Was ist Let's Encrypt?

Einfach erklärt

Let's Encrypt ist eine Zertifizierungsstelle, die Zertifikate für Websites kostenlos ausstellt. Betrieben wird sie von der gemeinnützigen Internet Security Research Group (ISRG). Das Besondere ist die Automatik: Statt ein Zertifikat zu kaufen und von Hand einzuspielen, beantragt ein kleines Programm auf dem Server das Zertifikat selbst. Es weist nach, dass die Domain zum Server gehört, spielt das Zertifikat ein und erneuert es rechtzeitig vor dem Ablauf. Man kann es sich wie ein Abo für den Ausweis Ihrer Website vorstellen, das sich selbst verlängert.

Was das für Ihren Betrieb bedeutet

Bietet Ihr Hoster ein kostenloses Zertifikat an, kann Let's Encrypt dahinterstecken. Im Browser sehen Sie das in den Zertifikatsdetails unter „Ausgestellt von“.

Die Zertifikate gelten heute standardmäßig 90 Tage. Let's Encrypt verkürzt das schrittweise: ab Februar 2027 auf 64 Tage, ab Februar 2028 auf 45 Tage. Das geht nur gut, wenn die Verlängerung automatisch läuft. Erinnerungsmails vor dem Ablauf verschickt Let's Encrypt seit Juni 2025 nicht mehr. Ob die Verlängerung klappt, muss also jemand anderes im Blick haben.

Was Sie tun können

Fragen Sie die Firma, die Ihre Website betreut:

• Läuft die Verlängerung automatisch, auch für alle Adressen mit und ohne „www“?
• Ist sie schon auf die kürzeren Laufzeiten eingestellt?
• Gibt es ein Monitoring, das vor dem Ablauf warnt?

Was Let's Encrypt nicht bietet

Let's Encrypt bestätigt nur, dass jemand die Domain kontrolliert. Welche Firma dahintersteht, prüft es nicht. Zertifikate mit geprüftem Firmennamen gibt es dort nicht. Für die Verschlüsselung macht das keinen Unterschied.

ACME

Let's Encrypt stellt ausschließlich domainvalidierte Zertifikate (DV) aus, über das Protokoll ACME nach RFC 8555. Den Ablauf übernimmt ein ACME-Client, etwa Certbot, acme.sh oder die eingebaute Unterstützung in Webservern wie Caddy. Er legt ein Konto an, bestellt ein Zertifikat für eine Liste von Namen und besteht je Name eine Challenge:

Laufzeiten und Profile

Der Zeitplan laut Let's Encrypt:

• bisher: 90 Tage im Standardprofil classic, Wiederverwendung der Validierung 30 Tage,
• 13. Mai 2026: wählbares Profil tlsserver mit 45 Tagen,
• 10. Februar 2027: classic mit 64 Tagen, Wiederverwendung 10 Tage,
• 16. Februar 2028: classic mit 45 Tagen, Wiederverwendung 7 Stunden.

Daneben gibt es das Profil shortlived mit sechs Tagen. Ein fester Rhythmus wie „alle 60 Tage“ reicht damit nicht mehr. Let's Encrypt empfiehlt ACME Renewal Information (ARI, RFC 9773): Der Server teilt dem Client mit, wann er erneuern soll. Ohne ARI gilt als Faustregel, nach etwa zwei Dritteln der Laufzeit zu erneuern.

Typische Fehler

• Port 80 gesperrt oder der Pfad /.well-known/acme-challenge/ wird an eine Anwendung durchgereicht, die ihn nicht kennt. HTTP-01 scheitert.
• Wildcard über HTTP-01 versucht. Wildcards gehen nur mit DNS-01. Für die Automatik braucht der Client dann Schreibzugriff auf die DNS-Zone, etwa über eine API des DNS-Anbieters.
• Ratenbegrenzung erreicht. Erlaubt sind höchstens 50 Zertifikate je registrierter Domain und 5 Zertifikate mit derselben Namensliste, jeweils in 7 Tagen. Wer bei der Fehlersuche wiederholt ausstellt, landet schnell im Limit. Zum Testen gibt es eine Staging-Umgebung.
• Keine Überwachung. Erinnerungsmails hat Let's Encrypt am 4. Juni 2025 eingestellt. Ein Monitoring auf das Ablaufdatum ersetzt sie.
• CAA ohne letsencrypt.org. Erlaubt ein CAA-Eintrag nur andere Stellen, verweigert Let's Encrypt die Ausstellung.

Prüfen

certbot renew --dry-run
dig +short CAA ihre-firma.de

--dry-run spielt die Verlängerung gegen die Staging-Umgebung durch, ohne das echte Zertifikat zu ersetzen.