domain erneut und installieren die neuen Zertifikatsdateien auf Ihrem Server oder Hoster. Prüfen Sie anschließend im Browser das neue Ablaufdatum. Die maximalen Laufzeiten von Zertifikaten schrumpfen außerdem, daher gilt: Je früher Sie automatisieren, desto seltener müssen Sie das von Hand erledigen.

Zuerst: Wann und wo läuft Ihr Zertifikat ab?

Bevor Sie etwas erneuern, klären Sie, welches Zertifikat Sie tatsächlich haben.

  1. Öffnen Sie Ihre Website in Chrome, klicken Sie auf das Schloss- bzw. Website-Info-Symbol, öffnen Sie die Zertifikatsdetails und notieren Sie das Datum unter „Gültig bis“ sowie den Aussteller.
  2. Oder prüfen Sie es im Terminal: echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer
  3. Ist der Aussteller Let's Encrypt, folgen Sie dem Abschnitt zur automatischen Erneuerung unten. Handelt es sich um eine andere Zertifizierungsstelle, haben Sie vermutlich ein bezahltes Zertifikat und brauchen die Schritte zur Erneuerung bezahlter Zertifikate.
  4. Läuft Ihre Website bei einem Managed Hoster oder in einem Website-Baukasten, kümmert sich meist die Plattform selbst um die Erneuerung. Suchen Sie nach einer SSL- oder Domain-Sicherheitseinstellung, bevor Sie Dateien anfassen.

Sie wissen nicht, welchen Typ Sie haben? Der Ratgeber zu SSL-Zertifikatstypen erklärt Domain-, Organisations- und Extended-Validation-Zertifikate, und der Glossareintrag Was ist ein SSL-Zertifikat liefert die Grundlagen.

Welcher Erneuerungsweg passt zu Ihnen

Ihre SituationWas zu tun istAufwand
Let's Encrypt über Certbot auf dem eigenen ServerPrüfen, ob der geplante certbot renew-Task läuft, dann mit --dry-run testenGering, meist einmalig
Zertifikat von einer kostenpflichtigen Zertifizierungsstelle oder einem ResellerIm Anbieter-Dashboard erneuern, validieren, neue Dateien installierenManuell, bei jeder Laufzeit erneut
Managed Hoster oder Website-Baukasten mit integriertem SSLSSL-Einstellung prüfen; die Erneuerung läuft normalerweise automatischMinimal
Zertifikat hinter einem CDN oder Load BalancerBeim CDN bzw. Load Balancer erneuern, nicht auf dem UrsprungsserverJe nach Setup

Ein Let's-Encrypt-Zertifikat erneuern (Auto-Renew)

Let's-Encrypt-Zertifikate sind darauf ausgelegt, von Software erneuert zu werden. Laut der Certbot-Dokumentation ist bei den meisten Installationen die automatische Erneuerung bereits vorkonfiguriert: Ein geplanter Task führt regelmäßig certbot renew aus.

Schritt für Schritt

  1. Prüfen, ob der geplante Task existiert. Auf systemd-Rechnern führen Sie systemctl list-timers aus und suchen nach einem Certbot-Timer. Auf anderen Systemen sehen Sie in der Crontab nach. Die Certbot-Dokumentation beschreibt beide Stellen.
  2. Einen Testlauf starten. sudo certbot renew --dry-run testet die Erneuerung gegen den Staging-Server von Let's Encrypt. Dabei werden Testzertifikate abgerufen, aber nicht auf der Festplatte gespeichert, der Test ist also auch auf einer Live-Website unbedenklich.
  3. Gemeldete Probleme beheben. Typische Fehler sind eine Firewall, die Port 80 blockiert, eine Webserver-Konfiguration, die den Validierungspfad nicht mehr ausliefert, oder DNS-Einträge, die woandershin zeigen.
  4. Bei Bedarf sofort erneuern. sudo certbot renew berührt nur Zertifikate, die bald ablaufen, mehrfaches Ausführen schadet also nicht.
  5. Webserver nach der Erneuerung neu laden, falls Ihr Setup das nicht automatisch erledigt. Certbot unterstützt Deploy-Hooks, die nur laufen, wenn ein Zertifikat tatsächlich erneuert wurde.
  6. Das neue Ablaufdatum prüfen, mit dem Browser oder dem oben gezeigten openssl-Befehl.

Fälle, in denen die automatische Erneuerung nicht von allein funktioniert

  • Mit der Certbot-Option --manual erstellte Zertifikate werden nicht automatisch erneuert, es sei denn, Sie kombinieren sie mit einem Authentifizierungs-Hook-Skript.
  • Wildcard-Zertifikate erfordern eine DNS-Validierung. Damit sie unbeaufsichtigt erneuert werden, brauchen Sie ein DNS-Plugin für Ihren DNS-Anbieter.
  • Migrierte, neu aufgesetzte oder geklonte Server verlieren oft den Timer oder Cron-Eintrag, obwohl die Zertifikatsdateien mitgekommen sind.

Erneuern nach einem Zeitplan, der kürzere Laufzeiten übersteht

Let's Encrypt hat angekündigt, sein Standardprofil „classic“ am 10. Februar 2027 auf 64-Tage-Zertifikate und am 16. Februar 2028 auf 45-Tage-Zertifikate umzustellen. Die Empfehlung: Clients, die ACME Renewal Information (ARI) nicht nutzen, sollten nicht nach einem fest einprogrammierten Zeitplan erneuern, und ein fester 60-Tage-Rhythmus wird irgendwann nicht mehr ausreichen. Der Certbot-Befehl renew entscheidet anhand der verbleibenden Laufzeit, was das sicherere Vorgehen ist. Halten Sie Certbot aktuell und verpacken Sie es nicht in ein eigenes Skript mit festem Intervall. Details finden Sie in der Ankündigung von Let's Encrypt zu den Laufzeiten.

Ein bezahltes SSL-Zertifikat erneuern

Bezahlte Zertifikate erneuern sich nicht von selbst, es sei denn, Ihr Anbieter oder Hoster hat eine automatische Verlängerung eingerichtet. Die Namen von Schaltflächen und Menüs unterscheiden sich je nach Anbieter. Verstehen Sie das hier daher als allgemeine Reihenfolge und prüfen Sie die genauen Bildschirme in der Dokumentation Ihres Anbieters.

  1. Die Erneuerung im Anbieterkonto starten. Suchen Sie das Zertifikat kurz vor Ablauf und wählen Sie Erneuern, Neu ausstellen oder Erneut bestellen.
  2. Eine CSR erzeugen. Viele Server und Control Panels können eine Certificate Signing Request (CSR) erstellen. Manche Anbieter erlauben, die alte CSR wiederzuverwenden, aber ein neues Schlüsselpaar zu erzeugen ist in der Regel die bessere Gewohnheit.
  3. Die Domain-Validierung abschließen. Meist müssen Sie die Kontrolle über die Domain nachweisen, per E-Mail an eine freigegebene Adresse, über einen DNS-Eintrag oder mit einer Datei auf Ihrer Website. Bei Organisations- und Extended-Validation-Zertifikaten kommen unter Umständen Dokumentenprüfungen hinzu, beginnen Sie damit also früher.
  4. Die ausgestellten Dateien herunterladen. Üblicherweise erhalten Sie das Zertifikat plus ein Zwischenzertifikat-Bundle (Chain).
  5. Die Dateien installieren, auf Ihrem Server, Hoster oder CDN, und den Webserver anschließend neu starten bzw. neu laden.
  6. Testen. Laden Sie die Website in einem frischen Browserfenster, prüfen Sie das Ablaufdatum und stellen Sie sicher, dass keine Warnungen wie „unvollständige Kette“ oder Mixed Content erscheinen.
  7. Erinnerungen aktualisieren und die automatische Verlängerung des alten Zertifikats kündigen, falls Sie den Anbieter gewechselt haben.

Wenn Sie Anbieter vergleichen oder wissen möchten, was eine Erneuerung kosten sollte, lesen Sie den Ratgeber zu SSL-Zertifikatskosten. Die Domain-Registrierung wird separat verlängert, mehr dazu im Ratgeber zu den Kosten der Domain-Verlängerung.

Zertifikatslaufzeiten werden kürzer (Stand: November 2026)

Das CA/Browser Forum hat im April 2025 den Beschluss SC-081v3 verabschiedet. Er senkt die maximale Laufzeit öffentlich vertrauenswürdiger TLS-Zertifikate schrittweise:

Ausgestellt abMaximale Gültigkeit
Vor dem 15. März 2026398 Tage
15. März 2026200 Tage
15. März 2027100 Tage
15. März 202947 Tage

Praktisch heißt das: Alles, was Sie von Hand erneuern, müssen Sie jetzt etwa zweimal im Jahr anfassen, ab März 2027 etwa viermal im Jahr und bis 2029 rund achtmal im Jahr. Auch die Zeiträume, in denen eine Domain-Validierung wiederverwendet werden darf, schrumpfen. Sie können sich also nicht darauf verlassen, mit einer alten Validierung einen Schritt zu überspringen. Die Grenzen gelten für öffentlich vertrauenswürdige Zertifikate, private oder interne Zertifizierungsstellen folgen eigenen Regeln.

Wenn Sie noch manuell erneuern, bleiben realistisch zwei Wege: zu einer Zertifizierungsstelle oder einem Hoster wechseln, der automatisierte Ausstellung (ACME) unterstützt, oder eine verwaltete Schicht wie Ihren Hoster oder ein CDN vor die Website setzen.

Checkliste für die SSL-Erneuerung

Kopieren Sie sie in den Tracker Ihres Teams:

`` [ ] Alle Zertifikate erfassen: Domain, Aussteller, Ablaufdatum, Installationsort [ ] Verantwortliche Person je Erneuerung festhalten (Name, kein Team-Alias) [ ] Erinnerungen 30 und 14 Tage vor Ablauf setzen [ ] Let's Encrypt: prüfen, ob der Certbot-Timer oder Cronjob existiert [ ] Let's Encrypt: certbot renew --dry-run ausführen und Fehler beheben [ ] Wildcards: prüfen, ob ein DNS-Plugin oder Hook konfiguriert ist [ ] Bezahlte Zertifikate: prüfen, ob die Validierungs-E-Mail bzw. der DNS-Zugang noch funktioniert [ ] Neue CSR und neuen Schlüssel erzeugen, falls der Anbieter das verlangt oder empfiehlt [ ] Zertifikat UND Zwischenzertifikat-Kette installieren [ ] Webserver, CDN oder Load Balancer neu laden [ ] Website in einem frischen Browser testen und neues Ablaufdatum prüfen [ ] Subdomains, www und non-www sowie alle API-Endpunkte testen [ ] Abgelaufene Zertifikate entfernen und alte Erinnerungen löschen [ ] Planen: jetzt 200 Tage, ab dem 15. März 2027 100 Tage ``

Häufige Fehler bei der Erneuerung

  • Die falsche Ebene erneuern. Beendet ein CDN oder Load Balancer TLS, ändert die Erneuerung des Ursprungszertifikats nichts an dem, was Besucher sehen.
  • Die Chain vergessen. Wird nur das Endzertifikat installiert, kann das in einem Browser funktionieren und in einem anderen oder in einem API-Client scheitern.
  • Den Server nicht neu laden. Die neuen Dateien liegen dann auf der Platte, während weiterhin das alte Zertifikat ausgeliefert wird.
  • Validierungs-E-Mail geht an eine ehemalige Mitarbeiterin oder einen ehemaligen Mitarbeiter. Stellen Sie sicher, dass die Kontaktadresse überwacht wird.
  • Sich auf eine einzige Erinnerung verlassen. Kalendererinnerungen werden weggeklickt. Automatisierung plus ein externer Ablauf-Monitor ist robuster.

Wenn Sie noch entscheiden, wo Sie hosten

Ein Hosting, das die SSL-Erneuerung enthält, nimmt Ihnen diese ganze Aufgabe ab. Mit dem kostenlosen Tarif von We.Inc veröffentlichen Sie bis zu drei Websites aus fertigen Vorlagen, etwa Nora Kessler Studio oder Greenfield Renewables. Der KI-Builder, der aus einem Prompt eine Website entwirft, startet im Starter-Tarif für $20 im Monat. Sie können sich hier registrieren.

FAQ

Wie erneuere ich ein Let's-Encrypt-Zertifikat?

Führen Sie sudo certbot renew aus. Der Befehl erneuert nur Zertifikate kurz vor Ablauf und lässt sich deshalb gefahrlos planen. Die meisten Certbot-Installationen enthalten bereits einen geplanten Task, und sudo certbot renew --dry-run testet ihn, ohne Zertifikate zu speichern.

Wie lange ist ein SSL-Zertifikat 2026 gültig?

Bis zum 15. März 2026 lag die Obergrenze bei 398 Tagen, jetzt sind es 200 Tage. Am 15. März 2027 werden es 100 Tage und am 15. März 2029 47 Tage. Manche Zertifizierungsstellen stellen Zertifikate mit etwas kürzerer Laufzeit aus.

Was passiert, wenn mein SSL-Zertifikat abläuft?

Browser zeigen eine ganzseitige Sicherheitswarnung an, und strikte API-Clients können ausfallen. Ein erneuertes, installiertes Zertifikat behebt das für Besucher, ohne dass diese etwas tun müssen.

Ist eine Erneuerung dasselbe wie der Kauf eines neuen Zertifikats?

Meist ist eine Erneuerung ein neu ausgestelltes Zertifikat für dieselbe Domain mit erneuter Validierung. Preise und Rabatte unterscheiden sich je nach Anbieter, prüfen Sie daher Ihren.

Warum funktioniert die automatische Erneuerung von Let's Encrypt nicht mehr?

Suchen Sie nach einem fehlenden Timer- oder Cron-Eintrag, blockiertem Port 80, DNS-Änderungen, im manuellen Modus erstellten Zertifikaten ohne Hook oder einem Wildcard-Zertifikat ohne DNS-Plugin. certbot renew --dry-run zeigt den konkreten Fehler.

Kostenlos starten · Keine Kreditkarte nötig

Umair Ali Sadaqat

Gründer von We.Inc

Umair ist der Gründer von We.Inc. Er schreibt über die Erstellung von Websites mit KI, Agenturen und den Geschäftsbetrieb eines Webstudios.

Bereit, etwas Großartiges zu bauen?

Schließe dich 15,000+ Unternehmen an, die mit We.Inc starten, wachsen und automatisieren, alles auf einer Plattform.

Kostenlos loslegen

Keine Kreditkarte nötig · Mit dem Vertrieb sprechen

Verwandt: Blog

Produkt

Für wen

Funktionen

Ressourcen

Unternehmen

Sitemap