Zertifikat abgelaufen: was jetzt zu tun ist

Woran Sie ein abgelaufenes Zertifikat erkennen

Statt Ihrer Startseite zeigt der Browser eine ganzseitige Warnung, etwa „Ihre Verbindung ist nicht privat“ oder „Warnung: Mögliches Sicherheitsrisiko erkannt“. In den Details steht häufig ein Fehlercode wie NET::ERR_CERT_DATE_INVALID (Chrome, Edge) oder SEC_ERROR_EXPIRED_CERTIFICATE (Firefox).

Weitere Hinweise: Kontaktformulare kommen nicht mehr an, Zahlungs- oder Buchungsdienste verweigern die Verbindung, und Kundinnen oder Kunden melden, Ihre Seite sei „gehackt“. Ein abgelaufenes Zertifikat bedeutet nicht, dass jemand eingedrungen ist. Es bedeutet nur, dass der Browser die Identität der Website nicht mehr als gültig bestätigt.

Sofort prüfen: fünf Minuten

1. Tritt die Warnung überall auf? Öffnen Sie die Seite auf einem zweiten Gerät, etwa dem Smartphone im Mobilfunknetz. Erscheint die Warnung nur an einem Rechner, ist oft dessen Datum oder Uhrzeit falsch eingestellt.
2. Was steht im Zertifikat? Klicken Sie in der Warnung auf die Details oder das Symbol links neben der Adresse. Unter „Gültig bis“ sehen Sie das Ablaufdatum, unter „Ausgestellt für“ die abgedeckten Namen.
3. Welche Adressen sind betroffen? Prüfen Sie die Adresse mit und ohne www sowie wichtige Subdomains. Häufig ist nur eine Variante abgelaufen.
4. Wer ist zuständig? Klären Sie, ob Ihr Hoster, Ihre Agentur oder Sie selbst den Server betreiben. Davon hängt der Erneuerungsweg ab.
5. Ist nur die Website betroffen? Mailserver und andere Dienste haben oft eigene Zertifikate. Melden E-Mail-Programme ebenfalls Zertifikatsfehler, gehört das mit auf die Liste.

Mit dem kostenlosen Zertifikats-Schnellcheck sehen Sie von außen, ob das Zertifikat gültig ist, zum Hostnamen passt und wie lange es noch läuft. Das hilft auch nach der Erneuerung als Kontrolle.

Erneuern: Let’s Encrypt oder Hoster

Bei einem Hoster oder einer Agentur

In vielen Kundenmenüs (zum Beispiel Plesk oder cPanel) gibt es einen Bereich „SSL/TLS“ oder „Let’s Encrypt“. Dort lässt sich das Zertifikat für die Domain neu ausstellen. Schlägt das fehl, schreiben Sie dem Support die betroffene Adresse, die Uhrzeit und die angezeigte Fehlermeldung. Bei gekauften Zertifikaten muss oft erst die Verlängerung bezahlt und die Domain erneut bestätigt werden.

Auf einem eigenen Server mit Let’s Encrypt

Wer Certbot nutzt, prüft zunächst mit sudo certbot renew --dry-run, ob eine Erneuerung durchlaufen würde. Klappt der Testlauf, erneuert sudo certbot renew fällige Zertifikate. Anschließend muss der Webserver das neue Zertifikat laden, etwa durch ein Neuladen von nginx oder Apache, sofern das nicht ein Hook übernimmt. Certbot: Renewing certificates ↗

Let’s Encrypt-Zertifikate sind bewusst kurz gültig und auf automatische Erneuerung ausgelegt. Let’s Encrypt: FAQ ↗ Die zulässige Höchstlaufzeit öffentlicher Zertifikate wird in den kommenden Jahren weiter verkürzt. Eine Erneuerung von Hand ist deshalb eine Notlösung, kein Ablauf.

Prüfen Sie nach der Erneuerung in einem privaten Browserfenster und auf einem zweiten Gerät, ob die Warnung verschwunden ist und das neue Ablaufdatum angezeigt wird.

Warum die Erneuerung ausgeblieben ist

• Automatische Erneuerung fehlgeschlagen: Der Zeitplan (Cronjob oder Timer) läuft nicht mehr, oder die Bestätigung der Domain scheitert, etwa weil eine Weiterleitung, eine Firewall oder eine Sicherheitsregel den Pfad /.well-known/acme-challenge/ blockiert.
• Umzug oder DNS-Änderung: Die Domain zeigt inzwischen auf einen anderen Server oder ein CDN, das alte System erneuert aber weiter für sich selbst.
• Neues Zertifikat nicht geladen: Die Datei wurde erneuert, der Webserver liefert aber noch das alte Zertifikat aus, bis er neu geladen wird.
• Keine Erinnerung mehr: Let’s Encrypt verschickt seit 2025 keine Ablauf-Erinnerungen per E-Mail mehr. Wer sich darauf verlassen hat, bemerkt den Ablauf erst durch die Browserwarnung.
• Zwischenzertifikat fehlt: Ist die Zertifikatskette unvollständig, melden manche Browser und viele Programme ein nicht vertrauenswürdiges Zertifikat, obwohl es noch gültig ist. Die Lösung ist hier keine Erneuerung, sondern die vollständige Kette (bei Certbot die Datei fullchain.pem) im Webserver einzutragen.

Lassen Sie die Ursache nach der Erneuerung klären. Sonst steht dasselbe Problem beim nächsten Ablauf wieder an.

Vorbeugen: Ablauf früh sehen

Automatische Erneuerung ist gut, eine unabhängige Kontrolle von außen ergänzt sie. Ein Monitoring, das die Restlaufzeit regelmäßig abruft, meldet sich, solange noch Zeit zum Handeln ist, statt erst, wenn Besucher die Warnung sehen.

In der laufenden Prüfung von DomainWache gilt eine Restlaufzeit unter 30 Tagen als wichtiger Befund und unter 7 Tagen als kritisch. Halten Sie zusätzlich fest, wer bei einer Meldung handelt und wo die Zugangsdaten liegen. Eine Meldung ohne zuständige Person hilft im Ernstfall wenig.

Ihr nächster kleiner Schritt

Prüfen Sie jetzt mit dem kostenlosen Zertifikats-Schnellcheck, wie lange Ihr Zertifikat noch läuft. Der Schnellcheck ist eine Momentaufnahme ohne spätere Benachrichtigung. Wenn Sie eine regelmäßige Kontrolle möchten, sprechen wir über eine individuell vereinbarte Betreuung.