Prüfpunkt software.hsts.schwachVerschlüsselung und Transport
Zertifikat abgelaufen: warum kommt niemand mehr auf die Website?
Ist das Zertifikat abgelaufen, zeigt der Browser vor Ihrer Website eine Warnseite, und Bestellungen und Anfragen bleiben aus. Hat Ihre Domain HSTS gesetzt, kommen wiederkehrende Besucher auch per Klick nicht weiter. Helfen kann nur ein neues Zertifikat: Rufen Sie sofort Ihren Hoster oder Ihre Agentur an. Damit es nicht wieder passiert, muss die Verlängerung ohne Handgriff laufen, denn die erlaubten Laufzeiten sinken.
Mit HSTS fehlt der Weg an der Warnseite vorbei
Das Zertifikat ist der Ausweis Ihres Servers für die verschlüsselte Verbindung. Ist es abgelaufen, warnt der Browser, und ohne HSTS kann der Besucher auf eigene Gefahr weitergehen. Mit HSTS ist das vorbei: Die Norm RFC 6797 schreibt vor, dass der Browser bei jedem Fehler der sicheren Verbindung abbricht und keine Möglichkeit zum Fortfahren anbietet. Das schützt vor jemandem, der im selben Netz ein falsches Zertifikat vorlegt, trifft aber ein abgelaufenes genauso. Die Sperre gilt für alle Browser, die Ihre Domain schon kennen, bis ein gültiges Zertifikat läuft oder die gespeicherte Frist endet.
Die erlaubte Laufzeit sinkt bis 2029 auf 47 Tage
Seit dem 15. März 2026 gelten öffentliche Zertifikate höchstens 200 Tage, vorher waren es 398 Tage. Das CA/Browser Forum, in dem Zertifizierungsstellen und Browserhersteller die Regeln festlegen, senkt die Grenze am 15. März 2027 auf 100 Tage und am 15. März 2029 auf 47 Tage. Let's Encrypt, ein kostenloser Anbieter, stellt heute 90 Tage aus, ab 10. Februar 2027 im Standard 64 Tage und ab 16. Februar 2028 dann 45 Tage. Wer bisher einmal im Jahr ein Zertifikat von Hand eingespielt hat, müsste das ab 2029 rund alle sechs Wochen tun. Let's Encrypt rät deshalb von der Verlängerung von Hand ab.
Der Server läuft, und trotzdem kommt keine Bestellung an
Ein abgelaufenes Zertifikat legt nichts lahm, was Sie in der Verwaltung sehen würden: Server und Datenbank laufen weiter. Der Besucher steht aber vor einer Warnseite, die vor Ihrer Domain warnt. Wer einen Shop, ein Formular oder eine Terminbuchung aufrufen wollte, geht zum nächsten Anbieter oder ruft an. Das gilt bei includeSubDomains auch für Shop und Webmail auf Unterdomänen, wenn deren Zertifikat mit abläuft.
So gehen Sie es an
- Rufen Sie Hoster oder Agentur an und lassen Sie das Zertifikat erneuern. Bei gemietetem Webspace erledigt das der Hoster.
- Prüfen Sie danach die Website in einem privaten Fenster und über das Mobilnetz, dazu Shop, Webmail und jede weitere Unterdomäne.
- Lassen Sie klären, warum die Verlängerung ausgefallen ist, und halten Sie die Antwort schriftlich fest.
- Lassen Sie die Verlängerung automatisch einrichten, dazu eine Überwachung, die vor dem Ablauf meldet.
Tipps aus der Praxis
- Let's Encrypt schickt seit dem 4. Juni 2025 keine Erinnerungsmails vor dem Ablauf mehr. Die Erinnerung muss ein eigener Überwachungsdienst übernehmen.
- Ein fester Takt kann zu lang werden: Let's Encrypt nennt 60 Tage für Zertifikate mit 45 Tagen ausdrücklich zu lang. Vertretbar ist eine Verlängerung nach rund zwei Dritteln der Laufzeit.
- Lassen Sie Port 80 offen, auch wenn die Website nur über https läuft. Let's Encrypt schreibt, dass das die Angriffsfläche nicht vergrößert, und der übliche Nachweis für die Verlängerung (HTTP-01) braucht den Port.
- Setzen Sie preload erst, wenn die Verlängerung automatisch läuft und überwacht wird. In der Preload-Liste gilt die Sperre auch für Besucher, die zum ersten Mal kommen.
Mehr zu diesem Thema
Weiter in der Cybersicherheit
- Was will mein Cyberversicherer von meiner Website sehen?Die Obliegenheiten der GDV-Musterbedingungen, der Risikofragebogen nach Umsatz und was davon an Ihrer Website von außen messbar ist. Mit Quellen.
- Gilt NIS2 für mich, und was ändert der Cyber Resilience Act an meiner Website?NISG 2026 in Österreich, BSI-Gesetz in Deutschland, Cyber Resilience Act: Schwellen, Fristen, Pflichten und was kleine Betriebe über ihre Kunden erreicht.
- Wie prüft der Browser, ob ein fremdes Skript unverändert ist?Mit Subresource Integrity (SRI) vergleicht der Browser eine fremde Datei mit ihrer Prüfsumme und lädt sie nur, wenn sie übereinstimmt.
- Welche Merkmale schützen die Cookies Ihrer Website?Secure, HttpOnly und SameSite legen fest, wann der Browser ein Cookie mitschickt und wer es lesen darf. Die Prüfung erwartet alle drei.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Verschlüsselung und Transport. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
