Vorhaben besprechen

TOOLBOX · DOWNLOAD

Zertifikate,die sich selbsterneuern.

Öffentliche TLS-Zertifikate laufen seit 15. März 2026 höchstens 200 Tage, ab März 2029 nur noch 47 Tage, und die Prüfung der Domain gilt dann nur noch 10 Tage. Wer Zertifikate von Hand erneuert, bekommt damit ein Betriebsproblem. Diese Checkliste führt durch Protokolle, Cipher Suites und Schlüssel nach BSI TR-02102-2 (Version 2026-01) und TLSRef, Automatisierung mit ACME, Inventar und Ablaufüberwachung, HSTS, CAA, interne Dienste und die Sperrprüfung nach dem Ende von OCSP bei Let’s Encrypt. Dazu kommen Beispielkonfigurationen für nginx und Apache und Prüfbefehle mit OpenSSL.

PDF herunterladen (12 Seiten)Was drinsteht

Kostenloses PDF · Checkliste

TLS und Zertifikate: Checkliste für Server und Websites

Thema
Website & Datenschutz
Format
PDF, A4
Umfang
12 Seiten
Größe
166 KB
Stand
25.10.2026
Quellen
24
Nutzung
Weitergabe in unveränderter Form erlaubt
Als Webseite lesen

FÜR WEN

Für wen
das gedacht ist.

Protokolle, Schlüssel, Laufzeiten bis 47 Tage, ACME, Inventar, HSTS und CAA nach BSI TR-02102-2, CA/Browser Forum und IETF, mit Konfiguration und Prüfbefehlen.

  • Administration von Web-, Mail- und VPN-Servern, Reverse Proxys und Load Balancern
  • Webagenturen und Hoster, die Websites und Zertifikate für Kunden betreiben
  • Website-Verantwortliche und IT-Leitung, die Zertifikate, Dienstleister und Fristen im Blick behalten müssen

9 ABSCHNITTE

Was drin
steht.

Jede fachliche Aussage im Dokument nennt ihre Quelle. Das Stand-Datum steht auf jeder Seite.

  • 01

    Worum es geht und was vorgegeben ist

    Warum Zertifikate kürzer laufen, was das NISG 2026 verlangt und was nur Empfehlung ist.

  • 02

    Laufzeiten: der Stufenplan bis 2029

    Höchstlaufzeit und Domain-Prüfung sinken in drei Stufen; die erste gilt seit 15. März 2026.

  • 03

    Protokolle, Cipher Suites und Schlüssel

    TLS 1.3 bevorzugen, TLS 1.2 nur mit Forward Secrecy, Älteres abschalten, Schlüssel richtig wählen.

  • 04

    Automatisieren mit ACME

    Antrag, Domain-Nachweis und Erneuerung ohne Handarbeit, mit Überwachung.

  • 05

    Inventar und Ablaufüberwachung

    Jedes Zertifikat mit Ablauf und Zuständigkeit erfassen und von außen überwachen.

  • 06

    HTTPS erzwingen: Weiterleitung, HSTS und CAA

    HTTP dauerhaft umleiten, HSTS in Stufen einführen, per CAA die Aussteller festlegen.

  • 07

    Beispielkonfiguration und Prüfbefehle

    nginx und Apache nach TLSRef Intermediate, Windows-Server und Prüfbefehle mit OpenSSL.

  • 08

    Interne Dienste und Sperrprüfung

    Mail, VPN und Geräte nicht vergessen; was sich bei OCSP und Sperrlisten geändert hat.

  • 09

    Checkliste zum Abhaken

    Alle Punkte in einer Liste zum Abhaken.

AUSZUG

Laufzeiten: der Stufenplan bis 2029

Stufenplan nach Ballot SC-081v3 (Baseline Requirements 2.3.1, Abschnitte 6.3.2 und 4.2.1)
Zertifikat ausgestelltHöchstlaufzeitDomain-Prüfung gilt höchstens
vor dem 15. März 2026398 Tage398 Tage
ab 15. März 2026 (gilt jetzt)200 Tage200 Tage
ab 15. März 2027100 Tage100 Tage
ab 15. März 202947 Tage10 Tage

Die CAs sollen jeweils einen Tag darunter bleiben (199, 99, 46 Tage), weil ein Tag 86 400 Sekunden hat und schon Bruchteile darüber als weiterer Tag zählen (Abschnitt 6.3.2). Geprüfte Unternehmensangaben für OV-Zertifikate dürfen seit 15. März 2026 höchstens 398 statt 825 Tage wiederverwendet werden (4.2.1); für EV gelten nach den EV Guidelines (3.2.2.14.3) schon seit 2021 höchstens 398 Tage. SC-081v3 wurde am 11. April 2025 ohne Gegenstimme angenommen.

  • Bei 47 Tagen braucht jeder Name mindestens acht Zertifikate im Jahr, und bei 10 Tagen ist die Domain-Prüfung praktisch jedes Mal neu fällig. Let’s Encrypt rät von manueller Erneuerung ab; auch der Nachweis muss automatisch laufen (Abschnitt 04).
  • Bei kompromittiertem Schlüssel und einigen weiteren Gründen, etwa unzuverlässiger Domain-Prüfung, muss die CA binnen 24 Stunden sperren, in anderen Fällen binnen 5 Tagen (Abschnitt 4.9.1.1). Ein Tausch muss also jederzeit kurzfristig gehen.

Let’s Encrypt verkürzt früher (Ankündigung vom 2. Dezember 2025): Profil tlsserver seit 13. Mai 2026 mit 45 Tagen; Standardprofil classic ab 10. Februar 2027 mit 64 Tagen und 10 Tagen Wiederverwendung der Domain-Prüfung (bestätigt am 7. Oktober 2026), ab 16. Februar 2028 mit 45 Tagen und 7 Stunden; Profil shortlived mit rund 6 Tagen.

Komplett als PDF

QUELLEN

Belegt,
nicht behauptet.

  1. BSI TR-02102-2: Verwendung von TLS, Version 2026-01 (öffnet in neuem Tab)PDF vom 27.01.2026: Kap. 1, 3.2 bis 3.6, 4.1; Hinweis zu TLS 1.3 (RFC 10024) auf der Seite
  2. CA/Browser Forum: TLS Baseline Requirements 2.3.1 (öffnet in neuem Tab)vom 4.10.2026; 1.1, 1.2.2, 3.2.2.4, 4.2.1, 4.2.2, 4.9, 6.1.5, 6.3.2, 7.1.2
  3. CA/Browser Forum: EV Guidelines 2.0.4 (öffnet in neuem Tab)13.8.2026; 3.2.2.14.3 (398 Tage seit SC042, 2021)
  4. CA/Browser Forum: Ballot SC-081v3 (öffnet in neuem Tab)Stufenplan, Abstimmung vom 11.4.2025
  5. RFC 9846: TLS 1.3 (ersetzt RFC 8446) (öffnet in neuem Tab)Juli 2026; Abschnitte 1.2 und 1.3
  6. RFC 8996: Deprecating TLS 1.0 and TLS 1.1 (öffnet in neuem Tab)Abschnitte 4 und 5
  7. RFC 9325 (BCP 195): Secure Use of TLS (öffnet in neuem Tab)Abschnitte 3.1.1, 3.2, 3.3, 4.1 und 4.5
  8. RFC 9852 und RFC 10015 (Juli 2026): Änderungen an RFC 9325 (öffnet in neuem Tab)9852: 4, 5; 10015: 2 bis 4, 6 (www.rfc-editor.org/rfc/rfc10015.html)
  9. RFC 10024: PQ/T Hybrid Key Agreement for TLS 1.3 (öffnet in neuem Tab)August 2026; X25519MLKEM768, SecP256r1MLKEM768, SecP384r1MLKEM1024
  10. RFC 8555: ACME (öffnet in neuem Tab)Abschnitte 8.3 und 8.4
  11. RFC 8737: ACME TLS-ALPN-01 (öffnet in neuem Tab)Abschnitt 3
  12. RFC 9773: ACME Renewal Information (ARI) (öffnet in neuem Tab)Abschnitt 1
  13. RFC 6797: HSTS (öffnet in neuem Tab)Abschnitte 6.1, 7.2, 8.4 und 12.1
  14. RFC 8659 und RFC 8657: CAA (öffnet in neuem Tab)8659: 3, 4.1 bis 4.4; 8657: 4, Anhang A (www.rfc-editor.org/rfc/rfc8657.html)
  15. RFC 6962: Certificate Transparency (öffnet in neuem Tab)experimentell, formal ersetzt durch RFC 9162; Zusammenfassung
  16. TLSRef Configurator (vormals Mozilla) und Leitlinien 6.0 (öffnet in neuem Tab)Vorlagen nginx, Apache (Build 6bcb595); docs.tlsref.org/server-side-tls.html; Umzug: github.com/mozilla/ssl-config-generator
  17. Let’s Encrypt: Ende von OCSP (öffnet in neuem Tab)6.8.2025; Zeitplan im Beitrag vom 5.12.2024
  18. Let’s Encrypt: Laufzeiten bis 45 Tage (öffnet in neuem Tab)2.12.2025; Zeitplan, Profile, ARI, Überwachung; bestätigt in letsencrypt.org/2026/10/07/64-day-certs
  19. OpenSSL 3.5: Dokumentation (öffnet in neuem Tab)s_client, x509, ciphers, SSL_CTX_set_security_level
  20. Microsoft Learn: Protokolle in TLS/SSL (Schannel) und TLS-Registrierungseinstellungen (öffnet in neuem Tab)Versionen je Windows; Registry: learn.microsoft.com/de-de/windows-server/security/tls/tls-registry-settings
  21. hstspreload.org: HSTS einführen, Preload (öffnet in neuem Tab)gelesen am 25.10.2026
  22. NISG 2026, BGBl. I Nr. 94/2025 (RIS) (öffnet in neuem Tab)§ 32 und § 51 Abs. 2; Fassung vom 25.10.2026
  23. NISV 2026, BGBl. II Nr. 290/2026 (RIS) (öffnet in neuem Tab)§ 2
  24. DVO (EU) 2024/2690, Anhang Nr. 9 (öffnet in neuem Tab)Kryptografie; anwendbar nach § 2 NISV 2026

Diese Checkliste ist eine Empfehlung von TOMORIS nach den genannten Quellen, Stand 25.10.2026. Verbindlich sind für Zertifizierungsstellen die Baseline Requirements in der geltenden Fassung, für wesentliche und wichtige Einrichtungen das NISG 2026; die BSI TR-02102-2 ist eine Empfehlung. Sie ersetzt keine Rechtsberatung. Standardwerte und Bezeichnungen können sich ändern. Testen Sie Änderungen zuerst in einer Testumgebung, zu strenge Einstellungen können ältere Clients aussperren.

TOOLBOX

Passend
dazu.

WEBSITE & DATENSCHUTZ

Mehr zum
Thema.

Weitere kostenlose PDFs aus dem Bereich Website & Datenschutz.

Alle Downloads zu Website & Datenschutz

IHR NÄCHSTER SCHRITT

Vom Papier
in die Praxis.

Wir prüfen mit Ihnen, was davon in Ihrer Umgebung schon umgesetzt ist, und setzen den Rest um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Umsetzung besprechenAlle Downloads