Let's Encrypt macht Schluss mit 90 Tagen – was ab Februar 2027 auf dich zukommt

Die Zeit läuft: Kürzere SSL-Laufzeiten sind Realität

Let's Encrypt hat eine Ankündigung gemacht, die jeden Entwickler, Sysadmin und DevOps-Engineer auf dem Radar haben sollte. Ab dem 10. Februar 2027 werden die Zertifikate standardmäßig nur noch 64 Tage gültig sein – statt der gewohnten 90 Tage, die wir jahrelang kannten.

Aber mal ehrlich: Das kommt nicht aus heiterem Himmel. Let's Encrypt sendet schon länger Signale in diese Richtung, und wer die Security-Landschaft verfolgt hat, konnte diese Änderung kommen sehen. Der Grund ist einleuchtend: Je kürzer ein Zertifikat lebt, desto weniger Schaden kann ein kompromittierter Schlüssel oder ein fehlerhaft ausgestelltes Zertifikat anrichten.

Was ändert sich konkret am 10. Februar 2027?

Hier die Timeline im Überblick:

• 10. Februar 2027: Alle neu ausgestellten und erneuerten Zertifikate haben nur noch 64 Tage Gültigkeit
• 11. Mai 2027: Das letzte 90-Tage-Zertifikat (kurz vor der Umstellung ausgestellt) läuft endgültig ab
• 2028: Erneute Reduzierung auf 45 Tage erwartet
• 2029: Die Authorization-Reuse-Zeiträume schrumpfen drastisch auf sieben Stunden

Die gute Nachricht? In der Staging-Umgebung von Let's Encrypt wird der Schalter bereits am 14. Oktober 2026 umgelegt. Das gibt dir genug Zeit zum Testen, bevor die Änderungen in der Produktion live gehen. Unser Tipp: Nutze diese Möglichkeit unbedingt.

Ist dein Zertifikatsmanagement bereit?

Jetzt wird's spannend für alle, die ihre Infrastruktur verantworten. Hier sind die Punkte, die du prüfen solltest:

Wenn du ARI-fähige Clients nutzt

Setzt du auf automatisierte Erneuerung mit einem ACME-Client, der ACME Renewal Info (ARI) unterstützt, bist du vermutlich gut aufgestellt. ARI ermöglicht es Let's Encrypt, direkt mit deinem Client zu kommunizieren und die optimale Erneuerungszeitpunkte zu kommunizieren. Das ist im Grunde ein intelligenterer, dynamischerer Ansatz – weg von starren Zeitplänen.

Aber Vorsicht: Geh nicht einfach davon aus, dass alles funktioniert. Prüfe in der Dokumentation deines Clients, ob ARI tatsächlich implementiert und aktiv ist. Stillstehen ist da, wo Ausfälle entstehen.

Wenn du fest kodierte Erneuerungszeitpunkte nutzt

Hier verstecken sich oft die größten Fallstricke. Wenn deine Erneuerungslogik so aussieht wie „erneuere 30 Tage vor Ablauf" oder „alle 90 Tage", wird es Zeit für eine Anpassung.

Let's Encrypt empfiehlt, die Erneuerung bei etwa zwei Dritteln der Zertifikatslaufzeit anzusetzen. Bei 64-Tage-Zertifikaten sind das grob 42–43 Tage. Ein praktischer Tipp: Wenn du heute schon auf etwa 80 Tage für 90-Tage-Zertifikate umstellst, ersparst du dir den Stress, wenn der Schalter umgelegt wird.

Durchsuche deine Cronjobs, Wrapper-Skripte und Runbooks nach Zahlen wie 83, 80, 60 oder 30. Das sind klare Indizien für fest kodierte Erneuerungslogik, die überarbeitet werden muss.

Authorization Reuse: Die versteckte Änderung, die du nicht verpassen solltest

In der Ankündigung versteckt sich noch eine weitere Änderung, die Aufmerksamkeit verdient: Der Authorization-Reuse-Zeitraum wird von 30 auf nur noch 10 Tage reduziert.

Für die meisten Nutzer hat das keine praktischen Auswirkungen. Authorization Reuse ist eine Optimierung, die es deinem ACME-Client erlaubt, die Domain-Validierung zu überspringen, wenn diese erst kürzlich durchgeführt wurde. Solange du deine Infrastruktur nicht bewusst auf dieses Verhalten ausgelegt hast, kannst du diesen Punkt getrost ignorieren.

Let's Encrypt führt diese Änderung allerdings ein, um sogenanntes „CAA Rechecking" überflüssig zu machen – ein Prozess, bei dem die Validierung wiederholt werden muss, wenn die ursprünglichen Validierungsdaten älter als 7 Stunden sind. Ab 2029 werden die maximalen Validierungs-Reuse-Zeiträume auf nur noch sieben Stunden schrumpfen. Diese Änderung ist also der erste Schritt dorthin.

Jetzt ist der Moment, dein Zertifikatsmanagement aufzurüsten

Unsere Einschätzung: Diese Änderung ist eigentlich ein Geschenk. Nicht weil kürzere Laufzeiten bequem sind (das sind sie definitiv nicht), sondern weil sie uns zwingen, Zertifikatsmanagement endlich nicht mehr als „einmal einrichten und vergessen" zu betrachten.

Wenn du immer noch alle 89 Tage per SSH auf Server zugreifst, um Zertifikate manuell zu erneuern, spielst du mit dem Feuer. Zertifikate laufen immer zum schlechtesten Zeitpunkt ab – Freitagnachmittag, Feiertage, mitten in der Nacht während eines Incidents. Automation eliminiert diese ganze Problemkategorie.

Während du schon dabei bist, denk über folgende Ergänzungen nach:

• Alerting bei Erneuerungsfehlern: Werde informiert, bevor ein Zertifikat abläuft – nicht danach
• Automatisierte Bereitstellung: Verbinde die Zertifikatserneuerung direkt mit dem Neuladen deiner Dienste
• Health Checks: Überwache Zertifikatsablaufdaten über deine gesamte Infrastruktur hinweg

Das Fazit

Let's Encrypt ändert nichts an Rate Limits, ACME-Endpunkten oder Ausstellungsketten. Das hier ist reine Kosmetik bei der Laufzeit – mit klaren Sicherheitsvorteilen, die perfekt in die breitere Branchenbewegung hin zu kürzeren Zertifikatsgültigkeiten passen.

Für alle, die bereits automatisierte Erneuerungsworkflows nutzen, sollte die Umstellung reibungslos verlaufen. Für den Rest von uns? Betrachte das hier als sanften (oder weniger sanften) Anstoß, endlich vernünftige Zertifikatsautomation einzuführen.

Die Staging-Umgebung öffnet im Oktober 2026. Das ist dein Testfeld. Nutze es.

Fragen zu SSL, Zertifikatsautomation oder ob deine Infrastruktur bereit für diese Änderungen ist? Unser Team hilft dir gerne dabei, dein aktuelles Setup zu überprüfen und sicherzustellen, dass du optimal vorbereitet bist.

Bleib sicher da draußen. Deine Nutzer (und dein On-Call-Team) werden es dir danken.