Let's Encrypt automatisch verlängern

Die kurze Laufzeit von Let's Encrypt Zertifikaten ist kein Bug, sondern ein Feature. Kürzere Gültigkeitszeiträume bedeuten weniger Risiko: Sollte ein Zertifikat kompromittiert werden, ist der Schaden zeitlich begrenzt. Außerdem zwingt die kurze Laufzeit zur Automatisierung - und automatisierte Prozesse sind weniger fehleranfällig als manuelle. Das SSL-Zertifikat ist nur ein Baustein der Website-Sicherheit - aber ein wichtiger.

Die Laufzeiten sinken weiter: Seit dem 13. Mai 2026 stellt Let's Encrypt über das Opt-in-Profil "tlsserver" bereits 45-Tage-Zertifikate aus. Am 10. Februar 2027 wechselt das Standard-Profil auf 64 Tage, am 16. Februar 2028 auf 45 Tage - so steht es in der offiziellen Ankündigung von Let's Encrypt. Wichtig für alle, die eigene Skripte pflegen: Let's Encrypt empfiehlt, nach etwa zwei Dritteln der Laufzeit zu erneuern - fest verdrahtete Intervalle wie "alle 60 Tage" funktionieren mit den kürzeren Laufzeiten nicht mehr. Wer bisher manuell erneuert hat, sollte spätestens jetzt auf automatische Verlängerung umstellen.

Die gute Nachricht: Bei den meisten Hosting-Anbietern ist die automatische Verlängerung bereits aktiviert. Sie müssen nur prüfen, ob sie auch funktioniert. Falls Sie einen eigenen Server betreiben, ist die Einrichtung mit Certbot ebenfalls unkompliziert.

Ob die automatische Verlängerung aktiv ist, prüfen Sie an zwei Stellen: bei Shared Hosting im Control-Panel Ihres Hosters, auf eigenen Servern mit einem Certbot-Testlauf. Beides dauert nur wenige Minuten - und ist deutlich angenehmer, als es durch die Browserwarnung Ihrer Besucher zu erfahren.

Bei Shared Hosting (All-Inkl, IONOS, Strato, etc.): Loggen Sie sich in Ihr Hosting-Control-Panel ein. Suchen Sie nach "SSL/TLS", "Let's Encrypt" oder "Sicherheit". Bei den meisten Anbietern finden Sie dort eine Option wie "Auto-Renewal" oder "Automatische Verlängerung". Ist diese aktiviert, kümmert sich der Hoster automatisch um die Erneuerung - meist 30 Tage vor Ablauf.

Bei eigenen Servern: Prüfen Sie, ob ein Cronjob für Certbot eingerichtet ist. Führen Sie folgenden Befehl aus: sudo systemctl list-timers | grep certbot. Wenn Sie einen Timer sehen, ist die automatische Erneuerung aktiv. Alternativ können Sie mit sudo certbot renew --dry-run einen Testlauf starten - dieser simuliert die Erneuerung ohne tatsächlich ein neues Zertifikat auszustellen.

Die genauen Schritte variieren je nach Hosting-Anbieter. Hier eine Übersicht für die gängigsten deutschen Hoster:

All-Inkl: Im KAS (Kunden-Administrations-System) unter "Domain" → "bearbeiten" → "SSL-Schutz". Wählen Sie "Let's Encrypt" und aktivieren Sie "automatische Verlängerung". All-Inkl erneuert Zertifikate automatisch 30 Tage vor Ablauf.

IONOS: Im Control Center unter "Domains & SSL" → SSL-Zertifikat verwalten. IONOS bietet für die meisten Pakete ein inkludiertes SSL-Zertifikat mit automatischer Verlängerung. Prüfen Sie, ob "SSL-Zertifikat" auf "Aktiv" steht.

Strato: Im Kunden-Login unter "Sicherheit" → "SSL-Zertifikate". Strato bietet Let's Encrypt für Hosting-Pakete mit automatischer Verlängerung. Falls Sie ein älteres Paket haben, müssen Sie möglicherweise auf einen neueren Tarif wechseln.

Hetzner: Bei Hetzner Webhosting ist Let's Encrypt in konsoleH verfügbar. Unter "Webhosting" → "SSL-Zertifikate" können Sie Let's Encrypt aktivieren. Die Verlängerung erfolgt automatisch.

Plesk/cPanel: Wenn Ihr Hoster Plesk oder cPanel nutzt, finden Sie die Let's Encrypt-Verwaltung unter "Security" oder "SSL/TLS". Beide Panels bieten eine Option für automatische Erneuerung.

Wenn Sie einen eigenen Server (VPS, Dedicated, Cloud) betreiben, ist Certbot das Standardwerkzeug für Let's Encrypt. Die Installation ist bei den meisten Linux-Distributionen einfach:

Installation (Debian/Ubuntu):
sudo apt update && sudo apt install certbot python3-certbot-apache
Für nginx ersetzen Sie python3-certbot-apache durch python3-certbot-nginx.

Zertifikat erstellen:
sudo certbot --apache -d beispiel.de -d www.beispiel.de
Certbot konfiguriert Apache automatisch und richtet die Weiterleitung von HTTP auf HTTPS ein.

Automatische Verlängerung aktivieren: Bei den meisten Installationen richtet Certbot automatisch einen Systemd-Timer oder Cronjob ein. Prüfen Sie das mit sudo systemctl status certbot.timer. Der Timer führt certbot renew zweimal täglich aus - Zertifikate werden aber nur erneuert, wenn ihr Erneuerungsfenster erreicht ist.

Den richtigen Zeitpunkt bestimmt inzwischen ARI: Aktuelle Certbot-Versionen fragen bei jedem Lauf die ACME Renewal Information ab - einen Endpunkt, über den Let's Encrypt dem Client ein empfohlenes Erneuerungsfenster mitteilt (RFC 9773). Der unterschätzte Vorteil: Muss Let's Encrypt Zertifikate widerrufen, verschiebt ARI das empfohlene Erneuerungsfenster nach vorne - Ihr Server erneuert daraufhin beim nächsten Prüflauf, nicht erst am regulären Termin. Details erklärt der ARI-Beitrag von Let's Encrypt - konfigurieren müssen Sie nichts, nur Certbot aktuell halten.

Manchmal funktioniert die automatische Verlängerung nicht wie erwartet. Die häufigsten Ursachen und Lösungen:

DNS-Probleme: Die Domain muss korrekt auf Ihren Server zeigen. Prüfen Sie mit dig beispiel.de oder Online-Tools wie "DNS Checker", ob die A-Records stimmen. Wenn Sie gerade Ihren Hoster gewechselt haben, prüfen Sie, ob die DNS-Einträge bereits auf den neuen Server zeigen. Wie die DNS-Propagation funktioniert und wie Sie die Wartezeit verkürzen, erkläre ich in einem eigenen Artikel. Nach DNS-Änderungen kann es je nach TTL-Einstellung Ihres DNS-Anbieters wenige Minuten bis zu 48 Stunden dauern, bis diese weltweit propagiert sind - die meisten modernen Anbieter nutzen kurze TTLs von 5 bis 60 Minuten.

Vergessener AAAA-Record: Ein Fehlerbild, das mir in der Praxis immer wieder begegnet: Die Domain hat neben dem A-Record noch einen alten AAAA-Record (IPv6), der auf einen früheren Server zeigt. Let's Encrypt bevorzugt bei der Validierung laut eigener Dokumentation immer die IPv6-Adresse - die Erneuerung schlägt dann fehl, obwohl die Website über IPv4 einwandfrei erreichbar ist. Prüfen Sie deshalb bei Fehlern auch die AAAA-Records, nicht nur die A-Records.

Zugriff blockiert: Wenn Ihre Website hinter einem CDN wie Cloudflare liegt, muss die Validierung trotzdem zum Origin-Server durchkommen. Bei Cloudflare können Sie unter "SSL/TLS" → "Edge Certificates" die automatische Erneuerung aktivieren, sodass Cloudflare sich selbst um das Zertifikat kümmert.

Rate Limits erreicht: Let's Encrypt erlaubt laut offizieller Rate-Limit-Dokumentation bis zu 50 Zertifikate pro registrierter Domain und bis zu 5 identische Zertifikate innerhalb von 7 Tagen. Wenn Sie zu viele Zertifikate angefordert haben (z.B. durch Testläufe ohne --dry-run), heißt es warten. Zwei Auswege: Testläufe immer mit --dry-run durchführen - und Erneuerungen, die über ARI koordiniert werden, sind von allen Rate Limits ausgenommen.

Webserver nicht neugestartet: Der tückischste Fall, weil certbot renew dabei Erfolg meldet: Das neue Zertifikat liegt auf der Festplatte, aber der Webserver liefert weiter das alte aus, weil er nie neu geladen wurde. Bei Certbot übernimmt das normalerweise ein Hook - prüfen Sie, ob unter /etc/letsencrypt/renewal-hooks/deploy/ ein Skript liegt, das Apache oder nginx neu lädt. Kontrollieren Sie nach der Erneuerung das Ablaufdatum im Browser.

Und richten Sie ein Monitoring ein: Let's Encrypt hat seine Ablauf-Benachrichtigungen per E-Mail zum 4. Juni 2025 eingestellt, wie das Projekt in der offiziellen Mitteilung begründet. Die einfachste Lösung für die meisten Website-Betreiber: ein Uptime-Monitoring-Dienst mit SSL-Check, der einige Tage vor Ablauf warnt.

Ausführliche Anleitungen zur Fehlerbehebung finden Sie im Ratgeber "SSL-Zertifikat Fehler beheben". Dort erkläre ich auch, wie Sie Mixed-Content-Probleme und andere HTTPS-Fehler lösen. Falls Sie lieber einen Profi ranlassen möchten: Auf meiner Website-Reparatur-Seite finden Sie alle Infos zu meinem Service.

Zuletzt aktualisiert: 6. Juli 2026  ·  Lesezeit: ca. 10 Minuten