SSL-Zertifikat erneuern: Wann, wie und was bei einem abgelaufenen Zertifikat passiert

Ein SSL-Zertifikat lässt sich nicht verlängern, es wird durch ein neues ersetzt. Seit dem 15. März 2026 gelten neu ausgestellte Zertifikate höchstens 200 Tage. Wer früher einmal im Jahr erneuert hat, tut das jetzt etwa alle sechs Monate.

Wann sollten Sie erneuern?

Erneuern Sie spätestens 14 Tage vor Ablauf, besser 30 Tage vorher. So bleibt Zeit, falls die Validierung hakt oder die Installation ein Wartungsfenster braucht. Das Ablaufdatum Ihres Zertifikats zeigt der SSL-Checker.

Erneuerung in fünf Schritten

1. Neuen CSR erzeugen. Erstellen Sie auf dem Server eine neue Zertifikatsanforderung, am besten mit einem neuen privaten Schlüssel. Der Schlüssel bleibt auf dem Server.
2. Neuausstellung beantragen. Reichen Sie den CSR bei Ihrem Anbieter ein. Bei einem mehrjährigen Vertrag ist das eine kostenlose Neuausstellung innerhalb der Laufzeit.
3. Domain validieren. Per DNS-Eintrag, Datei auf dem Webserver oder E-Mail. Bei OV und EV werden die Unternehmensdaten etwa einmal jährlich erneut geprüft.
4. Zertifikat installieren. Spielen Sie das neue Zertifikat samt Zwischenzertifikaten ein und laden Sie die Serverkonfiguration neu.
5. Prüfen. Kontrollieren Sie Ablaufdatum, Domains und Zertifikatskette. Den Inhalt eines Zertifikats zeigt der Zertifikat-Decoder.

Was passiert, wenn das Zertifikat abläuft?

Ab der Sekunde des Ablaufs zeigen Browser eine ganzseitige Warnung wie „Dies ist keine sichere Verbindung“ mit dem Fehlercode NET::ERR_CERT_DATE_INVALID. Die meisten Besucher brechen an dieser Stelle ab. Schnittstellen und Apps, die Ihre Website aufrufen, verweigern die Verbindung ganz. Die Website ist technisch erreichbar, praktisch aber offline.

Typische Fehler bei der Erneuerung

• Zwischenzertifikat vergessen: Auf dem eigenen Rechner sieht alles gut aus, auf Mobilgeräten erscheint eine Warnung.
• Nur einen Server aktualisiert: Hinter einem Load Balancer oder CDN liegt das Zertifikat an mehreren Stellen.
• Domain fehlt: Das neue Zertifikat enthält nicht mehr alle Namen des alten, etwa die Variante ohne „www“.
• Erinnerung an eine alte Adresse: Ablaufhinweise gehen an ein Postfach, das niemand mehr liest.

Erneuerung automatisieren

Die Laufzeit sinkt weiter: ab 15. März 2027 auf 100 Tage, ab 15. März 2029 auf 47 Tage. Spätestens dann ist die Erneuerung von Hand nicht mehr praktikabel. Mit dem ACME-Protokoll fordert der Server Zertifikate selbst an, validiert und installiert sie. Das funktioniert auch mit kostenpflichtigen Zertifikaten.

Kurz gefasst

• Erneuern heißt: neues Zertifikat ausstellen und installieren.
• Planen Sie 30 Tage Vorlauf ein und prüfen Sie nach der Installation.
• Ein abgelaufenes Zertifikat wirkt wie ein Ausfall.
• Bei DATASSL ist die Neuausstellung während der Vertragslaufzeit kostenlos; Preise in der Preisliste.