Was ist ACME? Bedeutung, Funktionsweise und Vorteile im Überblick

ACME steht für „Automated Certificate Management Environment“ – ein offenes Protokoll der IETF (RFC 8555), das die vollautomatische Beantragung und Verlängerung von SSL-/TLS-Zertifikaten ermöglicht. Mit der Verkürzung der Zertifikatslaufzeit auf 200 Tage ist ACME für jedes Unternehmen mit nennenswertem Domain-Portfolio zur Schlüsseltechnologie geworden. Dieser Beitrag erklärt in unter fünf Minuten, was ACME bedeutet, wie es funktioniert und welche konkreten Vorteile es bringt.

Sie kennen ACME bereits und suchen eine fertige Lösung?

Werfen Sie einen Blick auf unser automatisiertes Zertifikatsmanagement

LEMARIT Certificate Automation ansehen
Inhalte

ACME Bedeutung – die kurze Definition

ACME ist die Abkürzung für „Automated Certificate Management Environment“. Es handelt sich um ein im RFC 8555 standardisiertes Kommunikationsprotokoll zwischen einem Client (auf der Seite des Domain-Inhabers) und einer Certificate Authority (CA). Der Zweck: die maschinelle, vollautomatische Ausstellung, Validierung und Verlängerung digitaler Zertifikate – ohne menschliches Eingreifen.

Ursprünglich entwickelt wurde ACME von der Internet Security Research Group (ISRG) im Rahmen des Let’s-Encrypt-Projekts. Inzwischen ist ACME ein offener Standard, der von zahlreichen kommerziellen und kostenlosen Zertifizierungsstellen unterstützt wird – darunter Let’s Encrypt, SSL.com, DigiCert, Sectigo, GlobalSign, Entrust, ZeroSSL und Buypass.

Wie funktioniert ACME? Der Ablauf in fünf Schritten

Der ACME-Workflow lässt sich auf fünf einfache Schritte herunterbrechen. Genau diese Standardisierung macht das Protokoll so leistungsfähig.

Schritt 1 – Account-Registrierung beim CA

Der ACME-Client erzeugt ein Schlüsselpaar und registriert sich damit bei der Zertifizierungsstelle. Dieser Account ist die dauerhafte Identität, über die später alle Zertifikatsanträge laufen.

Schritt 2 – Zertifikatsantrag (Order)

Der Client schickt eine Bestellung, in der die gewünschten Domain-Namen aufgelistet sind. Die CA antwortet mit den notwendigen Aufgaben („Authorizations“) und schlägt verschiedene Validierungsmethoden vor – die sogenannten ACME-Challenges.

Schritt 3 – Challenge-Validierung

Der Client beweist, dass er die Kontrolle über die betroffenen Domains besitzt. Üblich sind drei Validierungsverfahren:

  • DNS-01 – Veröffentlichung eines speziellen TXT-Eintrags im DNS.
  • HTTP-01 – Ablage einer Token-Datei auf dem Webserver.
  • TLS-ALPN-0 – Antwort über das TLS-Protokoll auf Port 443.

Welche Challenge sich für welchen Anwendungsfall eignet, vertiefen wir in der Cluster-Page [ACME-Challenges erklärt].

Schritt 4 – Zertifikatsausstellung

Sobald die Challenge erfolgreich war, signiert die CA den Certificate Signing Request (CSR) des Clients und stellt das Zertifikat aus. Der Vorgang dauert in der Regel wenige Sekunden bis Minuten.

Schritt 5 – Verlängerung und Erneuerung

Lange vor Ablauf wiederholt der Client den Prozess automatisch. Das ist der entscheidende Punkt: Was bei manuellen Prozessen eine Erinnerung im Kalender erfordert, läuft mit ACME als selbstverständliche Routine.

Welche Vorteile bietet ACME konkret?

Die wirtschaftlichen und sicherheitstechnischen Vorteile von ACME sind erheblich – und werden mit jeder weiteren Verkürzung der Zertifikatslaufzeit größer.

Operative Effizienz

Manuelle Beantragung, Validierung und Installation von Zertifikaten benötigt erfahrungsgemäß 30 Minuten bis mehrere Stunden je Zertifikat. Mit ACME sinkt der wiederkehrende Aufwand pro Renewal auf nahezu null – die Bearbeitung läuft im Hintergrund.

Reduziertes Ausfallrisiko

Ein Großteil aller produktionsrelevanten TLS-Ausfälle entsteht durch schlicht vergessene oder zu spät bearbeitete Verlängerungen. Ein korrekt eingerichteter ACME-Workflow eliminiert diese Fehlerquelle nahezu vollständig, weil Erneuerungen automatisch und mit ausreichendem Vorlauf laufen.

Skalierbarkeit auf 200, 100, 47 Tage

Mit der schrittweisen Verkürzung der Zertifikatslaufzeit – aktuell 200 Tage, geplant rund 100 Tage und später etwa 47 Tage – wird ACME nicht nur sinnvoll, sondern unverzichtbar. Manuelle Prozesse skalieren mit diesen Zyklen nicht mehr.

Sicherheitsvorteile

Häufigere Schlüsselrotation reduziert das Schadenspotenzial kompromittierter privater Schlüssel. ACME erlaubt es, neue Schlüssel routinemäßig bei jedem Renewal zu generieren – ein erheblicher Sicherheitsgewinn gegenüber manuellen Prozessen, in denen Schlüssel oft jahrelang unverändert in Umlauf bleiben.

Audit- und Compliance-Tauglichkeit

ACME-Prozesse erzeugen automatisch lückenlose Logs – ein klarer Vorteil gegenüber Tabellen-basiertem Zertifikatsmanagement. Für Anforderungen aus ISO 27001, NIS2, DORA, PCI DSS oder TISAX ist das ein Pluspunkt im Audit.

Herstellerunabhängigkeit

Da ACME ein offener Standard ist, sind Sie nicht an eine bestimmte CA gebunden. Sie können Anbieter wechseln, ohne Ihre Automatisierung neu aufzubauen – das schützt vor Vendor-Lock-in.

Wer nutzt ACME – und wofür?

ACME ist heute aus drei Anwendungsfeldern nicht mehr wegzudenken.

Webhoster und Cloud-Plattformen nutzen ACME, um ihren Kunden HTTPS-Zertifikate sekundenschnell und ohne Aufpreis bereitzustellen. Unternehmens-IT automatisiert mit ACME das Lifecycle-Management großer Zertifikats-Portfolios in produktiven Web-, API- und E-Mail-Umgebungen. DevOps-Teams integrieren ACME in CI/CD-Pipelines, sodass Zertifikate genauso behandelt werden wie jeder andere Infrastrukturbestandteil – als Code, versioniert und automatisiert.

Wo ACME an Grenzen stößt, ist meist nicht das Protokoll selbst, sondern die Reife der umgebenden Infrastruktur. Hier setzt eine professionelle Plattform wie LEMARIT Certificate Automation an: bestehende Heterogenität wird über vier Integrations-Modelle (ACME direkt, REST-API, DNS-Provider-Modus oder reine DCV) in einen einheitlichen, betriebsfähigen Prozess überführt – ohne dass Sie Ihre Endsysteme umbauen müssen.

Sie möchten wissen, welche Software-Clients ACME unterstützen? → Übersicht der wichtigsten ACME-Clients

ACME im Unternehmen einführen – worauf kommt es an?

Die Einführung von ACME in einer Unternehmensumgebung unterscheidet sich erheblich vom Setup auf einem einzelnen Webserver. Drei Punkte sind in der Praxis entscheidend:

Erstens: DNS-Reife. Die meisten Enterprise-Validierungen laufen über DNS-01. Wer kein API-fähiges, professionell betriebenes DNS hat, bekommt Probleme. Zweitens: Inventarisierung. Ohne Wissen darüber, welche Zertifikate überhaupt im Einsatz sind, lässt sich kein Automatisierungsplan aufsetzen. Drittens: CA-Strategie. Je nach Validierungsstufe (DV, OV, EV) und Branche braucht es oft mehrere CAs parallel – mit jeweils unterschiedlichen ACME-Endpoints und Geschäftsbedingungen.

Genau diese drei Punkte sind die Komplexität, die manuelle Skripte typischerweise nicht abdecken – und der Grund, warum spätestens ab 50 Zertifikaten ein Managed Service wirtschaftlich sinnvoller ist als die Eigenentwicklung.

SSL-Zertifikate automatisch verlängern

Häufige Fragen (FAQ) zu ACME

Was bedeutet ACME?

ACME steht für „Automated Certificate Management Environment“ und bezeichnet das in RFC 8555 standardisierte Protokoll der IETF zur vollautomatischen Ausstellung und Verlängerung von SSL-/TLS-Zertifikaten. Es regelt die Kommunikation zwischen einem Client beim Domain-Inhaber und einer Certificate Authority.
ACME-basierte Zertifikate funktionieren technisch identisch zu klassisch ausgestellten SSL-/TLS-Zertifikaten – sie sind genauso vertrauenswürdig und werden von allen gängigen Browsern akzeptiert. Der Unterschied liegt ausschließlich im Ausstellungsprozess: Statt manueller Beantragung läuft die gesamte Bestellung, Validierung und Erneuerung automatisiert über das ACME-Protokoll.
Sie kombinieren das volle Browser-Vertrauen klassischer Zertifikate mit den Effizienz- und Sicherheitsvorteilen automatisierter Prozesse. Konkret: nahezu null operativer Aufwand pro Renewal, deutlich reduziertes Ausfallrisiko, häufigere Schlüsselrotation, automatische Audit-Trails und volle Skalierbarkeit auf zukünftige Laufzeitverkürzungen.
Ja. ACME ist ein IETF-Standard, der von einer großen Community begutachtet wurde. Die zugrundeliegende Kryptographie basiert auf etablierten Verfahren. In der Praxis ist ein korrekt implementierter ACME-Workflow sicherer als manuelle Prozesse, weil er menschliche Fehler – insbesondere vergessene Verlängerungen und veraltete Schlüssel – eliminiert.
Das ACME-Protokoll selbst ist kostenlos und offen. Kosten entstehen je nach gewählter Certificate Authority: Let’s Encrypt, ZeroSSL und Buypass bieten kostenlose DV-Zertifikate per ACME. Kommerzielle Anbieter wie SSL.com, DigiCert, Sectigo oder GlobalSign bieten OV- und EV-Zertifikate gegen Gebühr – ebenfalls per ACME. Mehr dazu im Anbieter-Vergleich.
Für kleine Setups (ein bis zwei Server) reicht ein ACME-Client wie Certbot in Verbindung mit der Standard-Dokumentation. Für Enterprise-Umgebungen mit vielen Domains, mehreren CAs und produktiven Anwendungen ist eine professionelle Plattform in der Regel die wirtschaftlich sinnvollere Wahl. LEMARIT Certificate Automation bietet hier eine Zertifikatsautomatisierungs-Plattform mit ACME-Endpoint und entwicklerfreundlicher REST-API.

Für Linux-Webserver ist Certbot der Klassiker, acme.sh die flexibelste Variante. Für Kubernetes-Cluster ist cert-manager der etablierte Standard. Für Windows-Umgebungen ist win-acme verbreitet, für Go-basierte Setups lego. Reverse Proxies wie Caddy und Traefik bringen ACME bereits integriert mit. Eine ausführliche Übersicht finden Sie hier: ACME-Clients im Überblick.

Vom Verstehen zum Umsetzen

Sie haben jetzt das Grundverständnis – die nächste Frage ist, wie ACME konkret in Ihre Unternehmensumgebung passt.

LEMARIT Certificate Automation ist die Zertifikatsautomatisierungs-Plattform für genau diese Fragestellung: ein Single Point of Contact für alle ACME-Clients in Ihrer Umgebung, ergänzt um eine entwicklerfreundliche REST-API für Setups ohne ACME.

Die Auswahl der Partner-CA steuern Sie zentral im WebUI der LEMARIT.app – ISO-27001-konform, Hosted in Germany, mit persönlichem Ansprechpartner.

LEMARIT Certificate Automation ansehen
©SARIPICTURE Sarah Domandl LEMARIT Stockfotos 0398 20260219

Weiterführende Inhalte

SSL-Zertifikate automatisch verlängern

ACME-Challenges erklärt: DNS-01, HTTP-01 und TLS-ALPN-01

ACME-Anbieter im Vergleich: Let’s Encrypt, SSL.com, Cloudflare & Co.

Die wichtigsten ACME-Clients im Überblick

ACME einrichten: Schritt-für-Schritt-Anleitung

Close
Suchen