SSL-Zertifikatsautomatisierung

Automatisierte SSL-Zertifikate: Pläne vergleichen

Wir bieten sechs automatisierte SSL-Zertifikate in zwei Gruppen an: vier RapidSSL- und GeoTrust-Pläne, die sowohl mit AutoInstall SSL® als auch mit ACME funktionieren, sowie zwei Sectigo- und DigiCert-Zertifikate für Ihren eigenen ACME-Client.

Pläne, die beide Automatisierungsmethoden unterstützen

Verwenden Sie die Methode, die zu Ihrem Server passt. Jeder Plan ist ein Jahresabonnement mit kostenlosen, unbegrenzten Neuausstellungen, sodass kürzere Zertifikatslaufzeiten mehr automatische Neuausstellungen bedeuten, nicht mehr Käufe.

Zertifikate für Ihren eigenen Automatisierungs-Client

Diese Zertifikate funktionieren nur mit ACME, Sie verbinden sie also mit einem ACME-Client wie Certbot, acme.sh oder win-acme.

Welche SSL-Automatisierungsmethode passt zu Ihrem Server?

Es gibt vier Möglichkeiten, SSL-Zertifikate zu automatisieren: AutoInstall SSL® für Ihren eigenen Apache-, NGINX- oder IIS-Server; ACME für jede Umgebung mit einem ACME-Client; eine Plattform zur Verwaltung des Zertifikatslebenszyklus für große Bestände; und das integrierte SSL Ihres Hosters bei Shared Hosting. Das richtige Tool zur Automatisierung von SSL-Zertifikaten hängt davon ab, wo Ihre Website läuft und wie viel Zugriff Sie auf den Server haben. Finden Sie Ihre Konfiguration in der Tabelle unten.

Auf Shared Hosting? Die meisten Shared-Hosting-Anbieter bieten ein kostenloses Zertifikat an. Bei cPanel nennt sich das AutoSSL, was etwas anderes ist als AutoInstall SSL®. Sie können trotzdem ein kostenpflichtiges Zertifikat auf Shared Hosting installieren, müssen es aber manuell erneuern und neu installieren: ab 2027 mindestens 4-mal pro Jahr und bis 2029 8-mal oder öfter. Wenn Ihr Hoster Ihnen SSH-Zugriff gewährt, funktioniert möglicherweise ein ACME-Client wie acme.sh; siehe unsere cPanel-ACME-Anleitung und fragen Sie vorher bei Ihrem Hoster nach. Website-Baukästen wie Wix, Shopify und Squarespace verwenden in der Regel nur ihre eigenen Zertifikate.

Nicht sicher, welche Methode zu Ihnen passt? Kontaktieren Sie unseren 24/7-Support mit Angabe Ihres Servertyps, und wir weisen Ihnen den Weg zur richtigen Lösung.

Warum SSL-Automatisierung jetzt unerlässlich ist

Im April 2025 verabschiedete das CA/Browser Forum Ballot SC-081v3, das die maximale Gültigkeitsdauer öffentlicher SSL/TLS-Zertifikate in drei Schritten verkürzt. Apple, Google, Microsoft und Mozilla stimmten alle dafür. Der erste Schritt gilt seit dem 15. März 2026, und jeder weitere Schritt macht es schwieriger, auf SSL-Zertifikatsautomatisierung zu verzichten.

Der Zeitplan für die SSL-Gültigkeit (2026-2029)

Bei dem derzeit geltenden 28-Tage-Erneuerungsfenster von AutoInstall SSL®. ACME-Clients, die ARI unterstützen, erneuern, wenn die Zertifizierungsstelle es vorschlägt, sodass die genaue Anzahl variiert.

Wie oft muss ein SSL-Zertifikat erneuert werden?

Gemäß Ballot SC-081v3 mindestens zweimal jährlich (maximal 200 Tage seit 15. März 2026), 4-mal jährlich ab 15. März 2027 (100 Tage) und 8-mal jährlich ab 15. März 2029 (47 Tage). Die automatisierte Erneuerung erfolgt etwas häufiger, da sie frühzeitig startet: etwa 2, 5 und 20 Mal pro Jahr bei dem heutigen 28-Tage-Erneuerungsfenster.

Das Erneuerungsvolumen summiert sich schnell. Bei dem heutigen 28-Tage-Fenster bedeuten 50 Zertifikate mit 47-tägigen Laufzeiten etwa 1.000 Erneuerungen pro Jahr, was manuell nicht realistisch zu verfolgen ist.

Eine verpasste SSL-Erneuerung ist zudem sehr auffällig. Browser zeigen eine ganzseitige Sicherheitswarnung an, Besucher verlassen die Seite, und Online-Kassen funktionieren nicht mehr, bis das Zertifikat ersetzt wird.

Auch die Wiederverwendung der Domain-Validierung wird eingeschränkt. Ab 15. März 2029 kann eine erfolgreiche Domain-Prüfung nur noch 10 Tage lang wiederverwendet werden, sodass fast jede Erneuerung eine neue Validierung erfordert. Die Automatisierung übernimmt auch diesen Schritt für Sie.

199 oder 200 Tage?

Sowohl 199 als auch 200 Tage sind korrekt. Die Regeln des CA/B Forum besagen, dass ein Zertifikat 200 Tage nicht überschreiten darf und 199 Tage nicht überschreiten sollte. DigiCert, die Zertifizierungsstelle hinter RapidSSL und GeoTrust, stellt Zertifikate mit 199 Tagen Laufzeit aus, um innerhalb des Limits zu bleiben.

So funktioniert automatisierte SSL-Zertifikatsverwaltung

Einmal eingerichtet, wiederholt die automatisierte SSL-Zertifikatsverwaltung denselben Zyklus für jedes Zertifikat:

Sie richten dies einmal pro Server ein. Ihr privater Schlüssel bleibt auf Ihrem eigenen Server, und solange Ihr Abonnement aktiv ist, läuft jede spätere Neuausstellung, einschließlich der zusätzlichen, die kürzere Laufzeiten mit sich bringen, automatisch durch denselben Zyklus. Das ist automatisierte SSL-Zertifikatserneuerung in der Praxis: keine Erinnerungen, kein Kopieren von Dateien.

Erneuerung ist nicht dasselbe wie Bereitstellung

Ein erneuertes Zertifikat schützt Ihre Besucher erst, wenn es installiert ist und der Server neu geladen wurde. Eine gute Automatisierung der SSL-Zertifikatserneuerung deckt alle drei Schritte ab: Erneuerung, Installation und Neuladen. AutoInstall SSL® erledigt alle davon. Bei ACME hängt es vom Client ab: Die Apache- und NGINX-Plugins von Certbot übernehmen die Installation, während andere Clients möglicherweise einen Deploy-Hook benötigen.

Mühelose Automatisierung für Apache, NGINX und IIS

AutoInstall SSL® ist der Automatisierungsagent von DigiCert für Webserver. Es ist die einfachste Option, wenn Sie Ihren eigenen Server betreiben und nach der Einrichtung nichts weiter konfigurieren möchten.

• Unterstützte Server: IIS auf Windows Server 2016, 2019, 2022 und 2025; Apache und NGINX auf Ubuntu, Debian, CentOS und anderen gängigen Linux-Distributionen.
• Was Sie benötigen: Root- oder Admin-Zugriff auf den Server.
• Validierung: per Datei oder DNS.
• Erneuerungen: 28 Tage vor Ablauf, mit täglicher Prüfung und E-Mail-Benachrichtigung bei Fehlschlag.

Es funktioniert mit allen oben genannten RapidSSL- und GeoTrust-Plänen. Es funktioniert nicht bei Shared Hosting, bei Website-Baukästen wie Wix oder Squarespace oder bei verwalteten cPanel- oder Plesk-Konten ohne Root-Zugriff, da der Agent Software direkt auf dem Server installieren muss.

Bringen Sie Ihren eigenen Client mit: Certbot, Caddy, cert-manager und mehr

ACME, das Automatic Certificate Management Environment, ist ein weit verbreiteter offener Standard für Zertifikatsautomatisierung, definiert in RFC 8555 (2019). Jedes Zertifikat auf dieser Seite unterstützt diesen Standard: die vier RapidSSL- und GeoTrust-Pläne, Sectigo ACME CaaS und DigiCert ACME. Mit einem kostenpflichtigen Zertifikat, das ACME unterstützt, erhalten Sie nach dem Kauf eindeutige Automatisierungsdaten. Ihr Client verbindet sich mit Ihrem Konto über External Account Binding (EAB): eine Schlüssel-ID und ein geheimer Schlüssel (ein HMAC-Schlüssel), den Sie einmal eingeben. Danach fordert der Client Zertifikate an, schließt die Validierung ab und erneuert sie selbstständig, und Ihr privater Schlüssel verlässt niemals Ihren Server.

ACME funktioniert mit Certbot, acme.sh, win-acme, cert-manager und Caddy sowie vielen Firewalls und NAS-Geräten. Neuere Clients unterstützen auch ACME Renewal Information (ARI, RFC 9773), womit eine Zertifizierungsstelle, die dies anbietet, Ihrem Client mitteilen kann, wann er erneuern soll.

Richten Sie zum ersten Mal einen Client ein? Wir pflegen 13 Schritt-für-Schritt-Anleitungen für ACME-Clients, von Apache und NGINX bis hin zu Kubernetes, Mailservern und Remote Desktop, einschließlich win-acme für IIS, FortiGate, pfSense und Synology NAS.

Kostenlose vs. kostenpflichtige automatisierte SSL-Zertifikate

Let’s Encrypt ist kostenlos und vollständig automatisierbar. Sobald die Erneuerung automatisiert ist, stellt eine kurze Laufzeit an sich kein Problem dar. Die eigentlichen Unterschiede liegen bei Validierungstypen, Garantie, Support und Benachrichtigungen.

Die Zeilen zur Laufzeit zeigen, was DigiCert ausstellt; die Zeile zur Domain-Prüfung zeigt das Maximum des CA/B Forum, und eine Zertifizierungsstelle kann kürzere Zeiträume verwenden.

Beide Optionen verschlüsseln den Datenverkehr auf genau dieselbe Weise, sodass die Wahl davon abhängt, was das Zertifikat umgibt. DV-Zertifikate belegen nur die Kontrolle über die Domain. OV- und EV-Zertifikate überprüfen zusätzlich die Organisation hinter der Website, was einige Unternehmen, Partner und Einkaufsteams verlangen.

Wenn Ihre Website nur eine grundlegende Verschlüsselung benötigt und Sie mit dem Betrieb von Certbot vertraut sind, ist Let’s Encrypt eine gute Wahl. Wenn Sie eine Garantie, OV- oder EV-Validierung, Fehlerbenachrichtigungen oder 24/7-Support wünschen, wählen Sie ein kostenpflichtiges automatisiertes Zertifikat. Für einen genaueren Vergleich lesen Sie Let’s Encrypt vs SSL Dragon.