Kürzere Laufzeiten auch für den Nachweis der Domainkontrolle Die Domainvalidierung verliert ihren Jahresrhythmus

Seit März 2026 gelten kürzere Laufzeiten für TLS-Zertifikate; bis 2029 sinken sie auf 47 Tage. Weniger beachtet wird, dass derselbe Beschluss auch die Frist für den Nachweis der Domainkontrolle zusammenstreicht. In manchen bereits automatisierten Abläufen sitzt genau dort der letzte manuelle Schritt.

Als das CA/Browser Forum im April 2025 den Ballot SC-081v3 verabschiedete, richtete sich die Aufmerksamkeit fast vollständig auf eine einzige Zahl. Ab dem 15. März 2029 dürfen öffentlich vertrauenswürdige TLS-Zertifikate höchstens 47 Tage gültig sein, statt bislang 398 Tage. Die erste Stufe mit 200 Tagen greift seit März dieses Jahres, im März 2027 folgt die Reduzierung auf 100 Tage.

Ein zweiter Teil des Beschlusses verändert den Betrieb in Rechenzentren und IT-Abteilungen allerdings stärker, obwohl kaum jemand über ihn spricht. Er regelt die Wiederverwendungsfrist für einen einmal erbrachten Nachweis der Domainkontrolle, und diese Frist schrumpft im selben Takt von 398 auf zehn Tage.

Beschlossen hat das kein Gesetzgeber. Das CA/Browser Forum ist ein freiwilliger Zusammenschluss von Zertifizierungsstellen und Softwareherstellern, und durchgesetzt werden seine Baseline Requirements über die Root-Programme der vier großen Browseranbieter Apple, Google, Microsoft und Mozilla. Für ein Unternehmen in Frankfurt oder Wien gelten die neuen Fristen deshalb ohne jeden nationalen Umsetzungsakt, sobald es öffentlich vertrauenswürdige Zertifikate einsetzt.

Ein Nachweis von vor zwei Wochen reicht künftig nicht mehr

Mit der Domain Control Validation, kurz DCV, belegt ein Antragsteller gegenüber der Zertifizierungsstelle, dass er die Domain im Zertifikat tatsächlich kontrolliert. Bislang trug ein solcher Nachweis gut ein Jahr lang und deckte in dieser Zeit beliebig viele Neuausstellungen und Verlängerungen ab. Zehn Tage sind praktisch kein Puffer mehr. Bei einer Laufzeit von 47 Tagen steht rechnerisch knapp achtmal im Jahr eine Erneuerung an, und vor jeder einzelnen muss die Domainkontrolle frisch belegt sein. Heise hat schon bei der Verabschiedung darauf hingewiesen, dass Antragsteller die nötigen Nachweise damit für jedes neue Zertifikat erneut erbringen müssen.

Doch gerade dort, wo die Ausstellung längst per ACME oder über ein zentrales Lifecycle-Management läuft, reißt die neue Frist eine unbequeme Lücke auf. Der Zertifikatsantrag geht maschinell raus, der DNS-Eintrag für die Validierung womöglich weiterhin per Ticket an das Netzwerkteam. Solange ein solcher Eintrag ein Jahr hielt, fiel diese Schnittstelle kaum ins Gewicht. Bei zehn Tagen gibt sie den Takt der gesamten Kette vor, und eine einzige liegengebliebene Anfrage genügt, damit ein Zertifikat ohne Nachfolger abläuft.

Europäische Regeln setzen bei der Verfügbarkeit an

Die europäische Regulierung greift das Thema von einer anderen Seite auf, nämlich über die Pflicht zum stabilen Betrieb. Am deutlichsten zeigt sich das im Finanzsektor. Die technischen Regulierungsstandards zu DORA verpflichten Finanzunternehmen in Artikel 7 der Delegierten Verordnung (EU) 2024/1774, zumindest für die IKT-Assets hinter kritischen oder wichtigen Funktionen ein Register aller Zertifikate und Zertifikatspeicher zu führen und Zertifikate vor Ablauf unverzüglich zu erneuern. Formuliert wurde diese Pflicht noch vor dem Beschluss zu den 47 Tagen. Bei zehn Tagen Validierungsfrist hängt ihre Erfüllung allerdings unmittelbar an der Domainvalidierung. Läuft ein Zertifikat aus, weil ein DNS-Eintrag liegen geblieben ist, berührt das deshalb direkt eine aufsichtsrechtliche Vorgabe.

Außerhalb der Finanzbranche fehlt eine vergleichbar konkrete Regel, der Maßstab ist aber verwandt. Seit dem 6. Dezember 2025 verlangt § 30 BSIG von besonders wichtigen und wichtigen Einrichtungen wirksame Maßnahmen gegen Störungen der Verfügbarkeit ihrer Systeme, ausdrücklich einschließlich der Aufrechterhaltung des Betriebs. Zeigt das Kundenportal eines solchen Betreibers nach einer gescheiterten Validierung plötzlich eine Zertifikatswarnung, trifft das genau diese Pflicht. Wer die Validierungseinträge in der DNS-Zone anlegt und mit welchen Rechten, fällt damit auch unter die Dokumentation, die dasselbe Gesetz fordert.

Die E-Mail scheidet als Ausweg aus

Auf andere Validierungsverfahren auszuweichen, bleibt nur noch für eine Übergangszeit möglich. Mit Ballot SC-090 hat das Forum beschlossen, die verbliebenen E-Mail- und telefonbasierten Methoden auslaufen zu lassen; die letzten E-Mail-Verfahren entfallen zum 15. März 2028. In der Begründung heißt es, der Zugriff auf ein Postfach belege noch keine administrative Kontrolle über die Domain, und die Kette aus MX-Abfragen und Mailservern biete Angreifern zusätzliche Einfallstore. Übrig bleiben im Wesentlichen direkte Nachweise über HTTP oder DNS. Parallel verlangt SC-085v2 seit März 2026, dass Zertifizierungsstellen bei DCV- und CAA-Abfragen DNSSEC prüfen, sofern die Zone signiert ist. Das DNS rückt damit ins Zentrum der Zertifikatsausstellung, und mit ihm die Frage, wer darin schreiben darf.

Automatisierung verlagert das Risiko in die Zone

Eine automatisierte DNS-Validierung setzt Schreibrechte in der betroffenen Zone voraus. In der Praxis liegen dafür API-Zugangsdaten des DNS-Providers auf dem Webserver oder in einer CI-Pipeline, und je nach Anbieter lassen sich solche Schlüssel kaum feiner zuschneiden als auf die gesamte Zone. Allerdings verteilt diese Lösung ein ausgesprochen heikles Recht über zahlreiche Systeme. Ein abgegriffener Token erlaubt dann weit mehr als eine Zertifikatsbestellung, nämlich das Umleiten von Web- oder Mailverkehr über manipulierte Einträge.

Beansprucht ein Unternehmen mehrere DNS-Provider mit getrennten Zuständigkeiten, vervielfacht sich das Problem entsprechend. Architektonisch überzeugender ist deshalb eine kontrollierte Zwischenschicht, die ausschließlich die für die Validierung benötigten Einträge anlegt und wieder entfernt, während die eigentlichen Provider-Zugangsdaten an einer einzigen, gut abgesicherten Stelle verbleiben.

Ein dauerhafter Eintrag verändert das Modell

Auch das Regelwerk selbst bewegt sich in diese Richtung. Mit Methode 3.2.2.4.22 kennen die Baseline Requirements seit Ende 2025 einen dauerhaften TXT-Eintrag für die Validierung. Der Inhaber der Domain hinterlegt dabei einmalig unter dem Label _validation-persist einen an ein bestimmtes Konto bei der Zertifizierungsstelle gebundenen Wert und nutzt ihn anschließend für beliebig viele Ausstellungen. Die Validierung verliert damit den Charakter eines wiederkehrenden Vorgangs und beschreibt fortan einen Zustand.

Diese Bequemlichkeit hat jedoch auch eine Kehrseite. Solange der Eintrag in der Zone steht, wirkt er wie eine stehende Vollmacht, und wer Zugriff auf das verknüpfte CA-Konto erlangt, bezieht ohne jede weitere DNS-Änderung Zertifikate. Nach Zonenmigrationen oder einem Providerwechsel kann der Eintrag zudem stillschweigend verschwinden oder auf ein veraltetes Konto verweisen. Ein dauerhafter Nachweis verlangt deshalb eine dauerhafte Überwachung seines Status, andernfalls verschiebt er das Risiko lediglich an eine weniger sichtbare Stelle.

Aufräumen gehört zur Validierung

Weil jede klassische DNS-Validierung einen Eintrag ohne weitere Funktion hinterlässt, sammelt sich bei zehntägiger Frist über die Zeit reichlich Ballast an; im Jahresrhythmus blieb das überschaubar. Einzelne TXT-Tokens sind für sich genommen harmlos. Heikler wird es bei Validierungen, die per CNAME an externe Dienste delegiert wurden, deren Ziel später jemand aufgibt. Solche verwaisten Verweise beschreibt der OWASP Web Security Testing Guide als typische Voraussetzung für die Übernahme von Subdomains, bei der ein Angreifer die frei gewordene Ressource registriert und so die Kontrolle über den Namen erhält. Für automatisierte Validierung folgt daraus, dass das Entfernen ebenso fest zum Ablauf gehört wie das Anlegen. Sonst produziert die Automatisierung mit jeder Erneuerung ein Stück Altlast.

Mit der Stufe vom 15. März 2027 sinkt die Wiederverwendungsfrist für Domainvalidierungen auf 100 Tage, was bei manueller Pflege eine DNS-Änderung pro Domain und Quartal bedeutet. Das ist der letzte Schritt, den ein Ticketprozess mit Mühe noch abfängt. Ein Zertifikatsregister, wie es DORA für Finanzunternehmen vorschreibt, beobachtet unter diesen Bedingungen die falsche Größe, solange es allein Ablaufdaten erfasst. Aussagekräftiger ist der Validierungsstatus jeder einzelnen Domain, zusammen mit der Frage, welches System ihn aufrechterhält und mit welchen Rechten es dafür in der Zone ausgestattet ist.

Über den Autor

Robert Frank ist Area VP Central Europe bei DigiCert.

(ID:51000980)