Kürzere SSL-Zertifikate ab 2027

In den technischen Grundlagen des Internets vollzieht sich gerade eine Änderung, von der die wenigsten Unternehmerinnen und Unternehmer in Monaco gehört haben – und die in den nächsten drei Jahren Websites offline nehmen wird, wenn niemand handelt. Es geht um das SSL/TLS-Zertifikat, also um das Schloss-Symbol im Browser und das „s" in https. Genauer: darum, wie lange ein solches Zertifikat gültig sein darf, bevor es ersetzt werden muss.

Bis März 2026 war ein Zertifikat gut ein Jahr lang gültig. Man erneuerte es jährlich, oder der Hosting-Anbieter erledigte das stillschweigend, und das Thema landete nie auf dem Schreibtisch der Geschäftsführung. Diese Zeit endet nach einem bereits veröffentlichten Fahrplan. Die praktische Konsequenz ist einfach: Die Erneuerung muss automatisch laufen, weil sie bald zu häufig ansteht, um sie manuell zu erledigen.

Der Fahrplan im Klartext

Das CA/Browser Forum – das Gremium, in dem Zertifizierungsstellen und Browser-Hersteller die Regeln festlegen, die Chrome, Safari, Firefox und Edge durchsetzen – hat die Reform 2025 beschlossen. Die maximale Laufzeit eines öffentlich vertrauenswürdigen Zertifikats sinkt in drei Stufen:

• Seit 15. März 2026: 200 Tage (bereits in Kraft)
• Ab 15. März 2027: 100 Tage
• Ab 15. März 2029: 47 Tage

Zertifikate, die vor dem jeweiligen Stichtag ausgestellt wurden, laufen ihre volle Frist weiter – über Nacht bricht also nichts zusammen. Doch jede neue Erneuerung fällt in die kürzere Stufe. Ab 2029 braucht eine Website etwa alle sechs Wochen ein neues Zertifikat, rund achtmal im Jahr statt wie heute einmal.

Eine zweite Änderung wiegt ebenso schwer und wird meist übersehen: Der Zeitraum, in dem eine Zertifizierungsstelle Ihre Domain-Validierung wiederverwenden darf, schrumpft parallel mit – bis 2029 auf zehn Tage. Der Nachweis, dass Sie Ihre Domain weiterhin kontrollieren, wird damit zur regelmäßigen Routine statt zur jährlichen Formalie.

Warum das passiert

Kürzere Laufzeiten sind eine Sicherheitsmaßnahme, kein Geschäftsmodell. Wird ein privater Schlüssel gestohlen oder ein Zertifikat fälschlich ausgestellt, hängt das Missbrauchsfenster direkt an der Gültigkeitsdauer. Der Widerruf – eigentlich der Mechanismus, um ein kompromittiertes Zertifikat vorzeitig zu annullieren – hat über alle Browser hinweg nie zuverlässig funktioniert. Die Branche entschied sich deshalb für die pragmatische Lösung: Zertifikate sollen von selbst schnell verfallen.

Der eigentliche Zweck dahinter ist, das gesamte Ökosystem zur Automatisierung zu zwingen. Manuelle Zertifikatsverwaltung ist die häufigste Ursache für Ausfälle.

Was schiefgeht, wenn es schiefgeht

Ein abgelaufenes Zertifikat verabschiedet sich nicht sanft. Besucher sehen keinen kleinen Hinweis, sondern eine rote Vollbildwarnung: Die Verbindung sei nicht privat, die Seite versuche möglicherweise, ihre Daten zu stehlen. Die meisten Menschen verlassen die Seite sofort. Suchmaschinen und Werbeplattformen liefern keinen Traffic mehr. Zahlungen scheitern. Wer online verkauft, dessen Kasse steht still.

Für ein monegassisches Unternehmen, dessen Website der erste Eindruck bei internationaler Kundschaft ist, kostet dieser Bildschirm auf schwer bezifferbare Weise viel – und wäre sehr einfach zu vermeiden.

Das häufigste Szenario ist nicht Nachlässigkeit, sondern schleichender Kontrollverlust. Das Zertifikat wurde vor Jahren von jemandem eingerichtet, der längst nicht mehr im Haus ist. Die Erinnerungsmail geht an eine Adresse, die niemand mehr liest. Die Website liegt bei einem Dienstleister, die Domain bei einem anderen, und jeder nimmt an, der andere kümmere sich. Im Jahresrhythmus überlebt eine solche Konstellation durch Glück. Bei 100 Tagen geht das Glück aus.

Vier Fragen für diesen Monat

Für diese Bestandsaufnahme braucht es kein technisches Wissen. Stellen Sie vier Fragen und halten Sie die Antworten fest:

1. Wer stellt unser Zertifikat aus? Der Hoster, eine direkt beauftragte Zertifizierungsstelle, ein CDN wie Cloudflare oder eine Plattform wie Shopify.
2. Läuft die Erneuerung automatisch? Lautet die Antwort „darum kümmert sich jemand" statt „das macht das System", liegt genau dort Ihr Risiko.
3. Wohin gehen Ablaufwarnungen? In ein überwachtes Gruppenpostfach – nicht an eine einzelne Person.
4. Was nutzt außerhalb der Website noch ein Zertifikat? Mailserver, Buchungssystem, Kundenportal, API, Kampagnen-Subdomain, VPN oder Firewall im Büro. Genau diese werden vergessen.

Beim letzten Punkt verstecken sich die meisten Überraschungen. Die Hauptwebsite ist meist in Ordnung. Der Testserver, das Altportal oder das Zahlungsterminal nicht.

Der Weg zur Automatisierung

Für die große Mehrheit der Unternehmen in Monaco ist die Lösung weder schwierig noch teuer.

Modernes Hosting erledigt das von Haus aus. Managed-Plattformen, seriöse Hoster und Dienste wie Cloudflare stellen Zertifikate automatisch aus und erneuern sie über das ACME-Protokoll – denselben Standard, auf dem Let's Encrypt basiert. Auf einer sauber konfigurierten Infrastruktur sind kürzere Laufzeiten schlicht ein Nicht-Ereignis. Das ist einer der unauffälligen Vorteile einer ordentlich gebauten Website, und wir planen es bei jedem Projekt der Webentwicklung von Anfang an ein.

Aufmerksamkeit verlangen:

• Selbst verwaltete Server und ältere Installationen, besonders individuelle WordPress-Seiten auf betagtem Hosting, bei denen das Zertifikat vor Jahren von Hand installiert wurde.
• Alles hinter Load Balancer, Firewall oder Appliance, wo das Zertifikat auf der Hardware liegt und nicht im Web-Stack.
• Onlineshops, wo ein Ablauf direkt Umsatz kostet und eigene Domains, Checkout-Subdomains und Zahlungsanbindungen allesamt abgedeckt sein müssen – am besten gemeinsam mit dem übrigen E-Commerce-Setup betrachtet.

Legen Sie zusätzlich eine unabhängige Ablaufüberwachung darüber, damit Sie es von einer Warnmeldung erfahren und nicht von einem Kunden. Genau das gehört in eine laufende Website-Wartung und nicht in den Kalender einer einzelnen Person.

Der monegassische Kontext

Nichts davon ist monegassisches Recht – es sind globale Browser-Regeln, die für jede Website gelten, die Ihre Kundschaft erreichen kann, ob unter .mc oder anderswo. Zwei lokale Gegebenheiten sprechen dennoch dafür, früh zu handeln.

Erstens arbeiten viele Unternehmen in Monaco mit schlanken Teams und einer Website, die einmal von einem externen Partner gebaut und danach selten angefasst wurde. Genau dort ist heute niemand für die Erneuerung zuständig.

Zweitens verzeiht die Kundschaft wenig. Wer aus Genf, London oder Dubai sucht und auf eine Sicherheitswarnung stößt, forscht nicht nach, sondern schließt den Tab. Sie werden nie davon erfahren.

Womit Sie anfangen

Bis März 2027 bleibt ein komfortables Zeitfenster, und es zu nutzen kostet wenig. Erfassen Sie jedes Zertifikat, auf das Sie angewiesen sind, prüfen Sie bei jedem die automatische Erneuerung, leiten Sie die Warnungen an ein tatsächlich gelesenes Postfach, und bringen Sie die ein bis zwei Altsysteme in Ordnung, die dabei auftauchen. Einmal sauber erledigt, ziehen die Stufen 2027 und 2029 unbemerkt an Ihnen vorbei.

Wenn Ihnen lieber ist, dass jemand Ihre Website prüft und Ihnen klar sagt, ob Sie gefährdet sind: Sprechen Sie uns an – das ist ein kurzer Audit und deutlich günstiger als der Morgen, an dem Ihre Seite rot wird.