Für den Unterricht: Was das Schloss im Browser bedeutet, warum Ausweise ablaufen und wie eine Ampeltafel aufpasst, als Foliensatz für die Klassen 4 bis 8. Ausweise mit Ablaufdatum →
Ein Zertifikat ist der Ausweis einer Website oder eines Dienstes. Es bestätigt, dass riemer.it wirklich riemer.it ist, und sorgt dafür, dass die Verbindung verschlüsselt ist. Das kleine Schloss im Browser zeigt genau das.
Wie jeder Ausweis hat auch ein Zertifikat ein Ablaufdatum. Läuft es ab, warnt der Browser alle Besucher, Apps verweigern die Verbindung, und Dienste, die miteinander reden, hören einfach auf. Das Tückische daran: Bis zu diesem Tag merkt man nichts. Ein Zertifikat geht nicht langsam kaputt. Es ist gültig, bis es plötzlich nicht mehr gültig ist.
Restlaufzeit = Ablaufdatum − heute
Es wird enger
Die Browser-Hersteller und Zertifizierungsstellen haben gemeinsam beschlossen, die Laufzeit öffentlicher Zertifikate schrittweise zu verkürzen. Je kürzer ein Ausweis gilt, desto kleiner ist der Schaden, wenn er in falsche Hände gerät.
| Zeitraum | Höchste Laufzeit |
|---|---|
| bis März 2026 | 398 Tage |
| ab März 2026 | 200 Tage |
| ab März 2027 | 100 Tage |
| ab März 2029 | 47 Tage |
Was das praktisch bedeutet, zeigt der Rechner:
// Erneuerungs-Rechner · wie oft musst du ran?
Meine zwei Regeln
1. Erneuern ist Sache der Maschine
Kein Zertifikat wird bei mir von Hand erneuert. Für öffentliche Websites gibt es dafür ein offenes Verfahren namens ACME, das zum Beispiel Let’s Encrypt nutzt. Viele Webhoster haben es eingebaut, für Dienste zu Hause übernimmt das ein vorgeschalteter Webserver oder ein Add-on in Home Assistant. Das Zertifikat wird lange vor dem Ablauf automatisch erneuert.
2. Die Automatik wird selbst überwacht
Automatik ist gut, aber sie kann still scheitern: ein geänderter DNS-Eintrag, eine Firewall-Regel, ein abgelaufenes Konto. Deshalb prüft bei mir eine zweite, unabhängige Stelle regelmäßig die Restlaufzeit jedes Zertifikats und meldet sich, wenn sie unter drei Wochen fällt. Die Erneuerung erledigt also die Automatik, und ob sie es wirklich getan hat, kontrolliert jemand anderes.
Vergiss die internen Zertifikate nicht. Nicht nur Websites haben Ausweise. Auch Dienste im eigenen Netz nutzen sie, um sich gegenseitig zu erkennen. Ein Beispiel: In Kubernetes-Clustern, die mit dem Standardwerkzeug kubeadm eingerichtet werden, gelten die internen Zertifikate ein Jahr und werden nur bei Updates oder von Hand erneuert. Solche Daten gehören genauso in die Überwachung.
Eine Seite, die alles zeigt
Zertifikate sind nur ein Glied der Kette. Bei mir zeigt eine einzige Übersichtsseite, ob alles hält:
- Erreichbarkeit und Antwortzeit jeder Website
- Restlaufzeit jedes Zertifikats
- Sicherungen: gelaufen oder nicht
- Speicherplatz, Temperatur, Updates der Geräte zu Hause
- Offene Alarme als eine einzige Zahl, die im Normalfall 0 ist
Grün heißt: hält. Rot heißt: gerissen. Und weil die Seite sich selbst meldet, weiß ich auch, dass Grün wirklich Grün bedeutet und nicht „die Überwachung ist ausgefallen“.
Ein Ablaufdatum ist das berechenbarste Problem der IT. Man weiß auf den Tag genau, wann es kommt. Es zu verpassen, ist keine Frage der Technik, sondern der Aufmerksamkeit, und Aufmerksamkeit kann man automatisieren.
Wie man einen ganzen Haushalt auf Ausfälle vorbereitet, steht in BCM für zu Hause. Wie ein Frühwarnsystem im Heimnetz funktioniert, in Ein Köder im eigenen Netz.