Getting Ahead of Shrinking Certificate Lifespans and the Quantum Clock

Die wichtigsten Erkenntnisse

• Die Gültigkeitsdauer von Zertifikaten wird bis März 2029 von 398 auf 47 Tage sinken, wobei die Gültigkeitsdauer bei „Domain Validation Reuse“ auf nur noch 10 Tage schrumpft. Dadurch wird die manuelle Verlängerung überflüssig und ein automatisches Zertifikatslebenszyklusmanagement (CLM) erforderlich.
• „Harvest Now, Decrypt Later“-Maßnahmen sind bereits im Gange, um Daten mit langer Lebensdauer für eine zukünftige Entschlüsselung mithilfe von Quantencomputern zu speichern. Dies bedeutet eine unmittelbare Bedrohung für verschlüsselte, sensible Daten, die längerfristig aufbewahrt werden.
• Der Aufbau eines Zertifikats-/Krypto-Bestandsverzeichnisses ist für Unternehmen jetzt von entscheidender Bedeutung, da eine kontinuierliche und automatisierte Bestandserfassung der erste Schritt hin zu langfristiger Cyber-Resilienz und Krypto-Agilität ist.

Das Problem, das sich im Hintergrund verbirgt

Die meisten modernen Unternehmensnetzwerke stützen sich auf eine verborgene Ebene aus digitalen Zertifikaten und Kryptografie, die die meisten Menschen nie zu Gesicht bekommen. Diese Ebene überprüft die Vertrauenswürdigkeit von Maschinen und sichert den Datenfluss. Da jedoch laut einer Studie von CyberArk zur Maschinenidentität die Anzahl der Maschinenidentitäten in einem durchschnittlichen Unternehmen mittlerweile die der menschlichen Identitäten im Verhältnis von mehr als 80:1 übersteigt, kann man die Bedeutung dieser kryptografischen und zertifikatsbasierten Ebene leicht unterschätzen.

Ein hilfreiches Bild, um sich ein digitales Zertifikat vorzustellen, ist ein Ausweis für eine Maschine. Ist der Ausweis gültig, öffnen sich die Türen automatisch und niemand denkt darüber nach; sobald der Ausweis jedoch abläuft oder falsch konfiguriert ist, lässt sich die Tür nicht mehr öffnen – ganz gleich, wie legitim die dahinter stehende Maschine auch sein mag. Ein einziges abgelaufenes Zertifikat kann Websites lahmlegen, die APIs unterbrechen, über die Anwendungen miteinander kommunizieren, Transaktionen unterbrechen und Verstöße gegen Compliance-Vorgaben verursachen – und all das, während das Vertrauen der Nutzer untergraben wird.

Seit Jahren verwalten Unternehmen Zertifikate manuell, doch zwei Veränderungen werden es unmöglich machen, dies weiterhin von Hand zu bewältigen. Erstens wird die maximale Gültigkeitsdauer öffentlicher TLS-Zertifikate (Transport Layer Security) – des Protokolls, das Ihren Browser sichert – bis 2029 auf nur noch 47 Tage verkürzt. Zweitens zwingt die bevorstehende Einführung von Quantencomputern, die leistungsfähig genug sind, um die heutige Verschlüsselung zu knacken, einen Übergang zur postquantenkryptografischen Verschlüsselung ab. Diese beiden Probleme weisen beide auf dieselbe Lösung hin – einen geregelten, automatisierten und kryptoagilen Ansatz für das CLM.

Die Roadmap hinter den immer kürzer werdenden Zertifikatslaufzeiten

Das Einsatzfenster für öffentliche TLS-Zertifikate verengt sich bereits seit einem Jahrzehnt. Anfang 2023 veröffentlichte Google erstmals seine Roadmap „Moving Forward, Together“, in der vorgeschlagen wurde, die Gültigkeitsdauer von Zertifikaten von 398 Tagen auf 90 Tage zu verkürzen, um die Branche in Richtung Automatisierung voranzutreiben. Apple beschleunigte diesen Zeitplan im Oktober 2024, indem es dem CA/Browser Forum – dem Branchengremium, in dem Zertifizierungsstellen und Browserhersteller gemeinsame Regeln festlegen – einen Abstimmungsentwurf vorlegte. Apples Vorschlag, der von Sectigo, Google Chrome und Mozilla unterstützt wurde, wurde im April 2025 als Ballot SC-081v3 genehmigt.

Diese Verkürzung erfolgt schrittweise. Die bisherige Höchstlaufzeit von 398 Tagen wurde bereits im März 2026 auf 200 Tage gesenkt; im März 2027 wird die Höchstlaufzeit auf 100 Tage und schließlich im März 2029 auf 47 Tage reduziert. In der Praxis bedeutet dies, dass eine Organisation, die derzeit jedes Zertifikat etwa einmal pro Jahr erneuert, bald jedes Zertifikat etwa alle anderthalb Monate erneuern muss; in der Endphase wird jeder Prozess, der davon abhängt, dass eine Person Zertifikate manuell anfordert und installiert, fehlschlagen.

Browserhersteller drängen auf diese kürzeren Gültigkeitsdauern, um die Automatisierung voranzutreiben, wodurch menschliche Fehler beseitigt werden, die überhaupt erst die meisten Zertifikatsausfälle verursachen. Außerdem ermöglichen sie es dem gesamten Web, neue kryptografische Standards innerhalb von Wochen statt Jahren zu übernehmen, da alte Zertifikate schnell aus dem Verkehr gezogen werden. Darüber hinaus tragen sie dazu bei, die Abhängigkeit von veralteten Sperrsystemen zu verringern, die unter Leistungs- und Datenschutzproblemen leiden. Und schließlich sorgen kurzlebige Zertifikate dafür, dass die Anzahl der Zertifikate, die kurzfristig ersetzt werden müssen, drastisch sinkt, falls jemals ein „Certificate Transparency“-Protokoll (ein öffentliches Verzeichnis ausgestellter Zertifikate) für ungültig erklärt wird.

Die Validierungskrise

Während die 47-Tage-Frist Schlagzeilen macht und Aufmerksamkeit erregt, könnte die einschneidendere Veränderung darin bestehen, was mit der Domain-Control-Validation (DCV) geschieht. DCV ist der Prozess, bei dem einer Zertifizierungsstelle (CA) nachgewiesen wird, dass man die Kontrolle über die Domain hat, für die man ein Zertifikat beantragt. Bisher konnte die Zertifizierungsstelle, sobald eine Organisation die Eigentumsrechte nachgewiesen hatte, diesen Nachweis bis zu 398 Tage lang wiederverwenden; gemäß SC-081v3 verkürzt sich dieses Zeitfenster jedoch im Jahr 2026 auf 200 Tage und bis März 2029 auf nur noch 10 Tage.

Dies führt zu einem erheblichen Ungleichgewicht, da selbst eine Organisation, die die Zertifikatsinstallation vollständig automatisiert hat, ins Stocken gerät, wenn sie den Domain-Besitz nicht alle 10 Tage erneut nachweisen kann. Jede Verzögerung bei der Validierung bringt den gesamten Ausstellungsprozess zum Stillstand und führt unmittelbar zu Ausfällen.

Die praktische Lösung für dieses Problem ist die Einführung des ACME-Protokolls (Automatic Certificate Management Environment) mit automatisierter DNS-01-API-Validierung, sodass der Eigentumsnachweis programmgesteuert erfolgt, anstatt auf eine Person warten zu müssen.

Die Quantenbedrohung und der Zeitplan

Während die Gültigkeitsdauer von Zertifikaten immer kürzer wird, sind die darin enthaltenen Algorithmen einer Quantenbedrohung ausgesetzt. Herkömmliche Public-Key-Infrastrukturen (PKI) stützen sich auf asymmetrische Kryptografie, um digitale Signaturen, Schlüsselaustausch und TLS-Verbindungen zu sichern. Ein ausreichend leistungsfähiger Quantencomputer, auf dem Shors Algorithmus läuft, könnte diese Systeme vollständig knacken. Abzuwarten, bis Quantencomputer leistungsfähig genug sind, um Verschlüsselungen zu knacken, ist keine gangbare Option; wie Vidya Shankaran, Field CTO bei Commvault, geschrieben hat: „Das genaue Datum des Q-Day mag ungewiss bleiben. Die Richtung, in die es geht, ist es jedoch nicht.“

Schätzungen zufolge wird der Q-Day – der Zeitpunkt, an dem ein Quantencomputer die Public-Key-Verschlüsselung knacken kann – irgendwo in den nächsten 5 bis 10 Jahren liegen. Es wäre jedoch ein Fehler, dies als ein Problem der Zukunft zu betrachten. Angreifer führen bereits „Harvest Now, Decrypt Later“ (HNDL)-Operationen durch, bei denen sie verschlüsselten Datenverkehr bereits heute abfangen und speichern, um ihn zu entschlüsseln, sobald die Quantencomputertechnik ausgereift ist. Daten, die über Jahre hinweg vertraulich bleiben müssen, wie beispielsweise Gesundheitsakten, geistiges Eigentum und Finanzinformationen, sind in dem Moment, in dem sie erfasst werden, faktisch gefährdet.

Die US-Bundesregierung hat entsprechend reagiert: Im Juni 2026 erließ das Weiße Haus die Executive Order 14412, „Securing the Nation Against Advanced Cryptographic Attacks“, die Fristen festlegt, die weit vor dem ursprünglichen NIST-Ziel für 2035 liegen: Hochwertige Systeme der Bundesbehörden müssen bis Ende 2030 eine postquanten-sichere Schlüsselerstellung und bis Ende 2031 postquanten-sichere digitale Signaturen einführen.

Trotz dieser Dringlichkeit kommen die tatsächlichen Fortschritte auf dem Weg zu Krypto-Agilität auf Unternehmensebene nur langsam voran. Der „DigiCert Quantum Readiness Outlook“ ergab, dass mehr als die Hälfte der befragten Organisationen davon ausgeht, dass die klassische asymmetrische Verschlüsselung innerhalb von fünf Jahren geknackt wird, doch nur 7 % haben quantensichere oder hybride Kryptografie in ihrem gesamten Zertifikatsbestand implementiert, und die allgemeine Readiness hat sich im vergangenen Jahr um lediglich 2 Prozentpunkte verbessert.

Warum ist Krypto-Agilität wichtig?

Die praktischste Brücke zwischen klassischer und postquantenkryptografischer Verschlüsselung ist das hybride Kompositzertifikat, das einen klassischen Algorithmus (RSA oder ECC) mit einem postquantenkryptografischen Algorithmus (ML-DSA, das standardisierte gitterbasierte Signaturschema) in einem einzigen X.509-Zertifikat kombiniert. Die Kombination beider Algorithmen in einem einzigen Zertifikat ist so konzipiert, dass das Zertifikat so lange gültig bleibt, wie einer der beiden Algorithmen sicher ist. Dies ist unerlässlich, da Post-Quanten-Algorithmen neu sind und noch nicht wie RSA unzählige Angriffsversuche überstanden haben.

Allerdings sind postquanten-Schlüssel und -Signaturen mehrere Kilobyte groß statt nur einiger hundert Bytes, was die Netzwerklatenz erhöht, das Risiko einer Paketfragmentierung während des TLS-Handshakes birgt und einen zusätzlichen Rechenaufwand verursacht, der bei Geräten mit begrenzten Ressourcen möglicherweise Hardware-Upgrades erforderlich macht. Genau aus diesem Grund ist Krypto-Agilität so wichtig: Unternehmen müssen in der Lage sein, Algorithmen zu testen, einzusetzen und zu rotieren, ohne bei jeder Weiterentwicklung der Standards ihre zugrunde liegende Infrastruktur neu verkabeln zu müssen.

Automatisiertes Zertifikatslebenszyklus-Management

Die manuelle Zertifikatsverwaltung ist nicht nur ineffizient, sondern stellt ein echtes operatives Risiko dar. Wenn Zertifikate in Tabellenkalkulationen verborgen bleiben, verlieren Unternehmen den Überblick – die Folge sind abgelaufene Zugangsdaten, schwache Schlüsselgrößen, veraltete Signaturalgorithmen und nicht konforme Konfigurationen, die niemand bemerkt, bis etwas schiefgeht. Die daraus resultierenden Ausfälle können Nutzer verwirren, den Umsatz beeinträchtigen und auf das Team zurückfallen, das am wenigsten darauf vorbereitet ist, sie zu erklären.

Eine umfassende CLM-Plattform löst dieses Problem über den gesamten Lebenszyklus eines Zertifikats hinweg:

• Erfassung: Kontinuierliches Scannen von Cloud-Umgebungen, Rechenzentren, Containern und externen Domänen, um alle verwendeten Zertifikate zu finden.
• Überwachung: Verfolgung von Ablaufdaten, Algorithmen, Schlüssellängen und der Einhaltung von Sicherheitsrichtlinien in Echtzeit.
• Validierung: Nutzung direkter API-Integration mit öffentlichen und privaten Zertifizierungsstellen bei gleichzeitiger Automatisierung der Domain-Validierung und -Genehmigungen
• Installation: Programmgesteuerte Bereitstellung erneuerter Zertifikate und Schlüssel über ACME oder sichere APIs, ohne manuelle Übergaben.
• Widerruf: Eine schnelle, richtliniengesteuerte Sperrung ist erforderlich, damit ein kompromittiertes Zertifikat überall gleichzeitig ausgetauscht oder widerrufen werden kann, anstatt es Rechner für Rechner aufspüren zu müssen.

Auch im Erfassungsschritt verbirgt sich ein Vorteil: Das von einer CLM-Plattform verwaltete Zertifikatsinventar ist praktisch der Anfang des kryptografischen Inventars, das für die Planung der Post-Quantum-Migration erforderlich ist – und das kann eine lästige Compliance-Aufgabe in einen Vorsprung verwandeln.

Nicht-menschliche Identitäten und agentenbasierte KI

Das Skalierungsproblem wird durch die Art und Weise verschärft, wie moderne Anwendungen aufgebaut sind. Container, Kubernetes-Pods, virtuelle Maschinen, Geräte des Internets der Dinge (IoT) und APIs benötigen alle ihre eigenen Anmeldedaten, und viele dieser Workloads existieren nur für Minuten oder Stunden, bevor sie beendet werden. Kein Team aus Menschen kann Zertifikate in dieser Geschwindigkeit ausstellen und aus dem Verkehr ziehen.

Um mit diesem rasanten Tempo Schritt zu halten, können KI-Agenten eingesetzt werden, die Zertifikate eigenständig ermitteln, ausstellen, erneuern und verwalten – und dabei innerhalb bestehender Rahmenbedingungen wie Sicherheitsrichtlinien, rollenbasierter Zugriffskontrolle (RBAC) und zentraler Prüfpfade bleiben. Das Ergebnis ist Automatisierung in Maschinen-Geschwindigkeit, ohne dabei die Unternehmens-Governance aufzugeben.

Wo man anfangen sollte

1. Der erste Schritt hin zu unternehmensweiter Krypto-Agilität und Resilienz ist eher organisatorischer als technischer Natur. Gemäß den Leitlinien des NIST sollten Unternehmen ein zentrales Team für Maschinenidentitätsdienste einrichten, das für die CLM-Plattform verantwortlich ist, Zertifikatsvorlagen standardisiert und die Integrationen mit öffentlichen und privaten Zertifizierungsstellen (CAs) pflegt. Einzelne Anwendungsverantwortliche und DevOps-Teams sollten wiederum dafür zuständig sein, automatisierte Verlängerungen in ihre eigenen Bereitstellungs-Pipelines zu integrieren und dabei die zentrale Plattform als gemeinsamen Dienst zu nutzen. Diese Aufteilung gewährleistet eine konsistente Governance und beseitigt gleichzeitig manuelle Übergaben, die zu Ausfällen führen.
2. Unternehmen sollten manuelle Validierungstechniken und -abläufe bereits jetzt, also rechtzeitig vor Ablauf des 10-tägigen DCV-Fensters, durch ACME und die automatisierte DNS-01-Validierung ersetzen und dabei alle manuellen Verlängerungs- und Validierungsprozesse schrittweise abschaffen.
3. 1. 1. Parallel dazu sollten Unternehmen eine vollständige Bestandsaufnahme ihrer kryptografischen Ressourcen durchführen, um fest codierte Schlüssel, veraltete Algorithmen und langlebige Vertrauenspfade aufzudecken, die sensible Daten schützen.
      2. Die Vorbereitungen auf die Post-Quanten-Ära sollten in einer kontrollierten Umgebung und nicht in der Produktionsumgebung beginnen. Es sollte ein dediziertes Testlabor eingerichtet werden, damit Teams hybride zusammengesetzte Zertifikate und kryptoagile Upgrades in einer Sandbox testen können. Durch die Entwicklung von Anwendungen auf Basis modularer kryptografischer Bibliotheken, die mit einer dynamischen CLM-Plattform verbunden sind, können Unternehmen echte Kryptoagilität erlangen: die Fähigkeit, Schlüssel, Verschlüsselungsverfahren und Algorithmen in ihrer gesamten Infrastruktur anzupassen, wenn sich Standards ändern – ohne Neuentwicklung.

Der rote Faden, der alle Empfehlungen verbindet, ist die Bestandsaufnahme. Der Erfassungsschritt einer CLM-Plattform ist keine reine Routinearbeit vor der eigentlichen Lösung; es ist dieselbe Disziplin, die Unternehmen auf jeder Ebene der Quantum Readiness benötigen werden. Zertifikate sind nicht-menschliche Identitäten, und dieselben Fragen gelten für Dienstkonten, KI-Agenten, Open-Source-Abhängigkeiten und die im Anwendungscode verborgenen Algorithmen: Was haben wir, was schützt es und was davon ist für das Unternehmen am wichtigsten?

Unternehmen, die jetzt – beginnend mit Zertifikaten – diese Bestandserfassungsfähigkeiten aufbauen, werden den Rest des Übergangs als weitaus weniger einschüchternd empfinden, da die Priorisierung dann eine Berechnung und keine Vermutung mehr ist. Wenn sie die nächsten Jahre als Planungszeitraum und nicht als Aufschubfrist betrachten, können Unternehmen diesen Übergang nach ihren eigenen Vorstellungen gestalten, anstatt sich die Entscheidung durch einen Ausfall abnehmen zu lassen.

Caitlin Dodson ist Praktikantin im Sommer 2026 bei FCTO – Americas bei Commvault.