SSL-Zertifikat prüfen

Was der Checker prüft

Ein gültiges Zertifikat braucht mehr als ein Ablaufdatum in der Zukunft. Der Checker bewertet fünf Dinge:

• Gültigkeitszeitraum: Ist das Zertifikat abgelaufen, oder läuft es in den nächsten 14 beziehungsweise 30 Tagen ab?
• Kette: Lässt sich das Zertifikat über die mitgelieferten Zwischenzertifikate bis zu einer vertrauenswürdigen Stammzertifizierungsstelle verifizieren? Fehlende Zwischenzertifikate sind die häufigste Ursache für Warnungen auf Mobilgeräten.
• Hostname: Steht der abgefragte Name im Subject Alternative Name (SAN)? Ein Zertifikat für beispiel.de gilt nicht automatisch für www.beispiel.de.
• Aussteller: Wer hat das Zertifikat ausgestellt? Selbst signierte Zertifikate werden von Browsern abgelehnt.
• Protokoll: TLS 1.2 oder 1.3 sind Stand der Technik. TLS 1.0 und 1.1 gelten als unsicher und werden von aktuellen Browsern abgelehnt.

Warum Zertifikate unbemerkt ablaufen

Mit Let's Encrypt und 90 Tagen Laufzeit ist die automatische Erneuerung Standard. Sie schlägt trotzdem regelmäßig fehl: ein geänderter DNS-Eintrag, eine Firewall, die Port 80 blockiert, ein abgelaufenes API-Token beim DNS-Anbieter, ein Cronjob, den niemand nach dem Serverumzug eingerichtet hat. Ab 2026 verkürzen die Browserhersteller die maximale Laufzeit schrittweise auf 47 Tage; jedes manuell verwaltete Zertifikat wird damit zum Risiko.

Der Ausfall zeigt sich beim Kunden zuerst: Browserwarnung, abgebrochene Bestellungen, ein Anruf am Montagmorgen. Ein Zertifikat, das in 14 Tagen abläuft, ist deshalb kein Hinweis, sondern eine Aufgabe.

Häufige Fehler

• Fehlendes Zwischenzertifikat: Desktop-Browser ergänzen es oft selbst, Mobilgeräte und ältere Clients nicht. Immer die vollständige Kette (fullchain.pem) ausliefern.
• Zertifikat ohne www oder ohne nackte Domain: Beide Namen in den SAN aufnehmen oder ein Wildcard-Zertifikat verwenden.
• Abgelaufenes Zertifikat auf einer Subdomain: Mailserver, Staging und API laufen oft auf eigenen Zertifikaten, die niemand überwacht.
• Falsches Zertifikat nach Serverumzug: Der neue Server liefert ein Standardzertifikat des Hosters aus, weil die Domain noch nicht zugeordnet ist.
• Zertifikat für die Zukunft: Uhr des Servers falsch, das Zertifikat ist "noch nicht gültig".

Zertifikate mit openssl prüfen

Auf der Kommandozeile zeigt openssl dieselben Informationen:

openssl s_client -connect beispiel.de:443 -servername beispiel.de </dev/null 2>/dev/null | openssl x509 -noout -dates -issuer -ext subjectAltName

Mailserver-Zertifikate prüfen

Über die Port-Auswahl prüft der Checker auch Mailserver: 465 (SMTPS) und 993 (IMAPS) sprechen sofort TLS, 587 (Submission), 143 (IMAP), 110 (POP3) und 25 (SMTP) handeln es per STARTTLS aus. Abgelaufene Mailserver-Zertifikate fallen später auf als Website-Zertifikate, weil Mailprogramme die Warnung nur einmal zeigen und viele Nutzer sie wegklicken. Trotzdem verweigern moderne Clients und Mailserver mit MTA-STS dann die Verbindung.

Zertifikate dauerhaft überwachen

DomainWarn prüft die Zertifikate aller Kundendomains mehrmals täglich, warnt 14 Tage vor Ablauf, erkennt einen Ausstellerwechsel und meldet eine kaputte Kette, bevor die ersten Besucher sie sehen. Der Daily Digest listet alle Zertifikate, die in den nächsten 30 Tagen ablaufen.

Häufige Fragen

Warum zeigt mein Browser keinen Fehler, der Checker aber schon?

Browser cachen Zwischenzertifikate und ergänzen fehlende Glieder der Kette aus dem eigenen Speicher. Der Checker prüft nur das, was der Server tatsächlich ausliefert, so wie ein Mobilgerät beim ersten Besuch.

Wie lange vor Ablauf sollte ich erneuern?

Bei automatischer Erneuerung: Let's Encrypt erneuert 30 Tage vor Ablauf. Bleibt das Zertifikat unter 14 Tagen, ist die Automatik kaputt.

Prüft der Checker auch Mailserver-Zertifikate?

Ja. Wähle neben der Domain den Port: 465 und 993 für implizites TLS, 587, 143, 110 und 25 für STARTTLS. Gib den Hostnamen des Mailservers ein, nicht die Domain (z.B. mail.beispiel.de).

Was bedeutet "Hostname stimmt nicht überein"?

Der abgefragte Name steht nicht im Zertifikat. Häufig fehlt www oder die nackte Domain, oder der Server liefert ein anderes Zertifikat aus als erwartet.