Das CA/Browser Forum, ein Zusammenschluss aus Browserherstellern und Zertifizierungsstellen (CAs), hat eine bedeutende Änderung für die Sicherheit im Internet beschlossen: Die maximale Gültigkeitsdauer von TLS-Serverzertifikaten wird bis zum Jahr 2029 schrittweise von derzeit 398 auf nur noch 47 Tage verkürzt.
Der Vorschlag zur Reduzierung der Laufzeit wurde Ende 2024 von Apple eingebracht und fand breite Unterstützung bei den Mitgliedern des Forums – darunter auch Branchengrößen wie Google, Mozilla, Microsoft, Amazon, Digicert und andere. Es gab 29 Ja-Stimmen und 5 Enthaltungen. Ein Vorstoß ähnlicher Vorstoß von Google aus dem Jahr 2023 war noch gescheitert.
Ziel ist es, die Sicherheit im Internet zu erhöhen, indem Risiken durch veraltete oder kompromittierte Zertifikate reduziert werden. Eine kürzere Laufzeit erschwert es Cyberkriminellen, über einen längeren Zeitraum gestohlene Zertifikate zu missbrauchen, und zwingt Administratoren zur regelmäßigen Erneuerung – idealerweise in automatisierter Form.
Die Umsetzung erfolgt in mehreren Stufen:
- 15. März 2026
- maximale Laufzeit 200 Tage
- Wiederverwendung der Domänenvalidierung: 200 Tage
- Wiederverwendung der OV/EV-Validierung (SII): 398 Tage
- 15. März 2027
- maximale Laufzeit 100 Tage
- Wiederverwendung der Domänenvalidierung: 100 Tage
- 15. März 2029
- maximale Laufzeit 47 Tage
- Wiederverwendung der Domänenvalidierung: 10 Tage
Zusätzlich wird auch der Zeitraum zur Wiederverwendung von Identifikationsunterlagen bei der Zertifikatsbeantragung verkürzt – von über einem Jahr auf künftig nur noch zehn Tage. Das bedeutet: Für jedes neue Zertifikat müssen aktuelle Nachweise vorgelegt werden, was den Erneuerungsprozess aufwendiger macht, sofern keine Automatisierung besteht.
Besonders betroffen sind Betreiber von Webservern, für die sich der administrative Aufwand deutlich erhöht. Allerdings bleibt durch die lange Übergangsfrist ausreichend Zeit zur Umstellung. Dienste wie Let’s Encrypt zeigen bereits, wie die Zukunft aussehen könnte: Die Non-Profit-CA bietet seit Jahren standardmäßig Zertifikate mit 90 Tagen Laufzeit an – inzwischen können Kunden sogar freiwillig Zertifikate mit nur sechs Tagen Gültigkeit nutzen.
Hintergrund der Entscheidung ist nicht nur der Sicherheitsgewinn. Auch technische Schwächen bestehender Kontrollmechanismen – etwa OCSP und CRLs – zur Sperrung fehlerhafter Zertifikate gelten als unzureichend skalierbar und offenbaren in der Praxis immer wieder Probleme. Durch kürzere Laufzeiten sinkt die Relevanz solcher Mechanismen, da kompromittierte Zertifikate ohnehin schnell ablaufen.
Insgesamt markiert die Entscheidung einen bedeutenden Schritt hin zu einem sichereren und stärker automatisierten Zertifikatsmanagement im Internet.
Sie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
Neueste Kommentare