64-Tage-Zertifikate von Let's Encrypt: was sich im Februar 2027 ändert und was du prüfen solltest
Am 7. Oktober 2026 hat Let's Encrypt angekündigt: Ab dem 10. Februar 2027 ist jedes neu ausgestellte oder erneuerte Zertifikat 64 statt 90 Tage gültig. Laufen deine Erneuerungen automatisch und fragt deine Software Let's Encrypt, wann sie erneuern soll, ändert sich für dich nichts. Erneuert dagegen etwas nach festem Zeitplan, etwa alle 60 oder 80 Tage, musst du diesen Zeitplan vor Februar anpassen, sonst läuft das HTTPS der Website ab. Dieser Guide zeigt, was sich wann ändert, welche Setups betroffen sind und wie du eine Website in wenigen Minuten prüfst.
Was sich ändert, und wann
Ab dem 10. Februar 2027 bekommen alle Kunden von Let's Encrypt standardmäßig 64-Tage-Zertifikate. Ausgenommen ist nur, wer schon eine kürzere Laufzeit gewählt hat: 45 oder 6 Tage, beide bereits als Option verfügbar. Jedes Zertifikat, das an oder nach diesem Datum ausgestellt oder erneuert wird, gilt 64 Tage. Bestehende 90-Tage-Zertifikate werden nicht widerrufen. Sie laufen zu ihrem eigenen Datum ab, und Let's Encrypt erwartet, dass das letzte am 11. Mai 2027 abläuft.
Die Staging-Umgebung, die Testversion des Dienstes, stellt schon ab dem 14. Oktober 2026 auf 64-Tage-Zertifikate um. So kannst du eine Erneuerung testen, bevor sich die Produktion ändert. Die Zertifikatsketten, die ACME-Endpunkte, mit denen dein Client spricht, und die Rate Limits bleiben gleich.
Gleichzeitig kommt eine zweite Änderung: Eine Domain-Validierung kann nur noch 10 statt 30 Tage wiederverwendet werden. Solange dein ACME-Client nicht gezielt auf diese Wiederverwendung gebaut ist, musst du nichts ändern. 2028 will Let's Encrypt weitergehen: standardmäßig 45-Tage-Zertifikate und eine Wiederverwendung der Validierung für nur noch 7 Stunden.
Der Grund ist laut Let's Encrypt die Sicherheit: Kürzere Laufzeiten verringern das Risiko durch kompromittierte Schlüssel und fälschlich ausgestellte Zertifikate. Das ist eine Regel einer Zertifizierungsstelle, kein Gesetz, und dieser Guide ist keine Rechtsberatung.
Wer etwas tun muss
Stellt dein Hoster, dein CDN oder eine Managed-WordPress-Plattform das Zertifikat für dich aus, muss deren Automatisierung die Änderung abfangen, nicht du. Trotzdem lohnt es sich, nach Februar die Daten deines Zertifikats anzusehen: Ein abgelaufenes Zertifikat zeigt Besuchern eine ganzseitige Browserwarnung, egal wer die Erneuerung vergessen hat.
Betreibst du deinen eigenen Server mit einem ACME-Client wie Certbot, prüf, ob dein Client ACME Renewal Info (ARI) unterstützt. Mit ARI sagt Let's Encrypt dem Client, wann er erneuern soll, und die kürzere Laufzeit wird für dich erledigt. Ob ARI eingebaut ist, steht in der Dokumentation deines Clients.
Scheitern werden Setups, die nach festem Zeitplan erneuern. Let's Encrypt empfiehlt, Cronjobs, Wrapper-Skripte und Runbooks nach fest eingetragenen Zahlen wie 83, 80 oder 60 zu durchsuchen. Ein Job, der erneuert, wenn ein Zertifikat 60 Tage alt ist, lässt bei einem 64-Tage-Zertifikat nur 4 Tage Puffer. Ein Job, der 80 oder 83 Tage wartet, erneuert erst, wenn das Zertifikat schon abgelaufen ist. Let's Encrypt empfiehlt stattdessen, nach etwa zwei Dritteln der Laufzeit zu erneuern: um Tag 43 von 64, mit noch rund drei Wochen Restlaufzeit.
So prüfst du das Zertifikat deiner Website
Im Browser: Klick auf das Symbol links neben der Adresse, öffne die Zertifikatsdetails und lies den Aussteller und die beiden Gültigkeitsdaten ab, also ab wann das Zertifikat gilt und wann es abläuft. Der Abstand dazwischen ist die Laufzeit. Nach dem 10. Februar 2027 zeigt ein frisches Let's-Encrypt-Zertifikat 64 Tage.
Im Terminal gibt der Befehl unten den Aussteller und die Gültigkeitsdaten aus. Führ ihn für beide Adressen der Website aus, mit und ohne www, denn jede kann ihr eigenes Zertifikat haben.
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -issuer -dates
Teste die Erneuerung vor Februar
Verwaltest du den ACME-Client selbst, richte ihn nach dem 14. Oktober 2026 auf die Staging-Umgebung von Let's Encrypt und führ eine Erneuerung aus. Das Testzertifikat sollte 64 Tage gültig sein, und der Erneuerungstermin, den dein Client anzeigt, sollte deutlich vor dem Ablauf liegen.
Prüf auch die Schritte nach der Erneuerung: den Webserver neu laden, das Zertifikat auf einen Load Balancer oder ein CDN kopieren, einen Mailserver neu starten, der dasselbe Zertifikat nutzt. Kürzere Laufzeiten bedeuten, dass diese Schritte öfter laufen, und ein Schritt, der nur von Hand klappt, fällt früher aus.
Let's Encrypt empfiehlt außerdem einen Alarm für fehlgeschlagene Erneuerungen. Eine gescheiterte Erneuerung ist still: Die Website läuft mit dem alten Zertifikat weiter, bis es abläuft.
Was eine Erneuerung sonst noch blockieren kann
Mehr Erneuerungen bedeuten mehr Gelegenheiten, dass etwas anderes dazwischenkommt. Ein CAA-Eintrag im DNS legt fest, welche Zertifizierungsstellen Zertifikate für die Domain ausstellen dürfen. Ändert jemand ihn und lässt Let's Encrypt weg, wird die nächste Erneuerung abgelehnt. Eine HTTP-Challenge scheitert, wenn eine Firewall, eine Weiterleitung oder eine Wartungsseite statt des Servers auf die Validierungsanfrage antwortet. Eine DNS-Challenge scheitert, wenn die API-Zugangsdaten beim DNS-Anbieter nicht mehr funktionieren.
Nichts davon zeigt sich auf der Website, bevor das alte Zertifikat abläuft. Bei einem 64-Tage-Zertifikat, das pünktlich erneuert wird, bleiben zwischen gescheiterter Erneuerung und Browserwarnung etwa drei Wochen.
So erkennt Relvato das Problem
Relvatos Monitor SSL certificate verbindet sich per HTTPS mit deiner Website und liest ihr Zertifikat: Aussteller, Ablaufdatum und verbleibende Tage. Er meldet ein Problem, wenn das Zertifikat abgelaufen ist oder nicht vertrauenswürdig ist (selbst signiert, für einen anderen Namen ausgestellt oder mit unvollständiger Kette), und eine Warnung, wenn es innerhalb von 14 Tagen abläuft. Die zweite Adresse der Website, mit www oder ohne, prüft er genauso, und er warnt, wenn der Server noch TLS 1.0 oder 1.1 annimmt. Ein Plugin braucht er nicht.
Ein 64-Tage-Zertifikat, das planmäßig erneuert wird, hat bei der Erneuerung noch etwa drei Wochen übrig. Die 14-Tage-Warnung erscheint also nur, wenn eine Erneuerung hängt. Dann bleiben dir zwei Wochen, bevor Besucher eine Browserwarnung sehen. Der Monitor liest das Zertifikat, wie es ist. Er meldet sich nicht bei deinem Hoster an und erneuert nichts selbst.
Der Monitor Certificates & subdomains prüft, ob deine CAA-Einträge die Stelle erlauben, die dein Zertifikat ausstellt. So blockiert eine DNS-Änderung die nächste Erneuerung nicht unbemerkt. Außerdem beobachtet er die öffentlichen Zertifikatslogs auf Zertifikate, die du nicht angefordert hast.
Im Free-Plan laufen Monitore, wenn du auf Run klickst, oder wöchentlich nach einem Zeitplan, den du wählst. Auch ein wöchentlicher Lauf fällt mindestens einmal in das 14-Tage-Fenster. Ab Pro laufen sie täglich.
Änderungen der Laufzeit bei Let's Encrypt
| Datum | Was sich ändert |
|---|---|
| 14. Oktober 2026 | Die Staging-Umgebung stellt zum Testen 64-Tage-Zertifikate aus |
| 10. Februar 2027 | Produktion: Jedes neue oder erneuerte Zertifikat gilt standardmäßig 64 Tage; Wiederverwendung der Validierung sinkt von 30 auf 10 Tage |
| 11. Mai 2027 | Die letzten 90-Tage-Zertifikate laufen voraussichtlich ab |
| 2028 | Standardmäßig 45-Tage-Zertifikate; Wiederverwendung der Validierung für 7 Stunden |
Fragen und Antworten
Muss ich mein aktuelles Zertifikat ersetzen?
Nein. Let's Encrypt widerruft nichts. Dein aktuelles Zertifikat bleibt bis zu seinem eigenen Ablaufdatum gültig, und die erste Erneuerung an oder nach dem 10. Februar 2027 bringt die 64-Tage-Laufzeit.
Mein Hoster kümmert sich um HTTPS. Muss ich etwas tun?
Meist nicht. Die Automatisierung deines Hosters muss die kürzere Laufzeit unterstützen. Sieh dir nach Februar einmal die Daten des Zertifikats an oder lass einen Monitor das Ablaufdatum für dich beobachten.
Betrifft die Änderung die Rate Limits?
Nein. Laut Let's Encrypt ändern sich die Rate Limits dadurch nicht, und auch die Zertifikatsketten und ACME-Endpunkte bleiben gleich.
Kann ich bei 90-Tage-Zertifikaten bleiben?
Bei Let's Encrypt nicht mehr nach dem 10. Februar 2027. Standard werden 64 Tage, und die einzigen anderen Optionen sind kürzer: 45 oder 6 Tage.
Was ist ARI?
Mit ACME Renewal Info sagt die Zertifizierungsstelle deinem ACME-Client, wann er erneuern soll. Ein Client mit ARI passt sich von selbst an eine neue Laufzeit an. Deshalb brauchen solche Setups laut Let's Encrypt keine Änderung.