Zwei Daten, die die ganze Website lahmlegen: Zertifikats- und Domainablauf

Warum automatische Verlängerung trotzdem scheitert, was sich ändert, wenn Zertifikate nur noch 47 Tage gelten, wie eine Domain tatsächlich verloren geht und welche Prüfungen beides rechtzeitig erkennen.

Infrastruktur · Veröffentlicht: 23. September 2026 · 5 Min. Lesezeit · Дмитрий Орлов

Die meisten Ausfälle sind partiell: Eine Seite ist langsam, ein Formular kaputt. Zwei Ereignisse sind total. Läuft das TLS-Zertifikat ab, zeigt jeder Browser eine bildschirmfüllende Warnung. Läuft die Domainregistrierung aus, wird der Name gar nicht mehr aufgelöst. Beide Termine stehen Monate vorher fest — und beide erwischen Teams trotzdem kalt.

"Wir haben doch Auto-Renewal"

ACME-Clients wie certbot verlängern Let's-Encrypt-Zertifikate selbstständig — und genau deshalb schaut niemand hin. Der Client selbst ist selten das Problem:

• DNS hat sich geändert. Die Domain ist zu einem neuen Hoster oder CDN umgezogen, und die HTTP-01-Challenge landet auf einem Server, der nichts davon weiß.
• Eine Firewall blockiert Port 80. Jemand hat plain HTTP "aus Sicherheitsgründen" geschlossen; HTTP-01 braucht ihn.
• Ein Redirect auf /.well-known/acme-challenge/. Eine Catch-all-Regel leitet auf die Startseite oder den Login um, und die Validierung schlägt fehl.
• Der Cronjob ist mit dem alten Server gestorben. Die Website wurde migriert, der Verlängerungs-Timer nicht.
• Auf der Platte erneuert, nie geladen. certbot hat eine neue Datei geschrieben, nginx wurde nicht neu geladen und liefert weiter das alte Zertifikat aus dem Speicher.
• Eine weitere Kopie woanders. Ein CDN oder Load Balancer terminiert TLS mit eigenem Zertifikat, vor zwei Jahren von Hand hochgeladen.

Die Laufzeiten schrumpfen

Das CA/Browser-Forum-Ballot SC-081 verkürzt die maximale Zertifikatslaufzeit stufenweise: 200 Tage ab März 2026, 100 Tage ab März 2027, 47 Tage ab März 2029. Einmal im Jahr von Hand verlängern ist schon jetzt vorbei; 2029 hieße das ungefähr jeden Monat ein manueller Tausch. Automatisierung ist keine Option mehr — die eigentliche Arbeit besteht jetzt darin, die Automatisierung zu überwachen.

Ein gültiges Datum reicht nicht

Zwei Probleme bestehen die Datumsprüfung und brechen trotzdem Clients. Fehlendes Zwischenzertifikat: Desktop-Browser laden es oft selbst nach, Android, curl und API-Clients scheitern. Und eine schwache Signatur: Alles mit SHA-1 Signierte wird sofort abgelehnt; erwartet wird sha256WithRSAEncryption oder ein ECDSA-Pendant.

Wie eine Domain wirklich verloren geht

Domains laufen selten aus reiner Nachlässigkeit aus. Meist ist die hinterlegte Karte beim Registrar abgelaufen, und die Verlängerungshinweise gehen an das Postfach eines Kollegen, der 2021 gegangen ist.

Der weitere Ablauf hängt von TLD und Registrar ab, typisch ist aber: Das Ablaufdatum verstreicht; der Registrar setzt eventuell clientHold, und die Domain fällt aus dem DNS; es folgt eine Auto-Renew-Grace-Period, oft bis zu 45 Tage, in der die Verlängerung noch günstig ist; dann Redemption, rund 30 Tage, in denen die Wiederherstellung extra kostet; dann pendingDelete, etwa fünf Tage, in denen nichts mehr geht. Danach wird der Name frei, und Drop-Catching-Dienste registrieren wertvolle Domains innerhalb von Sekunden.

Zwei weitere Punkte gehören in dieselbe Prüfung. Die Transfersperre (clientTransferProhibited) sollte aktiv sein, damit die Domain nicht unbemerkt wegbewegt werden kann. Und es sollte mindestens zwei Nameserver geben, idealerweise in getrennten Netzen oder bei verschiedenen Anbietern.

Selbst prüfen

Was der Server tatsächlich ausliefert:

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null \
  | openssl x509 -noout -enddate -issuer

Das Flag -servername ist wichtig: Ohne SNI bekommen Sie womöglich das Default-Zertifikat statt des für Ihren Host. Für die Domain gibt es RDAP, den strukturierten Nachfolger von WHOIS:

curl -s https://rdap.org/domain/example.com

Relevant sind das Ereignis expiration, der Registrar und die Liste status.

Monitoring, das funktioniert

• Alarm bei 30, 14 und 7 Tagen. Eine Meldung übersieht man leicht, drei eskalierende nicht.
• Von außen prüfen. Testen Sie, was der Browser bekommt, nicht die Datei auf der Platte. Das findet den vergessenen Reload, die CDN-Kopie und die unvollständige Kette.
• Jeden Hostnamen prüfen. www, api, mail und die Apex-Domain tragen oft unterschiedliche Zertifikate aus unterschiedlichen Quellen.

Ein SiteScan-Bericht zeigt die Resttage des Zertifikats, Aussteller und Signaturalgorithmus, die Resttage der Domain, den Registrar, die Statuscodes der Registry und ob die Transfersperre aktiv ist. Wird eine Website beobachtet, prüft SiteScan das regelmäßig neu — die Erinnerung kommt, solange die Verlängerung noch Routine ist.

Checkliste

1. Das Zertifikat jedes Hostnamens ist noch mehr als 30 Tage gültig.
2. Die vollständige Kette wird ausgeliefert; Signatur SHA-256 oder besser.
3. Die Verlängerung ist automatisiert, der Reload danach ebenfalls.
4. Der ACME-Challenge-Pfad ist über Port 80 ohne Redirects erreichbar.
5. Beim Registrar sind eine gültige Karte und eine gemeinsame, aktuelle E-Mail-Adresse hinterlegt.
6. Auto-Renew der Domain und Transfersperre sind aktiv.
7. Es gibt mindestens zwei Nameserver.
8. Alarme greifen bei 30, 14 und 7 Tagen.