TLS-Zertifikate von Hand? Damit ist 2026 Schluss
Handarbeit bei TLS-Zertifikaten wird überflüssig. Der AWS Certificate Manager spricht seit Juli 2026 ACME, was Kubernetes-Teams jetzt einrichten sollten.
Ein abgelaufenes TLS-Zertifikat legt eine Webseite genauso lahm wie ein Serverausfall, nur peinlicher, weil es vermeidbar war. Seit Juli 2026 unterstützt der AWS Certificate Manager das ACME-Protokoll für öffentliche Zertifikate. Damit schließt AWS eine Lücke, die Let’s Encrypt seit Jahren besetzt. Handarbeit bei Zertifikaten wird endgültig überflüssig.
Das Wichtigste in Kürze
- ACME bei AWS. Der AWS Certificate Manager stellt seit Juli 2026 öffentliche Zertifikate über ACME aus und erneuert sie automatisch.
- 45 Tage Laufzeit. Die neuen Zertifikate gelten 45 Tage. Das CA/Browser Forum macht kurze Laufzeiten zum Standard.
- Kubernetes läuft automatisch. Der Erneuerungs-Workflow greift über den Cert-Manager, Handarbeit entfällt.
- Konsolidierung im Mittelstand. Wer stark auf AWS setzt, verwaltet öffentliche und interne Zertifikate über einen Weg.
Was jetzt konkret geht
Der Certificate Manager stellt einen vollständig verwalteten ACME-Endpunkt bereit, der öffentliche TLS-Zertifikate von Amazon Trust Services ausgibt. Anfordern und Erneuern läuft automatisch über jeden ACMEv2-fähigen Client. Das schließt die üblichen Werkzeuge ein: Certbot für klassische Server, cert-manager für Kubernetes und acme.sh für schlanke Setups. Verfügbar ist die Funktion in allen kommerziellen AWS-Regionen.
Der entscheidende Unterschied zu bisherigen ACM-Zertifikaten liegt im Workflow. Früher waren ACM-Zertifikate eng an AWS-Dienste wie den Load Balancer gebunden. Über ACME lassen sich die Zertifikate jetzt auf jeder Arbeitslast einsetzen, auch außerhalb des AWS-Ökosystems, mit demselben Automatismus, den Admins von Let’s Encrypt kennen.
Warum kurze Laufzeiten alles verändern
Die über ACME ausgestellten Zertifikate sind 45 Tage gültig, deutlich kürzer als die bisher üblichen Laufzeiten. Das ist bewusste Vorbereitung auf eine Branchenwende. Das CA/Browser Forum hat beschlossen, die maximale Gültigkeit öffentlicher Zertifikate bis 2029 auf 47 Tage zu senken, von zuvor 398 Tagen. Die erste Stufe dieser Verkürzung gilt bereits seit März 2026.
Der Effekt ist simpel und unerbittlich. Ein Zertifikat, das alle paar Wochen abläuft, lässt sich nicht mehr von Hand pflegen. Wer 2026 noch Kalendererinnerungen für Zertifikatserneuerungen nutzt, wird die Verkürzung nicht überleben, ohne dass irgendwann eine wichtige Seite mit Zertifikatsfehler ausfällt. Automatisierung ist keine Kür mehr, sie ist Pflicht.
Der Workflow für Kubernetes-Teams
Wer auf Kubernetes setzt, kennt cert-manager als Standard für Zertifikatsverwaltung. Mit dem ACME-Endpunkt von ACM lässt sich Amazon Trust Services als Aussteller einbinden, ohne den gewohnten Ablauf zu ändern. Ein Issuer wird konfiguriert, cert-manager fordert die Zertifikate an, erneuert sie automatisch vor Ablauf und legt sie als Secret ab. Das Team merkt von den 45 Tagen nichts, weil die Erneuerung im Hintergrund läuft.
Der praktische Gewinn liegt in der Konsolidierung. Wer bisher Let’s Encrypt für öffentliche Zertifikate und ACM für interne AWS-Dienste parallel betrieb, kann beides über einen Weg abwickeln. Weniger Werkzeuge bedeuten weniger Fehlerquellen und weniger Wissen, das an einzelnen Personen hängt.
Was ein Mittelstands-Team einrichten sollte
Der erste Schritt ist eine Inventur der Zertifikate. Welche öffentlichen Zertifikate sind im Einsatz, wo laufen sie, wer erneuert sie heute? Erstaunlich oft steckt die Antwort in einem Kopf statt in einem System. Genau diese stille Abhängigkeit ist das Risiko, wenn Laufzeiten kürzer werden.
Danach folgt die Umstellung auf einen automatisierten Aussteller. Für Kubernetes ist das cert-manager mit dem ACM-ACME-Endpunkt, für klassische Server Certbot oder acme.sh. Wichtig ist, die Erneuerung zu überwachen und einen Alarm zu setzen, falls sie einmal scheitert. Automatisierung ohne Monitoring verschiebt das Problem nur, statt es zu lösen.
Ein Standard setzt sich durch
Dass AWS als letzter großer Anbieter auf ACME setzt, ist weniger ein Nachzügler-Eingeständnis als ein Signal. ACME ist als Protokoll etabliert, herstellerübergreifend und gut verstanden. Wer heute Zertifikate automatisiert, sollte auf diesen Standard setzen und nicht auf proprietäre Wege, die morgen wieder umgestellt werden müssen.
Die Verkürzung der Laufzeiten macht das Thema für jeden verbindlich, der eine Webseite oder eine API betreibt. Die gute Nachricht: Die Werkzeuge sind reif, kostenlos verfügbar und in einem Nachmittag eingerichtet. Es gibt keinen guten Grund mehr, Zertifikate von Hand zu pflegen.
Häufige Fragen
Was ist das ACME-Protokoll?
ACME steht für Automatic Certificate Management Environment und ist ein standardisiertes Protokoll, mit dem TLS-Zertifikate automatisch angefordert, validiert und erneuert werden. Bekannt wurde es durch Let’s Encrypt. Seit Juli 2026 unterstützt auch der AWS Certificate Manager ACME für öffentliche Zertifikate.
Wie lange sind die ACME-Zertifikate von ACM gültig?
Die über den ACME-Endpunkt ausgestellten Zertifikate sind 45 Tage gültig. Das ist kürzer als bei bisherigen ACM-Zertifikaten und passt zur Branchenvorgabe, die die maximale Laufzeit öffentlicher Zertifikate bis 2029 auf 47 Tage senkt.
Welche Clients funktionieren mit dem ACM-ACME-Endpunkt?
Jeder ACMEv2-kompatible Client. In der Praxis sind das vor allem Certbot für klassische Server, cert-manager für Kubernetes und acme.sh für schlanke Umgebungen. Die Funktion ist in allen kommerziellen AWS-Regionen verfügbar.
Warum werden Zertifikatslaufzeiten überhaupt verkürzt?
Kürzere Laufzeiten begrenzen den Schaden bei einem kompromittierten privaten Schlüssel und erzwingen saubere Automatisierung. Das CA/Browser Forum hat die maximale Gültigkeit von 398 Tagen schrittweise auf 47 Tage bis 2029 gesenkt, die erste Stufe gilt seit März 2026.
Muss ich von Let’s Encrypt zu ACM wechseln?
Nein, es ist eine freiwillige Option. Der Vorteil liegt in der Konsolidierung, wenn Sie ohnehin stark auf AWS setzen und öffentliche wie interne Zertifikate über einen Weg verwalten wollen. Beide nutzen dasselbe ACME-Protokoll, der Wechsel ist deshalb technisch unkompliziert.
Lesetipps der Redaktion
cloudmagazinKRITIS in die Cloud: Was die Migration absichertcloudmagazinWas das Cilium-Upgrade im Cluster kappen kanncloudmagazinKubernetes als KI-Default-OS: Cluster als Compliance-FrageMehr aus dem MBF Media Netzwerk
MyBusinessFutureWenn jede Bestellmail von Hand ins ERP wandertDigital ChiefsNIS2-Organhaftung greift trotz RegistrierungSecurityTodayWas ist Post-Quantum-Kryptografie? Definition und StandardsBildquelle: KI-generiert (Juli 2026)
