ACME steht für „Automated Certificate Management Environment” – ein offenes Protokoll der IETF (RFC 8555), das die vollautomatische Beantragung und Verlängerung von SSL-/TLS-Zertifikaten ermöglicht. Mit der Verkürzung der Zertifikatslaufzeit auf 200 Tage ist ACME für jedes Unternehmen mit nennenswertem Domain-Portfolio zur Schlüsseltechnologie geworden. Dieser Beitrag erklärt in unter fünf Minuten, was ACME bedeutet, wie es funktioniert und welche konkreten Vorteile es bringt.
ACME ist die Abkürzung für „Automated Certificate Management Environment”. Es handelt sich um ein im RFC 8555 standardisiertes Kommunikationsprotokoll zwischen einem Client (auf der Seite des Domain-Inhabers) und einer Certificate Authority (CA). Der Zweck: die maschinelle, vollautomatische Ausstellung, Validierung und Verlängerung digitaler Zertifikate – ohne menschliches Eingreifen.
Ursprünglich entwickelt wurde ACME von der Internet Security Research Group (ISRG) im Rahmen des Let’s-Encrypt-Projekts. Inzwischen ist ACME ein offener Standard, der von zahlreichen kommerziellen und kostenlosen Zertifizierungsstellen unterstützt wird – darunter Let’s Encrypt, SSL.com, DigiCert, Sectigo, GlobalSign, Entrust, ZeroSSL und Buypass.
Der ACME-Workflow lässt sich auf fünf einfache Schritte herunterbrechen. Genau diese Standardisierung macht das Protokoll so leistungsfähig.
Schritt 1 – Account-Registrierung beim CA
Der ACME-Client erzeugt ein Schlüsselpaar und registriert sich damit bei der Zertifizierungsstelle. Dieser Account ist die dauerhafte Identität, über die später alle Zertifikatsanträge laufen.
Schritt 2 – Zertifikatsantrag (Order)
Der Client schickt eine Bestellung, in der die gewünschten Domain-Namen aufgelistet sind. Die CA antwortet mit den notwendigen Aufgaben („Authorizations”) und schlägt verschiedene Validierungsmethoden vor – die sogenannten ACME-Challenges.
Schritt 3 – Challenge-Validierung
Der Client beweist, dass er die Kontrolle über die betroffenen Domains besitzt. Üblich sind drei Validierungsverfahren:
Welche Challenge sich für welchen Anwendungsfall eignet, vertiefen wir in der Cluster-Page [ACME-Challenges erklärt].
Schritt 4 – Zertifikatsausstellung
Sobald die Challenge erfolgreich war, signiert die CA den Certificate Signing Request (CSR) des Clients und stellt das Zertifikat aus. Der Vorgang dauert in der Regel wenige Sekunden bis Minuten.
Schritt 5 – Verlängerung und Erneuerung
Lange vor Ablauf wiederholt der Client den Prozess automatisch. Das ist der entscheidende Punkt: Was bei manuellen Prozessen eine Erinnerung im Kalender erfordert, läuft mit ACME als selbstverständliche Routine.
Die wirtschaftlichen und sicherheitstechnischen Vorteile von ACME sind erheblich – und werden mit jeder weiteren Verkürzung der Zertifikatslaufzeit größer.
ACME ist heute aus drei Anwendungsfeldern nicht mehr wegzudenken.
Webhoster und Cloud-Plattformen nutzen ACME, um ihren Kunden HTTPS-Zertifikate sekundenschnell und ohne Aufpreis bereitzustellen. Unternehmens-IT automatisiert mit ACME das Lifecycle-Management großer Zertifikats-Portfolios in produktiven Web-, API- und E-Mail-Umgebungen. DevOps-Teams integrieren ACME in CI/CD-Pipelines, sodass Zertifikate genauso behandelt werden wie jeder andere Infrastrukturbestandteil – als Code, versioniert und automatisiert.
Wo ACME an Grenzen stößt, ist meist nicht das Protokoll selbst, sondern die Reife der umgebenden Infrastruktur. Hier setzt eine professionelle Managed-Lösung wie die von LEMARIT an: bestehende Heterogenität wird in einen einheitlichen, betriebsfähigen Prozess überführt.
Sie möchten wissen, welche Software-Clients ACME unterstützen? → Übersicht der wichtigsten ACME-Clients
Die Einführung von ACME in einer Unternehmensumgebung unterscheidet sich erheblich vom Setup auf einem einzelnen Webserver. Drei Punkte sind in der Praxis entscheidend:
Erstens: DNS-Reife. Die meisten Enterprise-Validierungen laufen über DNS-01. Wer kein API-fähiges, professionell betriebenes DNS hat, bekommt Probleme. Zweitens: Inventarisierung. Ohne Wissen darüber, welche Zertifikate überhaupt im Einsatz sind, lässt sich kein Automatisierungsplan aufsetzen. Drittens: CA-Strategie. Je nach Validierungsstufe (DV, OV, EV) und Branche braucht es oft mehrere CAs parallel – mit jeweils unterschiedlichen ACME-Endpoints und Geschäftsbedingungen.
Genau diese drei Punkte sind die Komplexität, die manuelle Skripte typischerweise nicht abdecken – und der Grund, warum spätestens ab 50 Zertifikaten ein Managed Service wirtschaftlich sinnvoller ist als die Eigenentwicklung.
Sie haben jetzt das Grundverständnis – die nächste Frage ist, wie ACME konkret in Ihre Unternehmensumgebung passt. Genau dabei unterstützen wir Sie.
LEMARIT betreibt automatisierte Zertifikatsverlängerung als Managed Service: CA-neutral, ISO-27001-konform und mit persönlichem Ansprechpartner.
