Im Januar 2025 kündigte Let's Encrypt einen bedeutenden Fortschritt zur Verbesserung der Websicherheit an: die Einführung von sechstägigen Zertifikaten, auch bekannt als „kurzlebige“ Zertifikate. Diese Initiative steht im Einklang mit dem Engagement von Let's Encrypt, das Public-Key-Infrastruktur-Ökosystem (PKI) zu stärken, und soll bis Ende 2025 allgemein verfügbar sein.
Warum kurzlebige Zertifikate wichtig sind
Die zentrale Motivation hinter dieser Änderung ist die Sicherheit. Kurzlebige Zertifikate verkleinern das Zeitfenster erheblich, in dem Angreifer ein kompromittiertes oder gestohlenes Zertifikat ausnutzen können. Da sie bereits nach sechs Tagen automatisch ablaufen, fördern sie zudem die Automatisierung der Zertifikatsverwaltung und minimieren so menschliche Fehler und Schwachstellen weiter.
Die Rolle von ACME bei der Automatisierung
Einer der wichtigsten Gründe, warum dieser Wechsel zu sechstägigen Zertifikaten möglich ist, liegt in Mechanismen zur Automatisierung des Zertifikatslebenszyklus wie dem Protokoll Automatic Certificate Management Environment (ACME). ACME automatisiert den traditionell manuellen Prozess des Beziehens und Erneuerns von SSL/TLS-Zertifikaten und macht es Websites so leicht, sicher zu bleiben.
So funktioniert es: Ihr Server kommuniziert über das ACME-Protokoll mit Let's Encrypt (oder einer anderen Zertifizierungsstelle, die ACME unterstützt), um Zertifikate anzufordern, zu verifizieren und zu installieren – alles ohne menschliches Eingreifen. Einmal eingerichtet, übernimmt ACME auch die Erneuerungen und stellt sicher, dass Zertifikate niemals unerwartet ablaufen.
ACME 2.0 ist die aktuelle stabile Version des Protokolls. Mit ihrer Einführung im Jahr 2018 wurde ACME noch robuster: Sie fügte Unterstützung für Wildcard-Zertifikate hinzu (die mehrere Subdomains absichern) und verbesserte die Kompatibilität mit einer Vielzahl von Tools und Plattformen. Im Rahmen seiner fortlaufenden Bemühungen zur Verbesserung der Automatisierung arbeitet Let's Encrypt zudem an Innovationen, um die Prozesse zur Erneuerung und zum Widerruf von Zertifikaten zu vereinfachen – essenziell für die Verwaltung kurzlebiger Zertifikate.
Was ist ARI, und warum ist es für sechstägige Zertifikate wichtig?
Die Verwaltung kurzlebiger Zertifikate, wie des kommenden Sechs-Tage-Modells, erfordert präzises Timing bei Erneuerungen. Hier kommt Automatic Renewal Information (ARI) ins Spiel. ARI fungiert wie ein Benachrichtigungssystem für Ihren Server und teilt ihm genau mit, wann ein Zertifikat erneuert werden muss.
Statt ständig Ablaufdaten zu überprüfen, sorgt ARI dafür, dass Ihr Server immer den richtigen Zeitpunkt zum Handeln kennt. Diese zusätzliche Automatisierungsebene ist essenziell für die Verwaltung von Zertifikaten mit so kurzen Laufzeiten und trägt dazu bei, unterbrechungsfreie Sicherheit zu gewährleisten.
Der neueste Entwurf von ARI (veröffentlicht am 6. Dezember 2024) wird derzeit von der Internet Engineering Task Force (IETF) geprüft und soll in Kürze finalisiert werden. Obwohl ARI noch kein offizieller Standard ist, hat es bereits an Bedeutung gewonnen. Let's Encrypt unterstützt ARI seit März 2023 im produktiven Einsatz, wobei viele Kunden bereits davon profitieren. Sobald sich das Protokoll zu einem formalen Standard entwickelt, wird erwartet, dass weitere Zertifizierungsstellen (CAs) es übernehmen und so eine breitere Akzeptanz in der Branche vorantreiben.
Was passiert, wenn die Automatisierung versagt?
Obwohl Automatisierung die Zertifikatsverwaltung revolutioniert, sind selbst die besten Systeme nicht unfehlbar. Eine Fehlkonfiguration, ein Softwarefehler oder ein Kommunikationsausfall können automatisierte Prozesse stören und Ihre Website anfällig für Ausfälle oder Sicherheitslücken machen.
Deshalb ist eine zusätzliche Absicherungsebene von entscheidender Bedeutung. Als von Let's Encrypt empfohlener Dienst zur Überwachung des Zertifikatsablaufs bietet Red Sift Certificates Lite Überwachung für bis zu 250 Zertifikate mit E-Mail-Benachrichtigungen sieben Tage vor Ablauf. Sobald sechstägige Zertifikate allgemein verfügbar werden, wird sich Red Sift Certificates Lite anpassen, um 24-Stunden-Ablaufwarnungen zu unterstützen und so ein Sicherheitsnetz für Ihr Unternehmen zu bieten, falls die Automatisierung versagt.
Für Unternehmen mit komplexeren PKI-Anforderungen bietet Red Sift Certificates Enterprise eine leistungsstarke Lösung. Es verfügt über vollständig konfigurierbare Benachrichtigungseinstellungen, Echtzeit-Zertifikatserkennung, Ausstellungsprüfungen und umfassende Konfigurationsüberwachung. Das macht es ideal für die Verwaltung vielfältiger Zertifikatsbestände, die sowohl kurz- als auch langlebige Zertifikate umfassen können.
Vorbereitung auf die Zukunft der Web-PKI
Mit der Einführung sechstägiger Zertifikate werden Automatisierung und Absicherung Hand in Hand arbeiten, um eine sichere, zuverlässige Web-Infrastruktur zu schaffen. Unternehmen können sich schon jetzt vorbereiten, indem sie ACME-kompatible Tools zur automatisierten Verwaltung einführen und Dienste wie Red Sift Certificates Lite nutzen, um eine zusätzliche Widerstandsebene hinzuzufügen.
Was als Nächstes kommt
Je näher die Einführung rückt, desto wichtiger wird es für Unternehmen, die dieses Modell effektiv nutzen möchten, über Implementierungsdetails und Best Practices informiert zu bleiben. Wir werden diesen Beitrag weiterhin aktualisieren, sobald neue Entwicklungen bekannt werden.
Francesca Rünger-Field is Senior Product Marketing Manager at Red Sift, where she drives go-to-market strategy and product positioning across the company's product portfolio.