Let’s Encrypt verkürzt die Laufzeit seiner kostenlosen Zertifikate zum 10. Februar 2027 von 90 auf 64 Tage. Die Weichen dafür hatte das Projekt bereits im Dezember 2025 gestellt. In einem Blogbeitrag vom 7. Oktober 2026 hat Let’s Encrypt den Fahrplan noch einmal zusammengefasst. Betreiber, die ihre Erneuerungsprozesse nicht automatisiert haben, sollten jetzt umstellen.
Let’s Encrypt: 64 Tage Laufzeit ab Februar 2027
Ab dem 10. Februar 2027 erhalten alle neu ausgestellten und erneuerten Zertifikate standardmäßig eine Laufzeit von maximal 64 Tagen. Wer eine noch kürzere Gültigkeitsdauer wünscht, kann wahlweise 45 oder 6 Tage wählen. Bereits ausgestellte Zertifikate werden nicht zurückgezogen; das letzte 90-Tage-Zertifikat läuft planmäßig am 11. Mai 2027 aus. Betreiber können die Umstellung vorab in der Staging-Umgebung, der Testplattform von Let’s Encrypt, erproben – das Projekt empfiehlt das ausdrücklich.
Die Umstellung erfolgt in mehreren Schritten:
| Zeitpunkt | Änderung |
|---|---|
| Ab 14. Oktober 2026 | Die Staging-Umgebung arbeitet mit den kürzeren Laufzeiten |
| 10. Februar 2027 | Neue und erneuerte Zertifikate laufen nur noch 64 Tage; optional sind 45 oder 6 Tage wählbar |
| 11. Mai 2027 | Das letzte Zertifikat mit 90 Tagen Laufzeit läuft regulär ab |
| 16. Februar 2028 | Die Zertifikatslaufzeit sinkt weiter auf 45 Tage |
Was Administratoren jetzt anpassen sollten
Wer die Erneuerung automatisiert hat und einen ACME-Client nutzt, der das Protokoll ACME Renewal Information (ARI) unterstützt, muss nach Angaben von Let’s Encrypt keine weiteren Maßnahmen ergreifen. Über ARI teilt der Dienst den Clients mit, wann eine Erneuerung ansteht.
Anders sieht es aus, wenn die Erneuerung in festem Abstand zum Ablaufdatum programmiert ist. Dann sollten Admins den Erneuerungszeitpunkt auf etwa zwei Drittel der Laufzeit verschieben – bei 64 Tagen also auf rund 42 Tage. Dieser Schritt bereitet zugleich auf die 45-Tage-Laufzeit ab Februar 2028 vor. Es lohnt sich, Cron-Jobs, Wrapper-Skripte und Betriebshandbücher nach hartkodierten Zahlen wie 83, 80 oder 60 zu durchsuchen.
Autorisierungen werden kürzer wiederverwendbar
Zusätzlich verkürzt Let’s Encrypt das Zeitfenster für die Wiederverwendung von Autorisierungen, also bereits durchgeführten Domain-Validierungen. Es sinkt von derzeit 30 Tagen auf zehn Tage. Im Jahr 2028 sollen nur noch sieben Stunden gelten. Damit will das Projekt CAA-Nachprüfungen vermeiden, bei denen Teile des Validierungsprozesses wiederholt werden müssten. Das bereitet die Reduzierung der Wiederverwendung von Validierungsdaten im Jahr 2029 vor.
Wer seinen ACME-Client nicht ausdrücklich auf die Wiederverwendung solcher Validierungsdaten eingerichtet hat, muss hier nichts ändern. Das Projekt rät jedoch, die Zertifikatsverwaltung zu automatisieren und Alarmmeldungen zu ergänzen, damit Fehler bei der Erneuerung sofort sichtbar werden.
Warum Let’s Encrypt die Laufzeiten verkürzt
Kürzere Laufzeiten senken das Risiko, dass ein kompromittierter Schlüssel oder ein fehlerhaft ausgestelltes Zertifikat über einen langen Zeitraum missbraucht werden kann. Let’s Encrypt sieht sich als Non-Profit-Organisation in der Verantwortung, solche Änderungen umzusetzen, um die Sicherheit im Netz global zu stärken. Für Betreiber bedeutet das: Manuelle Zertifikatsverwaltung wird aufwendiger und fehleranfälliger. Wer die Automatisierung jetzt sauber aufsetzt, ist für die Umstellung auf 64 Tage gerüstet – und für die weitere Verkürzung auf 45 Tage im Jahr 2028.
