Ein Kunde schreibt: „Die Seite sagt, sie sei nicht sicher.“ Besucher sehen eine ganzseitige Browserwarnung, Formulare konvertieren nicht mehr, und Crawler kommen unter Umständen nicht an die Seiten. So lässt sich ein abgelaufenes SSL-Zertifikat beheben, bevor der nächste Besucher abspringt. Der Ausfall gehört zu den sichtbarsten einer Website und zu den vermeidbarsten.
Dieser Ablauf zeigt, wie Sie das Problem bestätigen, es beheben und dafür sorgen, dass es nicht zurückkommt.
Schritt 1: Prüfen, ob das Zertifikat wirklich abgelaufen ist
Browser zeigen Fehler wie NET::ERR_CERT_DATE_INVALID (Chrome) oder in Firefox „Warnung: Mögliches Sicherheitsrisiko voraus“ (englisch: „Warning: Potential Security Risk Ahead“). Nicht raten, die Daten direkt lesen:
echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -datesSchauen Sie auf notAfter. Liegt das Datum in der Vergangenheit, ist das Zertifikat abgelaufen. Liegt es in der Zukunft, haben Sie ein anderes Problem (siehe unten).
Schritt 2: Ähnliche Fehler ausschließen
Nicht jeder Zertifikatsfehler ist ein Ablauf:
- Falscher Hostname. Das Zertifikat deckt
example.comab, aber nichtwww.example.com. - Fehlendes Zwischenzertifikat. Funktioniert in manchen Browsern und scheitert in anderen.
- Falsches Zertifikat ausgeliefert. Ein CDN, ein Load Balancer oder ein zweiter Virtual Host antwortet mit einem alten Zertifikat.
- Falsche Systemuhr. Zeigt nur ein Gerät den Fehler, prüfen Sie dort Datum und Uhrzeit.
Schritt 3: Zertifikat erneuern und installieren
Die Reparatur hängt davon ab, woher das Zertifikat kommt.
Let's Encrypt / certbot. Versuchen Sie sudo certbot renew und lesen Sie den Fehler. Die meisten Fehlschläge sind ein blockierter Port 80, ein falscher Webroot oder fehlende Zugangsdaten für die DNS-Challenge. Siehe certbot renewal failed.
Hosting-Panel (cPanel, FastPanel, Plesk). Im SSL-Bereich neu ausstellen oder die Verlängerung erzwingen. Wenn AutoSSL gescheitert ist, protokolliert das Panel meist den Grund, oft einen DNS-Eintrag, der woandershin zeigt.
Kostenpflichtiges Zertifikat. Bei Bedarf einen neuen CSR erzeugen, die Validierung abschließen, dann das neue Zertifikat und die Kette installieren.
CDN oder Proxy (Cloudflare und Ähnliches). Prüfen Sie beide Zertifikate: das Edge-Zertifikat, das Besucher sehen, und das Origin-Zertifikat zwischen CDN und Ihrem Server. Beide können ablaufen.
Schritt 4: Den Webserver neu laden
Eine sehr häufige Falle: Die Zertifikatsdatei auf der Platte wurde erneuert, der Server liefert aber noch die alte aus dem Speicher. Laden Sie ihn neu:
sudo systemctl reload nginx # or apache2 / httpdPrüfen Sie danach mit dem openssl-Befehl oben, nicht nur im eigenen Browser. Der kann den alten Zustand zwischenspeichern.
Schritt 5: Herausfinden, warum es abgelaufen ist
Das Symptom zu beheben ist die halbe Arbeit. Häufige Ursachen:
- Die automatische Verlängerung hat nach einer Servermigration nie funktioniert.
- Der Cron-Job oder der Timer wurde entfernt.
- Das DNS der Domain hat sich geändert, die Validierung scheitert.
- Ein kostenpflichtiges Zertifikat wurde einmal gekauft, und niemand hat das Datum verfolgt.
- Das Zertifikat gehört zu einer Subdomain, an die sich niemand erinnert hat.
Schreiben Sie die Ursache auf. Wenn Sie nicht wissen, warum es abgelaufen ist, läuft es wieder ab.
Vorbeugen: den Ablauf sichtbar machen
Von außen prüfen. Prüfen Sie das Zertifikat so, wie ein Besucher es sieht, indem Sie die Live-Domain ansprechen. Prüfungen nur auf dem Server übersehen Probleme an CDNs und Load Balancern.
Früh und breit warnen. Warnen Sie bei 30, 14 und 7 Tagen. Schicken Sie Hinweise an ein gemeinsames Postfach oder einen Kanal, nicht an eine einzelne Entwicklerin oder einen einzelnen Entwickler.
Jedes Zertifikat führen. Dazu gehören Staging-Seiten, Kundensubdomains und Mailserver. Abgelaufene Zertifikate an Mail oder API-Endpunkten brechen Dinge leise.
Nicht auf Anbieter-Mails verlassen. Let's Encrypt hat 2025 aufgehört, Erinnerungsmails zum Ablauf zu schicken. Eine verpasste Verlängerung erzeugt jetzt gar keine Warnung, wenn Sie nicht selbst überwachen.
Kürzere Laufzeiten einplanen. Das CA/Browser Forum hat einen Zeitplan beschlossen, der die maximale Gültigkeit verkürzt: zuerst auf 200 Tage (ab März 2026), dann 100 Tage (2027) und 47 Tage (2029). Manuelle Verlängerung wird unpraktisch. Automatisieren Sie die Ausstellung und überwachen Sie, ob die Automatik arbeitet.
Kurze Checkliste
- [ ] Ablaufdatum mit
opensslbestätigen - [ ] Hostname, Kette und CDN ausschließen
- [ ] Zertifikat erneuern und installieren
- [ ] Webserver neu laden
- [ ] Von außerhalb des eigenen Netzes prüfen
- [ ] Überwachung und Hinweise für diese Domain einrichten
- [ ] Ursache festhalten
Abgelaufenes SSL-Zertifikat beheben: was danach noch offen ist
Das Zertifikat zu erneuern ist die Mitte der Arbeit, nicht das Ende. Laden Sie den Webserver neu und prüfen Sie das Live-Zertifikat von außerhalb der Maschine. Eine Datei auf der Platte mit neuem Datum tut nichts, wenn nginx noch die alte Kette aus dem Speicher ausliefert.
Sagen Sie dem Kunden in einer kurzen Notiz, was passiert ist: Das Zertifikat war abgelaufen, es ist erneuert, und das ist das neue Ablaufdatum. Kein Aufsatz. Der Kunde will wissen, dass der Checkout wieder geht.
Schreiben Sie das Datum danach an einen Ort, der nicht der Server ist. Hosting-Panels, Cloudflare und ein Rechner unter dem Schreibtisch stellen alle Zertifikate aus. Wenn der einzige Eintrag „certbot ist installiert“ lautet, sieht der nächste Ausfall aus wie dieser.
Setzen Sie die Erinnerung auf 14 Tage, nicht auf 1 Tag. Eine gescheiterte HTTP-01-Challenge am Freitagnachmittag ist ein Montagsausfall, wenn Sie erst am Tag vor Ablauf hinschauen. Die Anleitung zur selbst gehosteten Überwachung ist die Reserve, wenn der Verlängerungsjob schweigt.
War die Warnung NET::ERR_CERT_DATE_INVALID, prüfen Sie auch die Uhr auf dem Server. Eine falsche Systemzeit erzeugt dieselbe Browserseite wie ein wirklich abgelaufenes Zertifikat, und eine Erneuerung räumt das nicht auf.
Notizen nach der Reparatur
Notieren Sie, über welchen Hostnamen sich der Browser beschwert hat. www und die Apex-Domain sind oft verschiedene Zertifikate. Eines zu erneuern und nginx neu zu laden, während das andere noch abgelaufen ist, sieht aus wie „wir haben es behoben“, bis der Kunde die andere URL aufruft.
Prüfen Sie die Kette, nicht nur das Datum des Leaf-Zertifikats. Ein neues Leaf, signiert von einem abgelaufenen Zwischenzertifikat, warnt weiter. openssl s_client zeigt die Daten, die der Browser verwenden wird.
Sitzt die Seite hinter Cloudflare oder einem anderen Proxy, ist das Zertifikat, das Besucher sehen, unter Umständen nicht das auf Ihrem Origin. Erneuern Sie das vordere. Ein Origin-Zertifikat kann gültig sein, während das Edge-Zertifikat das abgelaufene ist.
Klicken Sie nach der Reparatur selbst auf das Schloss, auf einem Telefon, das nicht im Büronetz hängt. Zwischengespeicherte Fehler und internes DNS lassen das Büro gesund aussehen.
Tragen Sie das neue Datum in den Tracker ein, bevor Sie das Ticket schließen. Der Ausfall, den Sie gerade behoben haben, wiederholt sich, wenn der einzige Nachweis ein Slack-Thread ist.
Warnt das erneuerte Zertifikat weiter, vergleichen Sie die Seriennummer im Browser mit der auf der Platte. Sie weichen ab, wenn der falsche Virtual Host geantwortet hat oder ein CDN den alten Handshake zwischengespeichert hat. Leeren Sie diesen Cache und prüfen Sie erneut aus einem Netz außerhalb des Büros, bevor Sie dem Kunden sagen, die Reparatur sei fertig.
Halten Sie fest, welches Konto das Zertifikat ausgestellt hat und wer den Reload ausführen darf. Bei einem Panel-Hosting ist das oft eine andere Person als die, die den DNS-Eintrag setzt. Ohne diese Zuordnung sucht das nächste Mal wieder jeder an der falschen Stelle.
Wenn mehrere Subdomains dieselbe IP teilen, prüfen Sie jede mit -servername. Ein erfolgreicher Test der Apex sagt nichts über mail oder api. Genau diese Namen fallen aus, ohne dass die Startseite eine Warnung zeigt.
FAQ
Wie lange dauert es, ein abgelaufenes Zertifikat zu beheben?
Mit funktionierendem Let's Encrypt oder Panel-Automatik: Minuten. Bei einem kostenpflichtigen Zertifikat mit Validierung: von Minuten bis zu einem Tag oder länger.
Schadet ein abgelaufenes Zertifikat der SEO?
Besucher bleiben an der Warnseite hängen, und Crawler können Seiten während des Ausfalls nicht abrufen. Ein kurzer Ausfall verursacht selten dauerhaften Ranking-Schaden, die Abschlüsse leiden sofort.
Kann ich den SSL-Ablauf allein mit automatischer Verlängerung verhindern?
Die Automatik hilft, sie kann aber still scheitern. Kombinieren Sie sie mit unabhängiger Überwachung.
*Duvento überwacht den Ablauf von SSL-Zertifikaten zusammen mit Domains, Hosting und Lizenzen und warnt Ihr Team vorher. Ausprobieren.*
