---
id: tls-zertifikatslaufzeit-2025
title: CA/Browser Forum senkt die Zertifikatslaufzeit auf 47 Tage
date: '2025-04-11'
datePrecision: day
dateSources:
  - s1
  - s3
summary: >-
  Am 11. April 2025 beschloss das CA/Browser Forum, die zulässige Laufzeit
  öffentlicher TLS-Zertifikate bis März 2029 stufenweise von 398 auf 47 Tage zu
  senken. Keine Zertifizierungsstelle stimmte dagegen — sechs Jahre zuvor war
  ein ähnlicher Antrag an ihnen gescheitert.
themeId: theme-verschluesselung-als-standard
verification: verified
sources:
  - key: s1
    title: >-
      Ballot SC081v3: Introduce Schedule of Reducing Validity and Data Reuse
      Periods
    publisher: CA/Browser Forum, 11. April 2025
    url: https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/
    accessedAt: '2026-09-22'
  - key: s2
    title: TLS Certificate Lifetimes Will Officially Reduce to 47 Days
    publisher: DigiCert
    url: https://www.digicert.com/blog/tls-certificate-lifetimes-will-officially-reduce-to-47-days
    accessedAt: '2026-09-22'
  - key: s3
    title: '47-Day SSL Certificate Lifespan Approved: It''s Time to Automate'
    publisher: Sectigo
    url: https://www.sectigo.com/47-day-ssl
    accessedAt: '2026-09-22'
  - key: s4
    title: Certificate lifetime capped to 1 year from Sep 2020
    publisher: Scott Helme, 22. Februar 2020
    url: https://scotthelme.co.uk/certificate-lifetime-capped-to-1-year-from-sep-2020/
    accessedAt: '2026-09-22'
  - key: s5
    title: Apple Limits SSL/TLS Certificate Lifetimes to 398 Days
    publisher: SSL.com
    url: https://www.ssl.com/blogs/apple-limits-ssl-tls-certificate-lifetimes-to-398-days/
    accessedAt: '2026-09-22'
  - key: s6
    title: We Issued Our First Six Day Cert
    publisher: Let's Encrypt (Internet Security Research Group), 20. Februar 2025
    url: https://letsencrypt.org/2025/02/20/first-short-lived-cert-issued
    accessedAt: '2026-09-22'
  - key: s7
    title: 'SSL Certificate Validity 2026: 200-Day Limit Now, 47 Days by 2029'
    publisher: My-SSL, aktualisiert 9. September 2026
    url: https://my-ssl.com/learn/ssl-certificate-lifetime-changes-2026
    accessedAt: '2026-09-22'
provenance:
  origin: recherche
  reviewedBy: research
  reviewedAt: '2026-09-22'
seeAlso:
  - id: lets-encrypt-2015
    note: >-
      Die Automatisierung, die hier zur Pflicht wird, wurde dort zum ersten Mal
      kostenlos angeboten.
  - id: dnssec-rootzone-2010
    note: >-
      Auch dort trägt die Sicherheit des Netzes an einer Schlüsselverwaltung,
      die niemand von Hand führen kann.
---

Vom 4. bis 11. April 2025 stimmte das CA/Browser Forum über den Antrag
SC-081v3 ab und nahm ihn an: Unter den Zertifizierungsstellen gab es 25
Ja-Stimmen, keine Gegenstimme und fünf Enthaltungen, unter den
Browserherstellern vier Ja-Stimmen ohne Gegenstimme.[^s1] Eingebracht hatte
ihn Clint Wilson von Apple, unterstützt von Nick France (Sectigo), Ryan
Dickson (Google) und Ben Wilson (Mozilla).[^s1] Der Beschluss legt drei Stufen
fest.[^s2][^s3] Die erste gilt seit dem 15. März 2026: Ein öffentliches
TLS-Zertifikat darf seither höchstens 200 Tage laufen.[^s7] Die zweite folgt am
15. März 2027 mit 100 Tagen, die dritte am 15. März 2029 mit 47.[^s2][^s3]

Derselbe Gedanke war schon einmal abgelehnt worden.[^s4] Zweimal versuchten die Browserhersteller, die Laufzeit über das Forum zu begrenzen; beim zweiten Anlauf stimmten sie geschlossen dafür, die Zertifizierungsstellen jedoch nur wenig, und der Antrag scheiterte.[^s4] Apple setzte die Grenze
daraufhin allein durch: angekündigt auf einem Treffen des Forums und am 3.
März 2020 auf der eigenen Website veröffentlicht, akzeptieren Safari und die
Apple-Betriebssysteme seither nur noch Zertifikate mit höchstens 398 Tagen
Laufzeit, sofern sie am oder nach dem 1. September 2020 ausgestellt wurden;
vorher ausgestellte behielten ihre volle Gültigkeit.[^s5] Wer Nutzer von Mac
und iOS erreichen wollte, musste sich danach richten, obwohl das Forum nichts
beschlossen hatte.[^s5] Scott Helme maß im Februar 2020, dass ein Viertel der
von ihm untersuchten Websites Zertifikate mit längerer Laufzeit
einsetzte.[^s4]

Die Begründung zielt auf die Haltbarkeit der Angaben: Was in einem Zertifikat
steht, wird mit der Zeit unzuverlässiger, und der Widerruf eines falsch
gewordenen Zertifikats greift in der Praxis schlecht.[^s2] Deshalb kürzt
SC-081v3 nicht nur die Laufzeit, sondern auch die Frist, innerhalb derer eine
einmal geprüfte Kontrolle über eine Domain wiederverwendet werden darf; sie
sinkt bis 2029 auf zehn Tage.[^s1][^s2] Für Betreiber heißt das, dass die
Erneuerung von Hand ausfällt und die Automatisierung zur Betriebsvoraussetzung
wird.[^s3] Let’s Encrypt war diesen Weg schon vorher gegangen und stellte am
19. Februar 2025 ein erstes Zertifikat mit sechs Tagen Laufzeit aus; die
Begründung dort lautet, ein kurzlebiges Zertifikat verkleinere das Zeitfenster
für einen Missbrauch und mache den Widerruf entbehrlich.[^s6]

Ende der Datei: 7 Quellen.