Was ist SSL-Zertifikat-Ablaufüberwachung?

Es ist die automatische, laufende Prüfung des TLS/SSL-Zertifikats einer Website, um zu sehen, wie viele Tage bis zum Ablauf bleiben, und um rechtzeitig jemanden zu warnen. Gutes Monitoring prüft zusätzlich, ob das Zertifikat wirklich gültig ist: passender Hostname, vollständige Kette, vertrauenswürdiger Aussteller. Es existiert, weil ein abgelaufenes Zertifikat jeden Besucher mit einer bildschirmfüllenden Warnung aussperrt.

Wie prüfe ich, wann ein SSL-Zertifikat abläuft?

Im Browser klicken Sie auf das Schloss-Symbol in der Adressleiste und öffnen die Zertifikatsdetails, um das Ende der Gültigkeit zu sehen. Auf der Kommandozeile führen Sie `openssl s_client -connect beispiel.de:443 -servername beispiel.de` aus und lesen den Wert `notAfter`. Beides funktioniert für eine Website, aber keines von beidem skaliert bei dutzenden Kundendomains.

Warum laufen SSL-Zertifikate trotz Auto-Renewal ab?

Weil Auto-Renewal ein geplanter Job ist, der lautlos scheitern kann. Typische Ursachen: ein fehlgeschlagener Let's-Encrypt-Cron, eine Validierungs-Challenge, die von Firewall oder DNS-Umzug blockiert wird, ein Zertifikat, das auf der Platte erneuert, vom Webserver aber nie neu geladen wurde, und ein CDN mit eigenem Zertifikat am Edge. Subdomains haben oft eigene Zertifikate, die niemand erneuert.

Was passiert, wenn ein SSL-Zertifikat abläuft?

Browser zeigen die Website nicht mehr an, sondern eine bildschirmfüllende Sicherheitswarnung, der Traffic bricht binnen Minuten ein. Formulare, Logins und Checkout scheitern, Tracking-Skripte feuern nicht, und Suchmaschinen-Crawler sehen die Website als nicht erreichbar. Eine längere Störung kostet neben Umsatz auch Rankings.

Warnt Deltio mich, bevor ein SSL-Zertifikat abläuft?

Ja. Deltio prüft das Zertifikat jeder überwachten Website, zeigt Tage bis zum Ablauf und den Aussteller, und sendet eine Warnung 30 Tage vor Ablauf sowie erneut 1 Tag vorher. Ist das Zertifikat nicht gültig, benachrichtigt Deltio Sie sofort. Alerts kommen per E-Mail und Slack.

Deltio startet bei £24 pro Monat im Starter-Tarif, oder £20 pro Monat bei jährlicher Zahlung. Professional kostet £49 pro Monat, Enterprise £119 pro Monat. Alle Tarife enthalten eine 14-tägige kostenlose Testphase.

← Zurück zum Blog

SSL-Zertifikat-Ablauf überwachen: nicht erst vom Kunden erfahren

SSL-Zertifikat-Ablaufüberwachung bedeutet, automatisch und dauerhaft zu prüfen, wie viele Tage bis zum Ablauf des TLS-Zertifikats einer Website bleiben, und rechtzeitig vorher zu warnen. Läuft ein Zertifikat ab, blockiert der Browser die Seite mit einer bildschirmfüllenden Warnung, der Traffic fällt binnen Minuten auf null, Formulare und Checkout funktionieren nicht mehr. Die Prüfung von Hand über das Schloss-Symbol oder openssl skaliert nicht über ein Kundenportfolio. Deltio überwacht das Zertifikat jeder betreuten Website aus einem einzigen Konto, zeigt Tage bis zum Ablauf und den Aussteller, und warnt bei 30 Tagen und noch einmal bei 1 Tag, ab £20 pro Monat mit 14 Tagen kostenloser Testphase.

Niemand plant, ein Zertifikat ablaufen zu lassen. Es passiert trotzdem, meist auf der geerbten Website einer anderen Agentur, an einem Samstag, auf einer vergessenen Subdomain. Der Erste, der es merkt, sind fast nie Sie. Es ist der Kunde.

Was wirklich passiert, wenn ein Zertifikat abläuft

Der Browser blockiert die Seite. Chrome zeigt NET::ERR_CERT_DATE_INVALID bildschirmfüllend, in Rot. Die meisten Besucher kehren um.
Der Traffic geht in Minuten auf null. Flache Linie: Die Seite lädt nie, also feuert auch das Tracking-Skript nie.
Formulare und Checkout stehen still. Zahlungen, Kontaktformulare, Logins. Alles, was über HTTPS läuft, scheitert.
Googlebot sieht eine nicht erreichbare Website. Das Crawling bricht ein, und eine Störung über Tage kann Rankings kosten, die Monate gebraucht haben.
APIs brechen lautlos. Webhooks und Server-zu-Server-Aufrufe lehnen das Zertifikat ab, ohne Warnung für irgendjemanden.

Warum Zertifikate auch mit Auto-Renewal ablaufen

Auto-Renewal ist ein Cronjob, und Cronjobs scheitern.

Der Renewal-Cron scheitert lautlos. Certbot stößt auf einen Fehler und schreibt ihn in ein Log, das niemand liest. Neunzig Tage später ist das Zertifikat weg.
Die Validierung funktioniert nicht mehr. Die HTTP-01-Challenge wird von Firewall oder WAF blockiert, oder das DNS ist umgezogen und die DNS-01-Challenge löst nicht mehr auf.
Erneuert, aber nie neu geladen. Nginx oder Apache liefert weiter das alte Zertifikat aus dem Speicher: auf der Platte in Ordnung, im Browser abgelaufen.
Das CDN hat ein eigenes Zertifikat. Cloudflare oder ein Load Balancer terminieren TLS am Edge: Das Origin-Zertifikat ist frisch, das am Edge nicht, oder umgekehrt.
Subdomains sind ungedeckt. Das Zertifikat deckt beispiel.de und www.beispiel.de ab. An shop., blog. oder Staging hat niemand gedacht, jede mit eigenem Ablaufdatum.

Wie man ein Zertifikat von Hand prüft

Browser: Klicken Sie auf das Schloss-Symbol in der Adressleiste, öffnen Sie die Zertifikatsdetails und lesen Sie die Gültigkeitsdaten.
Kommandozeile: Führen Sie openssl s_client -connect beispiel.de:443 -servername beispiel.de aus und lesen Sie die Werte notBefore und notAfter. Ohne -servername bekommen Sie das Standardzertifikat der geteilten IP, nicht das für diesen Hostnamen.

Machen Sie das jetzt für 30 Kundenwebsites, plus Subdomains, plus Staging, jede Woche, für immer. Manuelle Prüfungen halten bis zu der Woche, in der Sie im Stress sind: genau die Woche, in der etwas abläuft. Dasselbe gilt für den Rest: siehe unsere Monitoring-Checkliste für Agenturen.

Was zu überwachen ist, über das Ablaufdatum hinaus

Verbleibende Tage: die Zahl, auf die Sie reagieren. Dreißig Tage reichen für ein Ticket.
Aussteller: wer das Zertifikat signiert hat. Ändert er sich, ohne dass es jemand sagt, hat sich am Hosting oder am CDN etwas geändert.
Gültigkeit der Kette: Ein Zertifikat kann im Datum liegen und trotzdem ungültig sein. Ein fehlendes Intermediate oder ein nicht passender Hostname erzeugen denselben roten Bildschirm.

Ein abgelaufenes Zertifikat ist ein Downtime-Ereignis, also behandeln Sie es so. Genau wie Uptime-Alerts.

Wie Deltio das macht

Tage bis zum Ablauf und Aussteller, pro Website im Dashboard.
Eine Warnung 30 Tage vor Ablauf und eine zweite bei 1 Tag.
Eine sofortige Benachrichtigung, wenn das Zertifikat nicht gültig ist, nicht erst kurz vor Ablauf.
Alerts per E-Mail und Slack, in Ihrer Sprache und Ihrer Zeitzone.

SSL steht neben den anderen Checks, die Deltio auf derselben Website ausführt: Uptime alle 10 Minuten, Domain-Ablauf über RDAP, Änderungen an der robots.txt und Sitemap-Diffs. Ein Konto, alle Kunden: darum geht es, wenn Sie Kundenwebsites überwachen.

Fangen Sie mit der Website an, die Sie am wenigsten verlieren wollen

Fügen Sie eine Domain hinzu, lassen Sie Deltio das Zertifikat auslesen, dann kommt der Rest des Portfolios dazu. Die Tarife starten bei £24 pro Monat (£20 jährlich), mit 14 Tagen kostenloser Testphase.

Häufige Fragen

Was ist SSL-Zertifikat-Ablaufüberwachung?: Es ist die automatische, laufende Prüfung des TLS/SSL-Zertifikats einer Website, um zu sehen, wie viele Tage bis zum Ablauf bleiben, und um rechtzeitig jemanden zu warnen. Gutes Monitoring prüft zusätzlich, ob das Zertifikat wirklich gültig ist: passender Hostname, vollständige Kette, vertrauenswürdiger Aussteller. Es existiert, weil ein abgelaufenes Zertifikat jeden Besucher mit einer bildschirmfüllenden Warnung aussperrt.
Wie prüfe ich, wann ein SSL-Zertifikat abläuft?: Im Browser klicken Sie auf das Schloss-Symbol in der Adressleiste und öffnen die Zertifikatsdetails, um das Ende der Gültigkeit zu sehen. Auf der Kommandozeile führen Sie `openssl s_client -connect beispiel.de:443 -servername beispiel.de` aus und lesen den Wert `notAfter`. Beides funktioniert für eine Website, aber keines von beidem skaliert bei dutzenden Kundendomains.
Warum laufen SSL-Zertifikate trotz Auto-Renewal ab?: Weil Auto-Renewal ein geplanter Job ist, der lautlos scheitern kann. Typische Ursachen: ein fehlgeschlagener Let's-Encrypt-Cron, eine Validierungs-Challenge, die von Firewall oder DNS-Umzug blockiert wird, ein Zertifikat, das auf der Platte erneuert, vom Webserver aber nie neu geladen wurde, und ein CDN mit eigenem Zertifikat am Edge. Subdomains haben oft eigene Zertifikate, die niemand erneuert.
Was passiert, wenn ein SSL-Zertifikat abläuft?: Browser zeigen die Website nicht mehr an, sondern eine bildschirmfüllende Sicherheitswarnung, der Traffic bricht binnen Minuten ein. Formulare, Logins und Checkout scheitern, Tracking-Skripte feuern nicht, und Suchmaschinen-Crawler sehen die Website als nicht erreichbar. Eine längere Störung kostet neben Umsatz auch Rankings.
Warnt Deltio mich, bevor ein SSL-Zertifikat abläuft?: Ja. Deltio prüft das Zertifikat jeder überwachten Website, zeigt Tage bis zum Ablauf und den Aussteller, und sendet eine Warnung 30 Tage vor Ablauf sowie erneut 1 Tag vorher. Ist das Zertifikat nicht gültig, benachrichtigt Deltio Sie sofort. Alerts kommen per E-Mail und Slack.
Was kostet Deltio?: Deltio startet bei £24 pro Monat im Starter-Tarif, oder £20 pro Monat bei jährlicher Zahlung. Professional kostet £49 pro Monat, Enterprise £119 pro Monat. Alle Tarife enthalten eine 14-tägige kostenlose Testphase.