Willkommen zur dritten Folge von „A Walk in the Park“, einer neuen Kurzvideoreihe, die sich mit den Faktoren befasst, die die Zukunft des digitalen Vertrauens neu gestalten. In den nächsten fünf Wochen verlegen wir unsere Gespräche aus dem Konferenzraum ins Freie, während unsere Experten einige der größten Herausforderungen beleuchten, denen sich Sicherheitsverantwortliche heute gegenübersehen. Sehen Sie sich hier die erste und zweite Folge an.
Es gibt einen Film mit dem Titel „Gone in 60 Seconds“. Falls Sie ihn noch nicht gesehen haben: Die Handlung ist einfach. Eine Bande von Autodieben hat eine Nacht Zeit, um 50 Luxusautos zu stehlen. Es ist ein Wettlauf gegen die Zeit, und der Titel sagt schon alles: Die Autos verschwinden im Nu.
Ich leihe es mir aus einem bestimmten Grund aus.
Denn auch im Bereich der Sicherheit tickt gerade die Uhr. Was hier verschwindet, ist keine Autoflotte, sondern die Gültigkeitsdauer Ihrer TLS . Und das geschieht am helllichten Tag, orchestriert von der gesamten Browser-Branche.
Bis 2029 läuft das Zertifikat, das die Vertrauenswürdigkeit Ihrer Website gewährleistet, etwa alle sechs Wochen ab. Viele Menschen wissen noch gar nicht, dass dies bevorsteht. Lassen Sie mich Ihnen das daher einmal näher erläutern.
▶️ Seht euch die Folge an: Ryan und ich sprechen darüber in einer anderen Folge von „A Walk in the Park“. Hier ist die Kurzfassung. Im Folgenden gehe ich näher darauf ein, was das bedeutet und wie man sich darauf vorbereiten kann.
Zunächst einmal: Was das überhaupt ist
Ein TLS sorgt dafür, dass das kleine Schloss-Symbol in Ihrem Browser angezeigt wird.
Es gibt zwei Arten. Öffentliche Zertifikate genießen grundsätzlich überall das Vertrauen aller. Man kann sie sich wie einen Reisepass vorstellen. Private Zertifikate sind eher mit einem Firmenausweis vergleichbar. Sie genießen innerhalb Ihres Unternehmens Vertrauen, außerhalb jedoch nicht.
Sie erfüllen zwei Aufgaben. Erstens bestätigen sie, dass es sich bei einer Website tatsächlich um die betreffende Website handelt. So können Sie sicher sein, dass Sie sich auf der echten Website befinden und nicht auf einer gefälschten. Zweitens sichern sie den verschlüsselten Tunnel zwischen Ihrem Browser und dieser Website. So können die von Ihnen gesendeten Daten unterwegs nicht abgefangen und gelesen werden.
Wenn ein Zertifikat funktioniert, denkt man gar nicht darüber nach. Wenn es jedoch versagt, denkt man an nichts anderes mehr.
Was ändert sich eigentlich?
Die Gültigkeitsdauer öffentlicher Zertifikate verkürzt sich zunehmend.
Früher waren es zwei Jahre. Dann dreizehn Monate. Dann ein Jahr. Und schau dir jetzt an, wohin das führt:
- März 2026: nur noch 200 Tage.
- März 2027: Noch 100 Tage.
- März 2029: noch 47 Tage.
Das ist kein Gerücht, und es ist auch kein Vorschlag mehr. Das CA/Browser Forum hat dafür gestimmt. Alle vier großen Browser haben zugestimmt. Keine Gegenstimme. Es wird umgesetzt.
Und im Kleingedruckten versteckt sich eine Überraschung. Bis 2029 verkürzt sich das Zeitfenster für die erneute Bestätigung Ihrer Domain auf nur noch 10 Tage. Sie müssen also nicht nur häufiger verlängern, sondern fast jedes Mal erneut nachweisen, dass Sie die Kontrolle über die Domain haben.
Angenommen, Sie verfügen über 100 öffentliche TLS . Das entspricht derzeit etwa 100 Verlängerungen pro Jahr. Nach dem 47-Tage-Modell sind es eher 800. Manuelle Prozesse können diese Menge nicht bewältigen, ohne dass dabei zumindest einige Zertifikate übersehen werden.
Ich habe die Reddit-Threads gelesen
Ich habe unzählige Subreddits gesehen, in denen sich Leute über die Erneuerung von Zertifikaten auslassen – sowohl über öffentliche als auch über private Zertifikate. Mein Lieblingssatz: „Sag mir, dass du nicht in der IT arbeitest, ohne mir zu sagen, dass du nicht in der IT arbeitest.“
Weil es genau den Kern trifft: Diejenigen, die sich nicht mit dieser Arbeit beschäftigen, halten sie für eine reine Formalität. Diejenigen, die tatsächlich mit TLS arbeiten, möchten sich jedes Mal, wenn eine Verlängerung ansteht, am liebsten die Augen ausstechen.
Lassen Sie mich also den wenig glamourösen Teil einmal laut aussprechen: Es gibt gute Sicherheitsgründe für kürzere Gültigkeitsdauern. Ein Zertifikat mit kürzerer Gültigkeitsdauer bedeutet, dass ein gestohlener Schlüssel nur für einen kürzeren Zeitraum nutzbar ist. Das verringert Ihr Risiko, Opfer von Man-in-the-Middle-Angriffen zu werden. Die Browser machen das nicht aus reiner Boshaftigkeit.
Aber es ist viel mehr Arbeit. So zu tun, als wäre es anders, hilft niemandem.
Was geht zuerst kaputt?
Wenn ich mein Passwort vergesse, werde ich ausgesperrt. Das ist zwar ärgerlich, aber ich setze es einfach zurück und mache weiter. Wenn ein Zertifikat abläuft, fällt die damit verbundene Website, das System oder die Anwendung aus. Das ist nicht nur ärgerlich. Das hat negative Auswirkungen auf Ihre Kunden und Ihren Umsatz.
Man kann zwar sein Bestes tun, um Ausfälle zu vermeiden, doch das größere Problem ist, dass die Teams dennoch 8- bis 10-mal mehr Zeit ihres Arbeitstages damit verbringen, sich um Zertifikate zu kümmern, anstatt die strategische Arbeit zu leisten, die man eigentlich von ihnen benötigt.
Beides ist kein gutes Ergebnis.
Überall sehen wir immer noch die alten Methoden. Tabellenkalkulationen. Kalendererinnerungen. E-Mails. Das waren schon immer nur Notlösungen. Nach 47 Tagen versagen sie völlig.
Wo soll man anfangen?
Automatisierung ist die Lösung. Aber das ist nicht einfach nur ein Schalter, den man umlegt.
Jedes Team und jedes System benötigt einen eigenen Arbeitsablauf. Manche Zertifikate können automatisch verlängert werden. Bei anderen ist ein Genehmigungsschritt erforderlich, bevor Änderungen vorgenommen werden können. Manche Systeme können sich dabei auf ein Protokoll wie ACME oder SCEP stützen. Andere benötigen eine robustere Automatisierung des Lebenszyklus, um diese Aufgabe zu bewältigen.
Genau diese Vielfalt ist der Grund, warum Sie jetzt damit anfangen sollten. Nicht erst 2029. Die Obergrenze von 200 Tagen gilt bereits, und die Senkung auf 100 Tage tritt im kommenden März in Kraft. Die Ausarbeitung des richtigen Ansatzes für jedes System braucht Zeit, und diese Zeit sollten Sie auf Ihrer Seite haben.
Nun zu Ihren privaten Zertifikaten. Ihre interne PKI unterliegt diesen Regeln nicht, sodass Sie innerhalb Ihrer eigenen Organisation weiterhin Zertifikate mit längerer Gültigkeitsdauer verwenden können.
Ich würde diesem Impuls widerstehen.
Wenn Sie diesen Ansatz in Ihrer gesamten internen PKI-Umgebung konsequent anwenden, profitieren Sie von Einheitlichkeit – und Einheitlichkeit bedeutet hohe Sicherheit. Zertifikate mit sehr langer Laufzeit stellen an sich schon ein echtes Risiko dar. Wir stoßen regelmäßig auf Umgebungen, in denen interne Zertifikate mit einer Laufzeit von mehreren Jahrzehnten verwendet werden, um den Aufwand für die Erneuerung zu vermeiden.
Automatisierung hilft dabei, die mit der Verlängerung verbundenen Schwierigkeiten zu überwinden und ermöglicht es den Teams gleichzeitig, bewährte Verfahren anzuwenden. Die automatische Registrierung deckt einen Großteil dieser internen Abläufe ab und ist ein solider Anfang. Aber das ist noch nicht alles. Man sollte dies nicht als abgeschlossen betrachten.
Das Zertifikatsvolumen wird steigen, und die Gültigkeitsdauer wird sinken. Die eigentliche Frage ist nur, ob das für Sie kein Thema ist oder alle sechs Wochen zu einer Notfallübung führt. Die richtige, auf jedes System abgestimmte Automatisierung entscheidet darüber, welche Variante zutrifft.
Dies ist eine der vier Kräfte, die Ihre Vertrauensinfrastruktur, aber das ist erst der Anfang.
Als Nächstes: Erfahren Sie gemeinsam mit Chris Hickman, Chief Security Officer bei Keyfactor, mehr über das derzeit am schnellsten wachsende, nicht kontrollierte Sicherheitsrisiko in Unternehmen – die kryptografische Verschuldung.
