Die maximale Laufzeit von SSL/TLS-Zertifikaten sinkt schrittweise bis auf 47 Tage. Damit wird jede Erneuerung zum regelmäßigen Eingriff in produktionsnahe Prozesse. Unternehmen, die Zertifikate noch manuell verwalten, riskieren neben Aufwandsspiralen auch den Stillstand des Betriebs. – Ein Beitrag von Jürgen Mang, Senior IT Security Consultant bei Axians IT Security.

SSL/TLS-Zertifikate werden in den nächsten Jahren immer schneller ungültig: Von früher knapp 13 Monaten geht es stufenweise Richtung „alle paar Wochen“. Hintergrund ist eine Entscheidung des CA/Browser Forums, getragen von den großen Browser-Anbietern. Seit März 2026 liegt die Obergrenze bei 200 Tagen; ab 2027 sind es 100 Tage und ab 2029 nur noch 47 Tage. Wer heute dutzende oder hunderte Zertifikate händisch tauscht, gerät damit in einen Dauerbetrieb aus Erneuerungen. Das ist nicht skalierbar und ein einziger Fehler kann Anwendungen unmittelbar vom Netz nehmen.

Die entscheidende Frage lautet deshalb: Sind Plattformen und Prozesse für die Bereitstellung von Anwendungen so automatisiert und standardisiert, dass häufige, sicherheitsrelevante Änderungen zuverlässig ausgerollt werden können?

Anwendungsbereitstellung in Unternehmen

Viele Unternehmen betreiben ihre Anwendungsinfrastruktur noch erstaunlich manuell: Einstellungen werden per Klick in Oberflächen vorgenommen, Konfigurationen stecken nur im System und sind kaum sauber dokumentiert. Was dadurch fehlt, sind Versionsstände, nachvollziehbare Änderungen für Audits und die Möglichkeit, Umgebungen zuverlässig zu reproduzieren – ein Risiko, das sich im Alltag oft erst bei Störungen oder Prüfungen zeigt.

Dabei geht es längst um kritische digitale Services. Ob Krankenkassen-App, E-Rezept oder Versicherungsportal: Zwischen Nutzer und Anwendung liegt eine Schicht, die Traffic verteilt, Zugriffe absichert, Authentifizierung steuert und Angriffe abwehrt. Diese Application Delivery Controller (ADC) sind das unsichtbare Rückgrat vieler Plattformen und sie schützen nicht primär das Netz wie klassische Firewalls, sondern die Anwendungsebene, auf der DDoS, Injection-Angriffe oder Authentication-Probleme konkret wirken.

Individuelle Konfiguration von ADCs: Fluch und Segen

Die Komplexität entsteht weniger durch fehlende Funktionalität als durch zu viel Freiheit: ADCs bieten APIs, Schnittstellen und enorme Flexibilität, aber kein vorgegebenes Betriebsmodell. Das ist Absicht – die Systeme sollen sich breit nutzen lassen. In der Praxis führt es dazu, dass jede Organisation (und oft jeder Admin) anders konfiguriert. Nach Jahren ist dann häufig unklar, wer welche Änderung aus welchem Grund vorgenommen hat.

In großen Umgebungen mit vielen Clustern und tausenden Services wird das zum strukturellen Problem: historisch gewachsene, uneinheitliche Setups, die schwer erklärbar sind. Gleichzeitig sind gerade dort belastbare Audit-Trails, klare Änderungshistorien und nachweisbare Compliance Pflicht.

Fazit: Wie Unternehmen jetzt handeln

Wer jetzt handlungsfähig bleiben will, muss die Anwendungsbereitstellung als gemeinsames Operating Model von Security, Entwicklung und DevOps aufsetzen und zuerst die Silos zwischen den Abteilungen aufbrechen. Dazu gehört, dass alle drei Perspektiven in einen durchgängigen Ablauf übersetzt werden: die Entwicklung liefert in kurzen Zyklen, die Security definiert überprüfbare Leitplanken (Policies, Standards, Mindesttests) und die DevOps-Teams sorgen dafür, dass diese Regeln technisch in Pipelines, Templates und Plattformfunktionen verankert sind. So entsteht ein Prozess, der nachhaltig trägt, weil Freigaben nicht mehr über monatelange Tickets laufen, sondern über wiederholbare Checks, Reviews und automatisierte Tests.

Praktisch heißt das: Konfigurationen als Code in Versionsverwaltung ablegen, Änderungen über Pipelines testen und erst dann inklusive Vier-Augen-Prinzip, Protokollierung und Rollback kontrolliert ausrollen. Unternehmen, die ihre Anwendungsbereitstellung jetzt standardisieren und automatisieren, verbessern Effizienz, Sicherheit und Compliance. Der Einstieg kann klein sein: Zertifikate automatisieren oder Standard-Templates nutzen. Ziel ist Infrastructure as Code mit belastbaren Audit-Trails für Anforderungen wie DORA oder ISO 27001.

Jürgen Mang, Senior IT Security Consultant bei Axians IT Security.

Jürgen Mang ist seit über 20 Jahren in der Cyber Security tätig und beschäftigt sich seit mehr als 15 Jahren intensiv mit Application-Delivery-Infrastrukturen. Er ist F5 MVP, F5 Security Solution Expert und wurde 2024 als F5 Channel Technical Star of the Year ausgezeichnet. Bei Axians IT Security GmbH verantwortet er den Bereich Automatisierung und GitOps für Anwendungsbereitstellungsplattformen. Zudem hat er das Axians Automation Framework entwickelt – ein praxiserprobtes Framework, das die Automatisierung und Verwaltung von F5-Application-Delivery-Infrastrukturen standardisiert und in bestehende DevOps-Workflows integrierbar macht.

Weitere Informationen zur Axians IT Security GmbH finden Sie hier.