Was ist ACME? Automatische Verlängerung von SSL-Zertifikaten

Das Schloss-Symbol in der Adressleiste Ihrer Website erscheint dank eines gültigen SSL/TLS-Zertifikats. Die Laufzeit dieser Zertifikate wird jedes Jahr etwas kürzer, und die manuelle Verlängerung wird immer mühsamer. In diesem Artikel erklären wir das ACME-Protokoll, mit dem Zertifikate automatisch bezogen und verlängert werden, was es für Sie bedeutet und welche Probleme häufig auftreten.

Was ist ACME?

ACME (Automatic Certificate Management Environment) ist ein offener Standard (RFC 8555), mit dem ein Server ohne menschliches Zutun SSL-Zertifikate bei einer Zertifizierungsstelle (CA) beziehen, verlängern und bei Bedarf widerrufen kann. Er wurde ursprünglich für den kostenlosen Anbieter Let's Encrypt entwickelt; heute unterstützen auch viele kostenpflichtige Zertifikatsanbieter ACME.

Kurz gesagt: Dank ACME müssen Sie weder das Ablaufdatum Ihres Zertifikats im Blick behalten noch ein neues bestellen und auf dem Server installieren. Das übernimmt eine Software auf dem Server (der ACME-Client) für Sie.

Wie funktioniert ACME?

1. Konto anlegen: Der ACME-Client auf dem Server legt bei der Zertifizierungsstelle ein Konto an.
2. Zertifikatsanfrage: Der Client teilt mit, für welche Domains das Zertifikat ausgestellt werden soll (z. B. beispiel.de und www.beispiel.de).
3. Domainvalidierung: Die Zertifizierungsstelle verlangt einen Nachweis, dass die Domain wirklich unter Ihrer Kontrolle steht. Dafür gibt es drei Methoden:
   • HTTP-01: Im Ordner /.well-known/acme-challenge/ Ihrer Website wird eine temporäre Datei abgelegt, die die Zertifizierungsstelle über das Internet abruft. Das ist die gängigste Methode.
   • DNS-01: Im DNS der Domain wird ein temporärer TXT-Eintrag namens _acme-challenge angelegt. Wildcard-Zertifikate (*.beispiel.de) gibt es nur mit dieser Methode.
   • TLS-ALPN-01: Die Validierung erfolgt über eine spezielle TLS-Verbindung auf Port 443. Wird vor allem in Sonderkonfigurationen eingesetzt.
4. Ausstellung des Zertifikats: Ist die Validierung erfolgreich, wird das Zertifikat ausgestellt und vom Client automatisch auf dem Server installiert.
5. Automatische Verlängerung: Wenn etwa zwei Drittel der Laufzeit vergangen sind, wiederholt der Client den Vorgang von selbst.

Warum ist das jetzt so wichtig?

Im April 2025 hat das CA/Browser Forum, in dem Browserhersteller und Zertifizierungsstellen vertreten sind, einen Beschluss (SC-081v3) verabschiedet, der die maximale Laufzeit von SSL-Zertifikaten schrittweise verkürzt. Die Regel gilt für alle öffentlichen SSL-Zertifikate, kostenlos wie kostenpflichtig, einschließlich DV, OV und EV:

Auch die Dauer, für die eine Domainvalidierung wiederverwendet werden darf, sinkt nach demselben Zeitplan und beträgt 2029 nur noch 10 Tage. Zertifikate von Hand zu verlängern, wird also bald praktisch unmöglich; Automatisierung (ACME) ist keine Option mehr, sondern Pflicht.

Auch der kostenlose Zertifikatsanbieter Let's Encrypt hat seinen eigenen Zeitplan veröffentlicht: Die Standardlaufzeit, heute 90 Tage, sinkt am 10. Februar 2027 auf 64 Tage, am 16. Februar 2028 auf 45 Tage. Bei Websites mit funktionierender automatischer Verlängerung bleibt diese Änderung unbemerkt.

Wie wird ACME bei Webevi genutzt?

In den Hosting-Paketen von Webevi werden kostenlose SSL-Zertifikate per ACME automatisch bezogen und verlängert:

• In cPanel-Paketen: Die Funktion AutoSSL stellt für die Domains in Ihrem Konto automatisch Zertifikate aus und verlängert sie vor Ablauf. In cPanel sehen Sie den Status auf der Seite SSL/TLS Status.
• In Plesk-Paketen: Mit der Erweiterung Let's Encrypt (SSL It!) erhalten Sie ein Zertifikat mit einem Klick; solange „Automatisch verlängern“ aktiviert ist, erfolgt die Verlängerung von selbst.

Solange die DNS-Einträge Ihrer Domain auf die Webevi-Server zeigen, müssen Sie in der Regel nichts tun.

Warum schlägt die automatische Verlängerung fehl?

Wurde Ihr Zertifikat nicht verlängert, sind dies die häufigsten Gründe:

• Die Domain zeigt auf einen anderen Server: Wurden die DNS-Einträge geändert oder die Domain auf einen anderen Dienst umgeleitet, schlägt die Validierung fehl.
• Ein Proxy/CDN wie Cloudflare ist aktiv: Bei aktivem Proxy erreicht die Validierungsanfrage Ihren Server unter Umständen nicht. Dann müssen Sie das Zertifikat bei Cloudflare verwalten oder die Methode DNS-01 verwenden.
• .well-known Zugriff auf den Ordner ist gesperrt: .htaccess / web.config-Weiterleitungsregeln, Sicherheits-Plugins oder „Wartungsmodus“-Plugins können die Validierungsdatei blockieren.
• Ein CAA-Eintrag lässt es nicht zu: Gibt es in Ihrem DNS einen CAA-Eintrag, muss die verwendete Zertifizierungsstelle (z. B. letsencrypt.org, sectigo.com) darin aufgeführt sein.
• www oder einer Subdomain fehlt ein DNS-Eintrag: Für jeden Namen im Zertifikat muss ein gültiger DNS-Eintrag vorhanden sein.
• Die Domain ist abgelaufen oder gesperrt: In diesem Fall ist keine Validierung möglich.
• Zu viele Versuche: Zertifizierungsstellen begrenzen die Zahl der Zertifikate, die in einem bestimmten Zeitraum ausgestellt werden können. Nach mehreren Fehlversuchen müssen Sie eventuell eine Weile warten.

Häufige Fragen

Ist ein per ACME bezogenes Zertifikat kostenlos? Zertifikate von Anbietern wie Let's Encrypt sind kostenlos. ACME ist ein Protokoll; auch manche kostenpflichtige Anbieter bieten automatische Verlängerung per ACME an.

Gibt es einen Sicherheitsunterschied zwischen kostenlosen und kostenpflichtigen Zertifikaten? Bei der Verschlüsselungsstärke gibt es keinen Unterschied. Kostenpflichtige Zertifikate bieten Extras wie Organisationsvalidierung (OV/EV), Garantie (Warranty) und Support. Soll die Identität Ihres Unternehmens im Zertifikat erscheinen, kann ein kostenpflichtiges Zertifikat die bessere Wahl sein.

Kann man ein Wildcard-Zertifikat per ACME erhalten? Ja, aber nur mit der Methode DNS-01. Dafür muss Ihr DNS in einem System verwaltet werden, das den _acme-challenge-TXT-Eintrag automatisch anlegen kann (z. B. unser Hosting-Panel oder ein DNS-Anbieter mit API).

Erhalte ich eine E-Mail, bevor mein Zertifikat abläuft? Let's Encrypt verschickt seit Juni 2025 keine Erinnerungs-E-Mails zum Ablauf mehr. Deshalb ist es wichtig, sicherzustellen, dass die automatische Verlängerung funktioniert. Wenn Sie ein Problem bemerken, wenden Sie sich an unser Support-Team.

Was ist mit meinem manuell installierten kostenpflichtigen Zertifikat? Derzeit ausgestellte Zertifikate sind höchstens 200 Tage gültig; ab März 2027 sinkt dies auf 100 Tage. Wenn Sie Zertifikate manuell installieren, müssen Sie mehrmals im Jahr verlängern. Um diesen Aufwand zu verringern, empfehlen wir den Umstieg auf eine Lösung mit ACME.

Wie nutze ich ACME auf meinem eigenen Server (VDS/VPS)? Auf Linux-Servern sind Certbot oder acme.sh und auf Windows/IIS-Servern win-acme verbreitete kostenlose ACME-Clients. Nach der Installation läuft die Verlängerung automatisch als geplante Aufgabe.

Mein Zertifikat wurde nicht verlängert – was tun? Prüfen Sie zuerst, ob die DNS-Einträge Ihrer Domain auf den Webevi-Server zeigen und Ihre Website über http:// erreichbar ist. Lösen Sie dann die Verlängerung manuell in Ihrem Panel aus (cPanel: SSL/TLS Status → Run AutoSSL; Plesk: SSL It! → Renew). Besteht das Problem weiter, eröffnen Sie ein Support-Ticket und nennen Sie uns Ihre Domain.