Digitale Zertifikate sind eine zentrale Grundlage für sichere digitale Kommunikation. Sie ermöglichen es Websites, Anwendungen, Geräten und Services, Identitäten zu prüfen und Verbindungen verschlüsselt aufzubauen. Solange ein Zertifikat gültig und vertrauenswürdig ist, läuft dieser Prozess meist unsichtbar im Hintergrund.
Doch Vertrauen kann sich ändern. Wird beispielsweise ein privater Schlüssel kompromittiert oder ein Zertifikat fehlerhaft oder unautorisiert ausgestellt, muss es widerrufen werden. Und dann zählt nicht mehr das reguläre Ablaufdatum: Je nach Ursache kann die Frist für den Widerruf nur 24 Stunden betragen.
Für Unternehmen wird damit neben immer kürzeren Zertifikatslaufzeiten ein zweiter Faktor zunehmend relevant: die Fähigkeit, Zertifikate im Ernstfall sehr schnell und kontrolliert auszutauschen. Ohne Transparenz und automatisierte Prozesse kann aus einem Zertifikatsproblem rasch ein Verfügbarkeits- und Geschäftsrisiko werden.
Wie die aktuellen Anforderungen an Certificate Revocation aussehen, wann die 24-Stunden-Frist greift und warum automatisiertes Certificate Lifecycle Management dabei eine entscheidende Rolle spielt, zeigt dieser Beitrag.
Ein digitales Zertifikat bestätigt die Identität eines Systems und schafft die Grundlage für eine verschlüsselte und vertrauenswürdige Kommunikation. Dieses Vertrauen gilt jedoch nur so lange, wie die Voraussetzungen für die Ausstellung des Zertifikats erfüllt sind.
Wird beispielsweise der zugehörige private Schlüssel kompromittiert oder stellt sich heraus, dass ein Zertifikat nicht ordnungsgemäss ausgestellt wurde, muss die Zertifizierungsstelle – die Certificate Authority (CA) – reagieren und das Zertifikat widerrufen.
Die aktuell gültigen TLS Baseline Requirements des CA/Browser Forums unterscheiden dabei für reguläre öffentlich vertrauenswürdige TLS-Zertifikate im Wesentlichen zwischen zwei Fristen: Widerruf innerhalb von 24 Stunden sowie Situationen, in denen ein Zertifikat spätestens innerhalb von fünf Tagen widerrufen werden muss.
Ein Widerruf innerhalb von 24 Stunden ist unter anderem erforderlich, wenn:
Daneben gibt es weitere Szenarien, bei denen ein Widerruf möglichst innerhalb von 24 Stunden, spätestens jedoch innerhalb von fünf Tagen erfolgen muss. Dazu zählen beispielsweise eine missbräuchliche Verwendung des Zertifikats, fehlerhafte Zertifikatsinformationen oder die Ausstellung entgegen geltenden Anforderungen.
Was zunächst nach einer regulatorischen Vorgabe für Certificate Authorities klingt, hat unmittelbare Auswirkungen auf deren Kunden: Wird ein Zertifikat widerrufen, muss das betroffene Unternehmen in der Lage sein, sehr kurzfristig ein neues Zertifikat auszustellen, zu verteilen und auf allen betroffenen Systemen produktiv zu nehmen.
Bei einigen wenigen Zertifikaten lässt sich ein Austausch unter Umständen noch manuell bewältigen. Moderne Unternehmensumgebungen umfassen jedoch häufig hunderte oder tausende Zertifikate – verteilt über Webserver, Load Balancer, Firewalls, Cloud-Plattformen, APIs, Kubernetes-Umgebungen, Netzwerkkomponenten und weitere Systeme.
Fehlt eine vollständige Übersicht über diese Zertifikatslandschaft, beginnen im Ernstfall die kritischen Fragen:
Wo ist das betroffene Zertifikat überall installiert?
Welche Anwendungen und Services hängen davon ab?
Wer ist dafür verantwortlich? Wie wird ein Ersatz ausgestellt?
Genau hier liegt das eigentliche Risiko. Wird ein bereits widerrufenes Zertifikat weiterhin eingesetzt oder kann ein Ersatz nicht rechtzeitig ausgerollt werden, drohen Verbindungsabbrüche, nicht erreichbare Anwendungen und Unterbrüche geschäftskritischer Prozesse.
Besonders anspruchsvoll sind Legacy-Systeme oder Infrastrukturen, auf denen Zertifikate nur mit hohem manuellem Aufwand ausgetauscht werden können. Das CA/Browser Forum und DigiCert weisen deshalb darauf hin, dass öffentlich vertrauenswürdige TLS-Zertifikate nicht auf Systemen eingesetzt werden sollten, die einen zeitnahen Widerruf und Austausch technisch nicht verkraften. Je nach Einsatzgebiet können hier Private-Trust-Architekturen eine geeignete Alternative darstellen.
Apropos: Das Whitepaper unseres Partners DigiCert zeigt Ihnen, wie Sie Ihre Zertifikatsverwaltung nachhaltig optimieren: von der vollständigen Transparenz über Ihren Bestand bis hin zur automatisierten Ausstellung und Erneuerung. Sie erhalten ein praxiserprobtes Framework, um Risiken zu reduzieren und Ihre Prozesse effizient zu gestalten. Interessiert? Jetzt Whitepaper herunterladen und das eigene Zertifikatsmanagement zukunftssicher aufstellen:
Noch anspruchsvoller wird die Situation bei einer sogenannten Mass Revocation. Dabei müssen aufgrund einer Schwachstelle, eines Ausstellungsfehlers oder eines anderen übergreifenden Ereignisses potenziell sehr viele Zertifikate gleichzeitig ersetzt werden.
Das CA/Browser Forum hat deshalb die Anforderungen an Certificate Authorities deutlich verschärft. Seit Dezember 2025 müssen CAs über einen umfassenden und umsetzbaren Mass-Revocation-Plan verfügen. Dieser muss unter anderem Verantwortlichkeiten, Kommunikationswege, Automatisierungsmöglichkeiten sowie konkrete Abläufe für Widerruf und Ersatz definieren und mindestens einmal pro Jahr getestet werden.
Auch Mozilla verpflichtet Certificate Authorities zu einer aktiven Vorbereitung auf solche Szenarien und verlangt eine frühzeitige Kommunikation mit Kunden über die geltenden Widerrufsfristen.
Für Unternehmen ergibt sich daraus eine einfache Konsequenz: Auch auf Kundenseite sollte Certificate Revocation Bestandteil der Cyber- und Betriebsresilienz sein.
Bereits die schrittweise Verkürzung der maximalen TLS-Zertifikatslaufzeiten auf künftig 47 Tage macht automatisiertes Certificate Lifecycle Management unverzichtbar. Ein ungeplanter Widerruf verschärft diese Herausforderung nochmals: Dann bleiben nicht Wochen, sondern unter Umständen nur wenige Stunden.
Ein modernes Certificate Lifecycle Management (CLM) schafft dafür die notwendigen Voraussetzungen:
Mit dem DigiCert Trust Lifecycle Manager lassen sich Zertifikate zentral verwalten und Lifecycle-Prozesse automatisieren. DigiCert unterstützt dabei unter anderem Managed Automation, ACME sowie REST APIs für die Integration in bestehende Infrastrukturen und DevOps-Prozesse.
Nicht nur Renewal automatisieren – auch den Ernstfall vorbereiten
Automatisiertes Zertifikatsmanagement darf sich deshalb nicht darauf beschränken, Zertifikate rechtzeitig vor ihrem Ablauf zu erneuern.
Unternehmen sollten auch prüfen, wie schnell sie auf einen ungeplanten Widerruf reagieren können. Dazu gehört beispielsweise, regelmässig zu testen, ob kritische Zertifikate kurzfristig neu ausgestellt und automatisiert auf sämtliche relevanten Systeme verteilt werden können.
Die entscheidende Frage lautet nicht mehr nur: «Wann läuft unser Zertifikat ab?»
Sondern auch: «Können wir es innerhalb von 24 Stunden ersetzen?»
Die Anforderungen an TLS-Zertifikate zeigen: Certificate Lifecycle Management ist längst mehr als eine Frage rechtzeitiger Erneuerung. Unternehmen müssen nicht nur wissen, welche Zertifikate im Einsatz sind und wann sie ablaufen. Sie müssen auch in der Lage sein, im Ernstfall schnell und kontrolliert zu handeln.
Dazu gehören Transparenz über die eigene Zertifikatslandschaft, klar definierte Verantwortlichkeiten und automatisierte Prozesse für Ausstellung, Verteilung und Austausch. Ebenso wichtig ist es, die Abläufe regelmässig zu überprüfen und für den Fall einer ungeplanten Revocation zu testen.
Gemeinsam mit DigiCert unterstützt InfoGuard Unternehmen dabei, diese Voraussetzungen zu schaffen – von der Analyse bestehender Zertifikate und Prozesse über die Konzeption geeigneter PKI- und CLM-Architekturen bis zur Einführung automatisierter Lifecycle-Prozesse.
Denn Digital Trust endet nicht mit der Ausstellung eines Zertifikats. Entscheidend ist, das Vertrauen über den gesamten Lifecycle hinweg sicher zu steuern – und auch dann handlungsfähig zu bleiben, wenn es kurzfristig entzogen werden muss.
Möchten Sie wissen, wie gut Ihre Zertifikatslandschaft auf kürzere Laufzeiten und einen ungeplanten Certificate-Revocation-Fall vorbereitet ist? Laden Sie sich jetzt unser TLS Best Practices Whitepaper herunter oder sprechen Sie direkt mit unseren Expert:innen über Ihre Certificate-Lifecycle-Management-Strategie. Wir freuen uns, wenn Sie sich melden!
Bildlegende: mit KI generiertes Bild