SSL-Zertifikat pflegen

Kurzdefinition

SSL-Zertifikat pflegen bezeichnet den wiederkehrenden Betrieb einer bestehenden TLS-Verschlüsselung: Ablaufdatum überwachen, rechtzeitig erneuern, Zuständigkeit klar zuordnen und die Konfiguration an neue technische Empfehlungen anpassen. Anders als der einmalige Aufbau endet die Pflege nicht, sondern begleitet die Website über ihre gesamte Betriebsdauer.

Auf einen Blick

• Das CA/Browser Forum hat am 11.04.2025 beschlossen, die maximale Zertifikatslaufzeit von aktuell 398 Tagen zwischen März 2026 und März 2029 auf 47 Tage zu senken (CA/Browser Forum 2025)
• Bei 47 Tagen Gültigkeit entspricht das rechnerisch rund acht Erneuerungen pro Jahr, eigene Umrechnung auf Basis des veröffentlichten Fahrplans
• Die BSI-Richtlinie TR-02102-2 wird nahezu jährlich aktualisiert, zuletzt am 27.01.2026 (BSI 2026)
• Art. 32 der Datenschutz-Grundverordnung verlangt eine fortlaufende, nicht nur einmalige Bewertung der technischen Schutzmaßnahmen (Verordnung (EU) 2016/679)

Einordnung

SSL-Zertifikat pflegen setzt den Aufbau bereits voraus und beginnt genau dort, wo dieser endet. Während der Aufbau ein einmaliger Vorgang ist und die Optimierung eine punktuelle Verbesserung der Konfiguration, ist die Pflege ein Dauerzustand ohne Enddatum, sie läuft, solange die Website online ist.

Von der Optimierung unterscheidet sich die Pflege im Zweck. Optimierung verbessert eine Konfiguration aktiv über die Mindestanforderung hinaus. Pflege dagegen erhält einen erreichten Zustand und verhindert seinen Verfall, etwa durch ein abgelaufenes Zertifikat oder eine inzwischen als unsicher eingestufte, aber noch aktive Einstellung. Beide Themen berühren sich, doch nur die Pflege hat einen festen zeitlichen Rhythmus, der sich aus der Gültigkeitsdauer des Zertifikats selbst ergibt.

Vom Beheben eines SSL-Fehlers unterscheidet sich die Pflege als deren Gegenstück: Eine funktionierende Pflege soll genau die Situation verhindern, die den ersten Begriff dieses Themenfelds notwendig macht. Läuft ein Zertifikat unbemerkt ab, wird aus einem Pflegeversagen ein akuter Fehlerfall. Die Prozesskette lässt sich damit als Abfolge lesen: Aufbau einmalig, Optimierung punktuell, Pflege dauerhaft, Fehlerbehebung als Rückfallebene, wenn eines der drei anderen Glieder versagt hat.

Relevanz für die Praxis

Die Bedeutung der Pflege verändert sich gerade strukturell, unabhängig vom Verhalten der einzelnen Praxis. Das CA/Browser Forum, in dem sich Zertifizierungsanbieter und Browserhersteller abstimmen, hat am 11.04.2025 mit Ballot SC-081v3 beschlossen, die maximale Gültigkeitsdauer eines Zertifikats von derzeit 398 Tagen zwischen März 2026 und März 2029 schrittweise auf 47 Tage zu senken (CA/Browser Forum 2025). Ein Prozess, der bislang einmal jährlich griff, muss sich damit rechnerisch auf rund acht Erneuerungen pro Jahr einstellen, eine eigene Umrechnung auf Basis der 47 Tage. Ein manueller Kalendereintrag, der über Jahre funktioniert hat, wird bei dieser Taktung zum Risiko.

Rechtlich bleibt die Praxis auch bei ausgelagertem Hosting die verantwortliche Stelle. Art. 32 der Datenschutz-Grundverordnung verlangt eine dem Risiko angemessene, dem Stand der Technik entsprechende Schutzmaßnahme und formuliert dabei keinen einmaligen, sondern einen fortlaufend zu bewertenden Zustand (Verordnung (EU) 2016/679). Ein abgelaufenes Zertifikat lässt sich damit nicht allein mit dem Hinweis auf eine beauftragte Agentur erklären, die Verantwortung für eine funktionierende Pflege verbleibt bei der Praxis.

Für kieferorthopädische Praxen mit ihren oft mehrjährigen Behandlungsbeziehungen wiegt ein Ausfall besonders, weil Website oder Patientenportal während dieser gesamten Zeit wiederholt genutzt werden. Ein Ablauf trifft dann nicht nur einen einmaligen Erstkontakt, sondern unterbricht eine über Jahre etablierte Kommunikation mit bereits laufenden Fällen.

Was bei der Umsetzung zählt

Der erste und wichtigste Baustein ist die Automatisierung der Erneuerung selbst, etwa über das ACME-Protokoll, mit dem sich Ausstellung und Austausch eines Zertifikats ohne manuellen Eingriff wiederholen lassen. Angesichts einer absehbaren Taktung von rund acht Erneuerungen pro Jahr ist ein manueller Prozess kaum noch verlässlich durchzuhalten.

Zweitens gehört eine Überwachung dazu, die unabhängig von der Erneuerung selbst prüft, ob ein Zertifikat tatsächlich gültig bleibt, und rechtzeitig vor dem Ablauf warnt. Diese Kontrolle sollte nicht bei der Person liegen, die die Website ursprünglich eingerichtet hat, sondern dauerhaft zugeordnet sein, auch über einen Wechsel des Hosting-Anbieters oder der Agentur hinweg.

Drittens sollte die Zuständigkeit schriftlich festgehalten sein: Wer prüft nach einem Anbieterwechsel, ob die Automatisierung mitgewandert ist. Wer wird benachrichtigt, wenn eine Erneuerung fehlschlägt. Ohne eine solche Zuordnung verlässt sich am Ende jede Seite darauf, dass die andere sich kümmert.

Viertens gehört ein jährlicher Abgleich mit der aktuellen Fassung der BSI-Richtlinie TR-02102-2 zur Pflege, weil sich die zugrunde liegenden Empfehlungen nahezu mit jeder neuen Version verschieben, etwa durch die in der Fassung 2026 abgekündigten RSA-Signaturen mit PKCS 1 v1.5-Padding (BSI 2026). Pflege bedeutet damit nicht nur, ein bestehendes Zertifikat zu erneuern, sondern auch, gelegentlich zu prüfen, ob die dahinterliegende Konfiguration noch der aktuellen Empfehlung entspricht.

Zahlen und Kontext

Der zentrale Zahlenrahmen für die Pflege kommt vom CA/Browser Forum: Ballot SC-081v3, angenommen am 11.04.2025, senkt die maximale Zertifikatslaufzeit von aktuell 398 Tagen zwischen März 2026 und März 2029 schrittweise auf 47 Tage (CA/Browser Forum 2025). Bei einer Gültigkeit von 47 Tagen ergeben sich rechnerisch rund acht Erneuerungen pro Jahr, 365 Tage geteilt durch 47 Tage, eine eigene Umrechnung auf Basis des veröffentlichten Fahrplans, nicht Teil des Beschlusses selbst.

Ein zweiter, unabhängiger Pflegeanlass ergibt sich aus der BSI-Richtlinie TR-02102-2, die laut ihrer Änderungshistorie seit 2019 nahezu jährlich aktualisiert wurde, zuletzt am 27.01.2026 (BSI 2026). Pflege bedeutet damit zwei parallele Rhythmen, den technisch vorgegebenen Erneuerungszyklus des Zertifikats und den inhaltlichen Abgleich der Konfiguration mit einer sich verändernden Empfehlung.

Zur Größe des Umfelds: Ende 2024 waren in Deutschland 62.874 Zahnärzte einschließlich der in MVZ angestellten registriert (KZBV 2025), für jede ihrer Websites stellt sich diese Aufgabe unabhängig von der Praxisgröße in gleicher Weise.

Typische Fehler

Auf manuelle Erinnerung statt Automatisierung setzen Bei einer absehbaren Taktung von rund acht Erneuerungen pro Jahr wird ein Kalendereintrag, der früher bei einer jährlichen Erneuerung noch funktionierte, zunehmend unzuverlässig.

Zuständigkeit nicht schriftlich klären Wechseln Hosting-Anbieter oder Agentur, ohne dass eine Übergabe der Pflegeaufgabe dokumentiert ist, verlässt sich am Ende keine Seite mehr darauf, tatsächlich zuständig zu sein.

Kein Monitoring vor dem Ablauf Fällt ein abgelaufenes Zertifikat erst auf, wenn ein Patient sich über eine Fehlermeldung beschwert, wurde die eigentliche Aufgabe der Pflege bereits verfehlt.

Den Trend zu kürzeren Laufzeiten ignorieren Wer den bestehenden, bisher funktionierenden Prozess unverändert fortführt, obwohl sich die Erneuerungsfrequenz laut CA/Browser Forum bis 2029 vervielfacht, riskiert häufigere Ausfälle.

Häufige Fragen

Was passiert, wenn ein Zertifikat abläuft? Browser zeigen dann eine explizite Warnung, bevor die Website überhaupt lädt, für Besucher unterscheidet sich das kaum von den Fehlerbildern, die beim Beheben eines SSL-Fehlers beschrieben werden.

Wie oft muss ein SSL-Zertifikat erneuert werden? Aktuell mindestens einmal innerhalb von 398 Tagen, der derzeitigen Obergrenze. Nach dem Fahrplan des CA/Browser Forum sinkt diese Obergrenze zwischen März 2026 und März 2029 schrittweise auf 47 Tage, was die Erneuerungsfrequenz auf rechnerisch rund acht Mal jährlich erhöht (CA/Browser Forum 2025).

Automatisiert sich die Erneuerung von selbst? Nicht von selbst, aber es existieren Protokolle wie ACME, mit denen sich Ausstellung und Austausch eines Zertifikats automatisieren lassen. Diese Automatisierung muss einmalig eingerichtet und danach in ihrer Funktion überwacht werden.

Wer ist in der Praxis für die Pflege zuständig? Datenschutzrechtlich bleibt die Praxis als verantwortliche Stelle nach Art. 32 der Datenschutz-Grundverordnung in der Pflicht, auch wenn die technische Umsetzung an eine Agentur oder einen Hosting-Anbieter ausgelagert ist (Verordnung (EU) 2016/679). Wer die Aufgabe operativ übernimmt, sollte vertraglich festgehalten sein.

Wie erfährt man rechtzeitig von einem bevorstehenden Ablauf? Über ein Monitoring, das unabhängig von der Erneuerung selbst prüft und vor dem Ablaufdatum warnt. Ohne eine solche Kontrolle bleibt oft nur der Zufall oder eine Patientenbeschwerde als Hinweis.

Verwandte Begriffe

• SSL-Zertifikat aufbauen: die einmalige Erstinstallation, auf die die dauerhafte Pflege folgt
• SSL-Zertifikat optimieren: die aktive Verbesserung, deren erreichter Stand durch die Pflege erhalten bleibt
• SSL-Fehler beheben und optimieren: die Korrektur, wenn die Pflege versagt hat und ein Zertifikat bereits abgelaufen ist
• Online-Terminbuchung in die Website integrieren: ein Formular, das bei abgelaufenem Zertifikat ebenso wenig Daten verschlüsselt überträgt wie jedes andere
• Google Unternehmensprofil Zahnarzt: ein Vertrauenssignal neben der Website, das ein abgelaufenes Zertifikat nicht aufwiegt

Quellen

1. CA/Browser Forum: Ballot SC-081v3, Introduce Schedule of Reducing Validity and Data Reuse Periods, angenommen am 11.04.2025. https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/
2. Bundesamt für Sicherheit in der Informationstechnik (BSI): Technische Richtlinie TR-02102-2, Kryptographische Verfahren, Empfehlungen und Schlüssellängen, Teil 2, Verwendung von Transport Layer Security (TLS), Version 2026-01, Stand 27.01.2026. https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR02102/BSI-TR-02102-2.pdf?__blob=publicationFile
3. Europäisches Parlament und Rat der Europäischen Union: Verordnung (EU) 2016/679 vom 27.04.2016 (Datenschutz-Grundverordnung), Art. 32 Sicherheit der Verarbeitung. ABl. L 119 vom 04.05.2016, S. 1. https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
4. Kassenzahnärztliche Bundesvereinigung (KZBV), Körperschaft des öffentlichen Rechts: Jahrbuch 2025, ISBN 978-3-944629-12-4. 2025. https://www.kzbv.de/wp-content/uploads/KZBV_Jahrbuch_2025_Web_ohne_GOZ.pdf

Unsicherheiten

Zu den genauen Zwischenschritten des CA/Browser-Forum-Fahrplans zwischen den veröffentlichten Eckpunkten 398 Tage und 47 Tage lagen zum Prüfzeitpunkt keine im Beschlusstext selbst genannten Zwischenwerte vor, öffentlich zugänglich waren lediglich Startpunkt, Endpunkt und der Zeitraum März 2026 bis März 2029. Ebenso ließ sich keine Statistik dazu finden, welcher Anteil deutscher Zahnarztpraxen die Zertifikatserneuerung bereits automatisiert hat. Stand der Darstellung: 22.07.2026.