Infrastruktur & Security · Methode
Zertifikate laufen ab. Das ist kein Fehler, sondern der Zweck: Ein Ausweis mit unbegrenzter Gültigkeit ist im Zweifel ein Generalschlüssel für den, der ihn gestohlen hat. Die eigentliche Frage lautet nicht, ob ein Zertifikat abläuft, sondern ob der Ablauf geplant war.
Wer eigene Zertifikate ausstellt — für Dienste im Heimnetz, für interne Weboberflächen, für die Verbindungen zwischen Programmen — tauscht ein bekanntes Problem gegen ein unbekanntes: Statt einmal im Jahr eine Verlängerung zu kaufen, betreibt man eine Ausstellungsstelle, die jederzeit funktionieren muss. Dieser Text beschreibt, woran das erfahrungsgemäß scheitert.
Warum kurz
Die Laufzeit ist eine Sicherheitsentscheidung
Ein gestohlener privater Schlüssel lässt sich nicht zurückholen. Man kann das Zertifikat für ungültig erklären — aber nur, wenn alle Beteiligten die Sperrliste auch abfragen, und genau das tun viele Programme nicht zuverlässig. Die verlässlichere Bremse ist die Uhr: Was in Stunden abläuft, ist in Stunden wertlos.
Deshalb der Trend zu kurzen Laufzeiten, im Extremfall Minuten. Der Preis dafür ist Automatik. Was jährlich erneuert wird, kann ein Mensch im Kalender führen. Was stündlich erneuert wird, muss eine Maschine übernehmen — und diese Maschine wird damit zum kritischen Teil der Anlage.
Die unangenehme Umkehrung
Kurze Laufzeiten verbessern die Sicherheit und verschlechtern die Ausfallsicherheit. Beides gleichzeitig. Wer das nicht bewusst entscheidet, hat es trotzdem entschieden — nur ohne es zu merken.
Das Ausfallmuster
Der Fehler passiert Wochen vor dem Ausfall
Zertifikatsausfälle haben eine Eigenart, die sie von anderen Störungen unterscheidet: Zwischen Ursache und Wirkung liegt die gesamte Restlaufzeit.
-
Die Erneuerung bricht ab
Ein Zugangstoken der Automatik läuft aus, eine Berechtigung ändert sich, ein Dienst startet nach einem Neustart nicht mehr mit. Nichts fällt aus — das vorhandene Zertifikat gilt ja noch.
-
Wochen passieren
Alles funktioniert. Niemand sucht einen Fehler, weil sich keiner zeigt. Die Restlaufzeit sinkt still.
-
Der Ausfall
Dann fällt nicht ein Dienst aus, sondern alle, die dasselbe Ausstellungsdatum teilen — gleichzeitig. Und die Fehlermeldung zeigt auf das Zertifikat, nicht auf die Ursache von vor sechs Wochen.
Daraus folgt die wichtigste Regel: Überwacht gehört die Erneuerung, nicht der Ablauf. Ein Alarm bei „läuft in drei Tagen ab“ kommt Wochen zu spät für die Ursachensuche — er meldet ein Symptom, dessen Auslöser längst kalt ist.
Was man messen sollte
Vier Werte, die den Zustand beschreiben
Zeit seit der letzten erfolgreichen Erneuerung
Steigt dieser Wert über das Erneuerungsintervall, ist die Automatik stehengeblieben — unabhängig davon, wie lange das Zertifikat noch gilt. Das ist der einzige Wert, der früh genug anschlägt.
Verbleibende Gültigkeit je Zertifikat
Bleibt sinnvoll als zweite Ebene, aber mit großzügiger Vorwarnzeit — und für alle ausgestellten Zertifikate, nicht nur die, an die man beim Einrichten gedacht hat.
Gültigkeit der Ausstellungsstelle selbst
Die eigene Zwischenstelle hat ebenfalls ein Ablaufdatum, oft Jahre entfernt und deshalb vergessen. Läuft sie ab, sind alle darunter ausgestellten Zertifikate auf einen Schlag wertlos.
Dienste, die nie erneuern
Ein Dienst, der seit Monaten kein neues Zertifikat gezogen hat, ist entweder abgeschaltet oder aus der Automatik gefallen. Beides sollte man wissen — die zweite Variante ist ein wartender Ausfall.
Vorbereitung
Der Weg zurück, wenn nichts mehr geht
Wenn die Ausstellungsstelle nicht erreichbar ist, starten Dienste nicht mehr, die vorher jahrelang mit einer Konfigurationsdatei ausgekommen sind. Das ist der Moment, in dem sich zeigt, ob jemand vorher darüber nachgedacht hat.
Drei Fragen, vorher zu beantworten
- Wie komme ich an die Ausstellungsstelle heran, wenn der übliche Anmeldeweg genau über sie läuft? Der Notfallzugang darf nicht in dem System liegen, das ausgefallen ist.
- Wo liegt das Wurzelzertifikat — offline, lesbar, außerhalb der Anlage? Ohne es lässt sich nichts neu aufbauen.
- Wie lange dauert eine vollständige Neuausstellung, gemessen und nicht geschätzt? Wer das nie geübt hat, kennt die Antwort im Ernstfall nicht.
Diese Antworten gehören aufgeschrieben, an einen Ort, der ohne die betroffene Anlage erreichbar ist — und einmal im Jahr durchgespielt. Ein Plan, der nur im Kopf existiert, ist im Ernstfall genau dann nicht abrufbar, wenn es darauf ankommt.
Werkzeuge
Womit man das baut
Für eine eigene Ausstellungsstelle braucht es keine Eigenentwicklung — es gibt mehrere ausgereifte, quelloffene Wege, die sich in Aufwand und Reichweite unterscheiden:
ACME / Let’s Encrypt
Für alles, was aus dem Internet erreichbar ist, die einfachste Wahl: 90 Tage Laufzeit, Erneuerung automatisch. Auch für interne Namen nutzbar, wenn der Nachweis über DNS statt über eine offene Webverbindung läuft — dann muss nichts von außen erreichbar sein.
step-ca
Eine eigenständige Zertifizierungsstelle, die ACME mitspricht. Damit erneuern dieselben Werkzeuge intern wie extern — der Lernaufwand fällt nur einmal an.
OpenBao / Vault
Der quelloffene Zweig von HashiCorp Vault kann als CA arbeiten und stellt Zertifikate auf Anfrage aus — zusammen mit den übrigen Geheimnissen an einer Stelle. Sinnvoll, wenn ein solcher Tresor ohnehin läuft; sonst ist es der schwerere Weg.
cert-manager
In Kubernetes-Umgebungen der Standard: Zertifikate werden als Ressource beschrieben, Ausstellung und Erneuerung übernimmt der Dienst. Andernorts übernimmt diese Rolle ein Dienst wie certbot oder ein eigener Zeitplan-Job.
Für die Verteilung an die Dienste gilt dasselbe wie für die Ausstellung: Sie muss unbeaufsichtigt laufen. Ein Zertifikat, das erneuert, aber nicht neu eingelesen wird, sieht in jeder Statistik gut aus und nützt trotzdem nichts — viele Dienste laden es erst bei einem Neustart oder nach einem Signal.
Wo es besonders weh tut
Drei Stellen, an denen ein abgelaufenes Zertifikat mehr als eine Warnung ist
| Stelle | Was passiert |
|---|---|
| Reverse Proxy | Ein einziges abgelaufenes Zertifikat am zentralen Eingang nimmt alle dahinterliegenden Oberflächen gleichzeitig vom Netz — auch die, mit denen man den Fehler beheben würde. |
| Dienst-zu-Dienst (mTLS) | Hier gibt es keine Warnseite, die man wegklicken kann: Die Verbindung wird schlicht abgelehnt. Programme melden das als beliebigen Verbindungsfehler, was die Suche in die falsche Richtung schickt. |
| Zwischenstelle der eigenen CA | Läuft sie ab, sind auf einen Schlag alle darunter ausgestellten Zertifikate wertlos — unabhängig von deren eigener Restlaufzeit. Der Ausfall betrifft dann nicht einen Dienst, sondern die gesamte Vertrauenskette. |
Einstieg
Wenn man klein anfangen will
Nicht alles auf einmal. Eine Reihenfolge, bei der jeder Schritt für sich schon etwas bringt: Zuerst eine Bestandsaufnahme — welche Zertifikate existieren überhaupt, wann laufen sie ab, wer erneuert sie. Allein diese Liste fördert meist Überraschungen zutage.
Dann ein einzelner Dienst auf automatische Erneuerung, mit deutlich kürzerer Laufzeit als bisher. Läuft der zwei Zyklen sauber durch, folgt der nächste. Erst danach die Überwachung der Erneuerung selbst — vorher gibt es nichts zu überwachen, und man verwechselt Einrichtungsfehler mit Betriebsfehlern.
Der zweite Zyklus ist der entscheidende. Der erste läuft fast immer, weil man dabeisteht. Der zweite läuft unbeaufsichtigt — und genau dort zeigen sich abgelaufene Zugangstoken, fehlende Berechtigungen und Neustarts, die keiner mitbekommen hat.
Schreibe einen Kommentar
Du musst angemeldet sein, um einen Kommentar abzugeben.