{"id":13550,"date":"2026-07-08T14:48:49","date_gmt":"2026-07-08T12:48:49","guid":{"rendered":"https:\/\/lemarit.com\/?p=13550"},"modified":"2026-07-08T14:48:49","modified_gmt":"2026-07-08T12:48:49","slug":"lemarit-confirmed-as-a-pre-evaluated-registry-service-provider-and-dnssec-provider-5","status":"publish","type":"post","link":"https:\/\/lemarit.com\/en\/insights\/lemarit-confirmed-as-a-pre-evaluated-registry-service-provider-and-dnssec-provider-5\/","title":{"rendered":"LEMARIT confirmed as a pre-evaluated Registry Service Provider and DNSSEC Provider"},"content":{"rendered":"\n

In rund hundert Tagen \u00e4ndern sich die Spielregeln f\u00fcr SSL- und TLS-Zertifikate<\/a> sp\u00fcrbar. Ab dem 1. Oktober 2026 greift die sogenannte 200-Tage-Regel \u2013 und mit ihr eine Routine, die in vielen Unternehmen erst noch aufgebaut werden muss. Wer heute nur die n\u00e4chsten Renewals plant, \u00fcbersieht die eigentliche Aufgabe: Es geht nicht darum, eine k\u00fcrzere Laufzeit einmalig zu akzeptieren, sondern darum, einen Prozess aufzusetzen, der in den kommenden Jahren noch deutlich schneller takten muss.<\/p>\n\n

Was sich am 1. Oktober f\u00fcr Ihre SSL-Zertifikate \u00e4ndert<\/h2>\n\n

Die Entscheidung stammt vom CA\/Browser Forum, der ma\u00dfgeblichen Instanz f\u00fcr \u00f6ffentlich vertrauensw\u00fcrdige Zertifikate. Bereits seit M\u00e4rz 2026 d\u00fcrfen neu ausgestellte SSL-Zertifikate h\u00f6chstens 200 Tage g\u00fcltig sein<\/a>. Der 1. Oktober ist der praktische Wendepunkt: An diesem Tag laufen die ersten Zertifikate aus der alten Welt \u2013 mit der vertrauten Jahres-Laufzeit \u2013 aus und m\u00fcssen durch die neue, k\u00fcrzere Variante ersetzt werden. Aus dem Stichtag wird damit ein Dauerzustand.<\/p>\n\n

Die Folgen f\u00fcr den Betrieb sind erheblich. Bislang war ein SSL-Zertifikat eine Aufgabe f\u00fcr einmal im Jahr \u2013 beantragen, einbauen, im Kalender den n\u00e4chsten Eintrag setzen. Mit der neuen Regel kommt schon im selben Kalenderjahr eine zweite Erneuerung dazu. Und damit endet die Verk\u00fcrzung nicht: Im Fr\u00fchjahr 2027 sinkt die Laufzeit erneut, zwei Jahre sp\u00e4ter noch einmal deutlich. Wer heute hundert Zertifikate betreut, hat in wenigen Jahren ein Vielfaches an Renewals zu koordinieren. Genau diese Skalierungsfrage \u2013 und nicht der Stichtag selbst \u2013 ist die eigentliche strategische Entscheidung der kommenden Monate.<\/p>\n\n

Drei Vorbereitungsst\u00e4nde, die wir aktuell in der Beratung sehen<\/h2>\n\n

In den vergangenen Monaten haben wir mit vielen unserer Kunden \u00fcber genau diese Frage gesprochen. Aus diesen Gespr\u00e4chen kristallisieren sich drei Reifegrade heraus \u2013 mit einer Verteilung, die uns immer wieder begegnet.<\/p>\n\n

Vorbereitet<\/strong>Diese Unternehmen haben das Thema schon seit 2024 strategisch behandelt. Sie betreiben eine zentrale Zertifikats-Plattform, nutzen das ACME-Protokoll<\/a> f\u00fcr die operative Erneuerung und haben das DCV-Zonen-Konzept<\/a> architektonisch verankert. F\u00fcr sie ist der 1. Oktober kein Stichtag, sondern ein Routine-Datum.<\/p>\n\n

Halb vorbereitet<\/strong>Hier gibt es eine ACME-Automatisierung f\u00fcr die Standard-Workloads, oft mit Certbot oder cert-manager<\/a>. Aber das Zertifikats-Portfolio ist heterogen: Legacy-Anwendungen, Hardware-Appliances, Multi-CA-Anforderungen<\/a> f\u00fcr OV- und EV-Zertifikate, dazu Excel-Listen als Inventar. Diese Unternehmen werden den 1. Oktober \u00fcberstehen \u2013 aber jeder weitere Verk\u00fcrzungsschritt erh\u00f6ht den Druck, weil die manuelle Restmenge in den n\u00e4chsten zwei Jahren strukturell zum Problem wird.<\/p>\n\n

Nicht vorbereitet<\/strong>Diese Gruppe verwaltet ihre Zertifikate weiterhin in einem Excel-Sheet, mit Kalender-Erinnerungen und individueller Beantragung pro Webserver. Solange jede Erneuerung nur einmal j\u00e4hrlich anstand, war das anstrengend, aber machbar. Mit der Verdopplung der Frequenz ab Oktober und der weiteren Verdopplung ab 2027 ist diese Arbeitsweise an einem Punkt, an dem ein einziger Krankheitsausfall der zust\u00e4ndigen Person zu produktiven Vorf\u00e4llen f\u00fchren kann.<\/p>\n\n

Die 100-Tage-SSL-Checkliste<\/h2>\n\n

Wer aktuell zwischen den Reifegraden zwei und drei steht, kann in den verbleibenden gut hundert Tagen die wichtigsten Weichen noch stellen. Sechs Schritte sind aus unserer Beratungspraxis entscheidend \u2013 die ersten vier lassen sich realistisch noch vor dem 1. Oktober erledigen, die letzten beiden geh\u00f6ren zur Konsolidierung im vierten Quartal.<\/p>\n\n

<\/div><\/div>
\n

1) Vollst\u00e4ndige Inventarisierung<\/strong>Ohne belastbare Zahlen zur eigenen Zertifikats-Landschaft l\u00e4sst sich kein Automatisierungsplan aufsetzen. Wie viele Zertifikate sind im Einsatz? Welche Certificate Authorities<\/a> sind beteiligt? Welche Validierungsstufen werden gebraucht? Welche Systeme k\u00f6nnen ACME, welche brauchen eine API-Anbindung, welche bleiben vorerst manuell? Diese Fragen beantwortet man nicht in einer Woche \u2013 aber in hundert Tagen mit fokussiertem Vorgehen.<\/p>\n\n\n\n

2) Kl\u00e4rung der DNS-Reife<\/strong>Die Mehrheit der Validierungen in Unternehmensumgebungen l\u00e4uft \u00fcber die DNS-01-Challenge<\/a>. Sie setzt voraus, dass der Validierungs-Pfad sicher und automatisierbar ist. Wer hier noch mit manuellen DNS-\u00c4nderungen arbeitet, sollte sp\u00e4testens jetzt das CNAME-Delegations-Modell pr\u00fcfen \u2013 das DCV-Zonen-Konzept entkoppelt die Validierung von der produktiven DNS-Zone und neutralisiert den gr\u00f6\u00dften Angriffsvektor.<\/p>\n\n\n\n

3) CA-Strategie definieren<\/strong>Wer mit mehreren Certificate Authorities arbeitet oder arbeiten muss, sollte die Abh\u00e4ngigkeit von einer einzigen CA bewusst aufl\u00f6sen. Die vergangenen Jahre haben mehrfach gezeigt, dass auch gro\u00dfe CAs binnen Tagen Vertrauen verlieren k\u00f6nnen. Eine Multi-CA-f\u00e4hige Plattform-Architektur ist die einzige Antwort, die ohne Endsystem-Anpassungen einen kurzfristigen Wechsel erlaubt.<\/p>\n\n\n\n

4) Renewal-Pufferzeiten neu kalkulieren<\/strong>Mit einer Laufzeit von 200 Tagen sind die fr\u00fcher \u00fcblichen 30 Tage Vorlauf bis zum Ablauf zu knapp \u2013 ein verpasstes Wartungsfenster, eine fehlgeschlagene Challenge, ein Wochenende dazwischen, und der Puffer ist aufgebraucht. Wir empfehlen, die Erneuerung sp\u00e4testens 45 bis 60 Tage vor Ablauf anzusto\u00dfen und das Monitoring auf diese neue Schwelle umzustellen.<\/p>\n\n\n\n

5) Verantwortlichkeiten pro Zertifikat kl\u00e4ren<\/strong>In den meisten Unternehmen, die wir beraten, gibt es keine eindeutige Owner-Zuordnung. Wer ist verantwortlich, wenn das SSL-Zertifikat f\u00fcr die Lohnabrechnungs-Anwendung ausl\u00e4uft? Wer reagiert, wenn ein Renewal scheitert? Solche Fragen lassen sich in der ruhigen Vorbereitungsphase kl\u00e4ren \u2013 im Vorfall erzeugen sie unn\u00f6tige Reibung.<\/p>\n\n\n\n

6) Eskalations- und Alerting-Konzept<\/strong>Bei sechs oder mehr Renewals pro Jahr und Zertifikat wird jeder einzelne Ausfall zum potenziellen Produktivvorfall. Standard-Clients<\/a> liefern lokale Fehlerprotokolle, aber kein systemweites Alerting. Ein zentraler Monitoring-Punkt mit definierten Eskalationspfaden ist keine Option mehr, sondern Voraussetzung \u2013 idealerweise direkt mit dem bestehenden ITSM-Tooling verkn\u00fcpft.<\/p>\n<\/div><\/div>\n\n

<\/p>\n\n

<\/div><\/div>
\n

Sie wollen die Checkliste nicht alleine durchgehen?<\/h3>\n\n\n\n

In einem 30-min\u00fctigen Erstgespr\u00e4ch ordnen wir gemeinsam ein, wo Ihr Unternehmen auf der 100-Tage-Skala steht, welche der sechs Punkte f\u00fcr Sie Priorit\u00e4t haben und wo eine Plattform-L\u00f6sung den Aufwand am st\u00e4rksten reduziert. Konkret, auf Ihre Umgebung bezogen, ohne Verkaufsdruck.<\/p>\n\n\n\n

\n
Beratungstermin vereinbaren<\/a><\/div>\n<\/div>\n<\/div><\/div>\n\n

<\/p>\n\n

Nach Oktober ist vor M\u00e4rz 2027<\/h2>\n\n

Wer den 1. Oktober als isoliertes Ereignis behandelt, \u00fcbersieht den eigentlichen Sinn dieser Frist. Die 200-Tage-Regel ist nicht der Endpunkt, sondern der zweite Schritt einer geplanten Verk\u00fcrzungskette: Im Fr\u00fchjahr 2027 folgt die n\u00e4chste Stufe, zwei Jahre sp\u00e4ter noch eine weitere. Parallel dazu kommt mit Post-Quantum-Kryptographie eine zus\u00e4tzliche Anforderung, auf die etablierte Certificate Authorities bereits Migrationspfade vorbereiten.<\/p>\n\n

Diese Kette zeigt: Wer im Oktober 2026 nur eine punktuelle Anpassung vornimmt, baut Prozesse, die schon im Folgejahr wieder nachjustiert werden m\u00fcssen. Wer dagegen jetzt eine Architektur einf\u00fchrt, die mit der absehbaren Frequenzverdopplung mitw\u00e4chst, hat in zwei Jahren einen entscheidenden Vorsprung. Die Wahl zwischen Eigenbau und Plattform-L\u00f6sung ist damit keine reine Tool-Entscheidung mehr, sondern eine strategische.<\/p>\n\n

Eine ausf\u00fchrlichere \u00dcbersicht \u00fcber alle Bausteine \u2013 vom Protokoll \u00fcber die Challenges bis zu den Clients \u2013 finden Sie in unserem Themen-Hub zur SSL-Zertifikats-Verl\u00e4ngerung<\/a>.<\/p>\n\n

Was LEMARIT f\u00fcr die n\u00e4chsten hundert Tage anbietet<\/h2>\n\n

Die LEMARIT Certificate Automation<\/a> wurde f\u00fcr genau dieses Szenario entwickelt: eine Plattform-Architektur, die ACME-Endpoints und REST-APIs vereint, das DCV-Zonen-Konzept strukturell erzwingt und Multi-CA-Orchestrierung \u00fcber ein zentrales WebUI erm\u00f6glicht. Hosted in Germany, ISO-27001-konform, mit pers\u00f6nlichem Ansprechpartner statt internationalem Ticket-System.<\/p>\n\n

Wenn Sie aktuell zu den halb vorbereiteten Unternehmen geh\u00f6ren, ist jetzt der Zeitpunkt, die verbleibende Zeit bis Oktober strategisch zu nutzen. Wenn Sie noch in der Inventarisierungs-Phase sind, hilft ein erstes Beratungsgespr\u00e4ch dabei, die wichtigsten Weichen rechtzeitig zu stellen.<\/p>\n\n

\n
LEMARIT Certificate Automation kennenlernen<\/a><\/div>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

In rund hundert Tagen \u00e4ndern sich die Spielregeln f\u00fcr SSL- und TLS-Zertifikate sp\u00fcrbar. Ab dem 1. Oktober 2026 greift die sogenannte 200-Tage-Regel \u2013 und mit ihr eine Routine, die in vielen Unternehmen erst noch aufgebaut werden muss. Wer heute nur die n\u00e4chsten Renewals plant, \u00fcbersieht die eigentliche Aufgabe: Es geht nicht darum, eine k\u00fcrzere Laufzeit […]<\/p>\n","protected":false},"author":2,"featured_media":13553,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"content-type":"","footnotes":""},"categories":[67,14,3],"tags":[],"class_list":["post-13550","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-corporate-domain-services","category-corporate-news","category-registry-dotbrand","grve-entry-item","grve-blog-item"],"_links":{"self":[{"href":"https:\/\/lemarit.com\/en\/wp-json\/wp\/v2\/posts\/13550","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/lemarit.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/lemarit.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/lemarit.com\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/lemarit.com\/en\/wp-json\/wp\/v2\/comments?post=13550"}],"version-history":[{"count":1,"href":"https:\/\/lemarit.com\/en\/wp-json\/wp\/v2\/posts\/13550\/revisions"}],"predecessor-version":[{"id":13551,"href":"https:\/\/lemarit.com\/en\/wp-json\/wp\/v2\/posts\/13550\/revisions\/13551"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/lemarit.com\/en\/wp-json\/wp\/v2\/media\/13553"}],"wp:attachment":[{"href":"https:\/\/lemarit.com\/en\/wp-json\/wp\/v2\/media?parent=13550"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/lemarit.com\/en\/wp-json\/wp\/v2\/categories?post=13550"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/lemarit.com\/en\/wp-json\/wp\/v2\/tags?post=13550"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}