Zertifikatslaufzeiten

Zertifikatslaufzeiten bezeichnen den Zeitraum, über den ein X.509-Zertifikat als gültig gilt. Sie sind im Zertifikat durch das NotBefore- und das NotAfter-Feld definiert. Während der Laufzeit kann das Zertifikat zur Verschlüsselung, Authentisierung oder Signatur verwendet werden. Nach Ablauf muss das Zertifikat erneuert oder neu ausgestellt werden.

Rechtlich und technisch wird die maximale Laufzeit maßgeblich durch Richtlinien der CA/Browser-Foren sowie durch die geltenden X.509-Standards gesetzt. Für TLS-Zertifikate, die von öffentlich vertrauenswürdigen CAs ausgegeben werden, gilt seit 2020 eine maximale Gültigkeit von 825 Tagen. Davor lag die Obergrenze oft bei einem Jahr bis zwei Jahren. Für andere Zertifikatstypen wie Code Signing oder Document Signing können andere Regeln gelten. Bestimmungen variieren je nach CA, Anwendungsfall und Zertifikatstyp.

Besondere Praxisbeispiele: Let’s Encrypt bietet Zertifikate mit einer Gültigkeit von 90 Tagen; der Automatisierungsstandard ACME wird üblicherweise genutzt, um Zertifikate automatisch zu erneuern. Viele kommerzielle CAs erlauben längere Laufzeiten, setzen aber zunehmend auf kürzere Intervalle, um das Risiko von Schlüsselkompromittierungen zu senken.

Auswirkungen: Kürzere Laufzeiten erhöhen die Sicherheitslage durch häufigereren Schlüsselwechsel und bessere Risikoreduktion bei Kompromittierungen; sie erfordern jedoch automatisierte Erneuerungsverfahren, sichere Schlüsselverwaltung und regelmäßiges Monitoring. Längere Laufzeiten verringern den operativen Aufwand, erhöhen aber potenziell das Risiko, falls ein Schlüssel kompromittiert wird.

Verwaltung: Organisationen sollten Richtlinien für PKI und Zertifikatverwaltung festlegen, regelmäßige Überwachung der Ablaufdaten implementieren und Widerrufe zeitnah beachten (OCSP/CRL).