Let’s Encrypt 64 Tage: Zertifikate laufen kürzer

Die Formel „Let’s Encrypt 64 Tage" bringt auf den Punkt, was auf Betreiber von Websites, Diensten und APIs zukommt: Ab dem 10. Februar 2027 stellt die Zertifizierungsstelle standardmäßig nur noch TLS-Zertifikate mit 64 Tagen Laufzeit aus. Parallel sinkt die Wiederverwendung von ACME-Autorisierungen von 30 auf 10 Tage. Wer heute mit dem 90-Tage-Standard plant, muss seine Erneuerungs- und Monitoringprozesse deutlich enger takten. Einen Patch gibt es nicht — wohl aber eine Umstellung, die den Betrieb betrifft.

Let’s Encrypt 64 Tage: Was sich am 10. Februar 2027 ändert

Der Wechsel gilt für alle Abonnenten gleichermaßen: Jedes Zertifikat, das am oder nach dem 10. Februar 2027 ausgestellt oder erneuert wird, hat eine Laufzeit von 64 Tagen — es sei denn, der Betreiber entscheidet sich bewusst für ein noch kürzeres Profil mit 45 oder 6 Tagen. Das geht aus der Ankündigung der Zertifizierungsstelle hervor.

Zwei Details sind für die Planung entscheidend. Erstens werden gültige Zertifikate im Zuge der Umstellung nicht widerrufen; bestehende 90-Tage-Zertifikate laufen regulär aus. Das letzte von ihnen endet demnach am 11. Mai 2027. Zweitens zieht Let’s Encrypt die Autorisierungs-Wiederverwendung von 30 auf 10 Tage zusammen — wer Renewals bisher über zwischengespeicherte Validierungen gestreckt hat, verliert damit einen Teil seines Puffers.

Die Umstellung lässt sich vorab testen: Im Staging-Betrieb von Let’s Encrypt greift die 64-Tage-Laufzeit bereits ab dem 14. Oktober 2026.

Von 90 auf 45 Tage: der Zeitplan bis 2028

Der 64-Tage-Schritt ist nur eine Zwischenstation. Am 16. Februar 2028 wechselt das Standardprofil auf 45 Tage, gleichzeitig sinkt die Autorisierungs-Wiederverwendung auf 7 Stunden. Die deutschsprachige Übersicht der geplanten Funktionen bestätigt beide Stichtage, ebenso die ursprüngliche Ankündigung der 45-Tage-Marke.

Wer früher Erfahrung sammeln will, kann das opt-in-Profil tlsserver nutzen, das bereits seit dem 13. Mai 2026 Zertifikate mit 45 Tagen Laufzeit ausstellt. Daneben existieren 6-Tage-Zertifikate als Opt-in. Zum Vergleich: Aktuell liegt der Standard bei 90 Tagen, die offizielle Empfehlung zur Erneuerung bei 60 Tagen. Let’s Encrypt halbiert die Laufzeit damit binnen zwei Jahren — und stellt ausschließlich Domain-Validated-Zertifikate aus, nicht EV oder OV.

ARI und hardcodierte Intervalle: was Admins jetzt umstellen müssen

Die praktische Konsequenz ist weniger die Laufzeit selbst als die Frage, wie zuverlässig die Erneuerung läuft. Der Anbieter empfiehlt ausdrücklich den Einsatz von ARI (ACME Renewal Information) und das Entfernen hardcodierter Renewal-Intervalle. ARI übermittelt dem ACME-Client, wann ein Zertifikat erneuert werden soll, und passt sich an die jeweils gültige Laufzeit an. Wer stattdessen „alle 60 Tage" im Cronjob oder in der Konfiguration stehen hat, arbeitet nach dem Februar 2027 mit einem Intervall, das nicht mehr zur Laufzeit passt. Der Überblick zu kurzen Gültigkeiten ordnet diese Nebenwirkungen ein und weist darauf hin, dass kürzere Laufzeiten auch die TLS-Client-Authentifizierung berühren.

Konkret heißt das für den Betrieb: Renewal-Intervalle aus Skripten und Konfigurationsdateien entfernen, Ablauf-Monitoring auf deutlich kürzere Vorlaufzeiten setzen, fehlgeschlagene Erneuerungen alarmieren lassen statt sie nur zu protokollieren, und den Staging-Test ab dem 14. Oktober 2026 einplanen. Bei Setups mit langen Change-Prozessen kann die kürzere Laufzeit zum Problem werden, wenn ein Zertifikat zwischen Beantragung und Ausrollen bereits einen relevanten Teil seiner Gültigkeit eingebüßt hat.

Warum kürzere Laufzeiten das Risiko senken

Die Begründung des Anbieters ist sicherheitsfachlich nachvollziehbar: Je kürzer ein Zertifikat gültig ist, desto kleiner der Radius, wenn ein privater Schlüssel kompromittiert wird, und desto wirksamer greift Revocation. Ein widerrufenes Zertifikat bleibt bei kurzen Laufzeiten nur ein kleines Zeitfenster überhaupt relevant. Für Angreifer, die Schlüsselmaterial erbeuten oder eine Zertifizierungsstelle kompromittieren wollen, schrumpft das nutzbare Fenster entsprechend.

Der Zeitplan ist Teil eines branchenweiten Vorhabens: Das CA/Browser-Forum sieht in seinem Beschluss SC-081v3 eine Obergrenze von 47 Tagen ab 2029 vor. Let’s Encrypt erreicht die 45-Tage-Marke bereits 2028 und liegt damit ein Jahr vor dem gemeinsamen Fahrplan; die deutschsprachige Berichterstattung zur 45-Tage-Marke spiegelt diese Einordnung. Für Hoster und Betreiber kritischer Infrastruktur entsteht dadurch faktisch ein Automatisierungszwang: Manuelle Erneuerungsprozesse, die bei 90 Tagen noch tragbar waren, sind bei 45 oder gar 6 Tagen nicht mehr wirtschaftlich abbildbar.

Fazit: Kein Widerruf, aber absehbarer Umstellungsdruck

Niemand muss heute Zertifikate austauschen — Let’s Encrypt widerruft im Rahmen der Umstellung nichts. Der Druck entsteht über die Zeitachse: Ab Oktober 2026 lässt sich das neue Verhalten im Staging testen, ab Februar 2027 gilt es im Produktivbetrieb, ab Februar 2028 wird es nochmals kürzer. Wer jetzt hardcodierte Intervalle entfernt, ARI aktiviert und sein Monitoring auf kürzere Ablaufzyklen umstellt, hat die Umstellung bis dahin erledigt. Wer wartet, holt sie im Fehlerfall nach — dann mit abgelaufenem Zertifikat vor der eigenen Domain.

Quellen