Let's Encrypt: kostenlose Zertifikate einrichten und erneuern

Let's Encrypt stellt Zertifikate für HTTPS kostenlos aus. Ein Programm auf deinem Server oder bei deinem Hoster beantragt das Zertifikat, beweist, dass es die Domain kontrolliert, und holt es ab. Dasselbe Programm erneuert es später. Wie das abläuft, welche Wege es gibt und was sich bei den Laufzeiten bis 2028 ändert, steht hier.

Was Let's Encrypt ist

Hinter Let's Encrypt steht die Internet Security Research Group (ISRG), eine gemeinnützige Organisation. Sie beschreibt ihre Zertifizierungsstelle als kostenlos, automatisiert und offen; ausgestellte und widerrufene Zertifikate werden öffentlich protokolliert ^[1]. Für die Zertifikate selbst verlangt Let's Encrypt keine Gebühr. Manche Hoster berechnen trotzdem einen kleinen Betrag für ihren eigenen Aufwand ^[4].

Let's Encrypt bietet nur domainvalidierte Zertifikate an (Domain Validation, DV). Geprüft wird also, ob du die Domain kontrollierst, nicht wer hinter der Website steht. Zertifikate mit Organisationsprüfung (OV) oder erweiterter Prüfung (EV) gibt es dort nicht, weil sich ihre Ausstellung nicht automatisieren lässt ^[4]. Für die Verschlüsselung macht das keinen Unterschied. Welche Zertifikatsarten es sonst gibt, erklärt der Artikel SSL-Zertifikat: was es ist und welche Arten es gibt.

Die Ausstellung läuft über eine Programmierschnittstelle nach dem ACME-Protokoll. Du brauchst deshalb ein ACME-Programm, einen sogenannten Client. Wer Shell-Zugang zu seinem Server hat, dem empfiehlt Let's Encrypt in den meisten Fällen Certbot. Ohne Shell-Zugang ist der Hoster der Weg: Viele Anbieter holen und erneuern die Zertifikate selbst, manchmal automatisch, manchmal erst nach einem Klick in den Einstellungen ^[2].

So prüft Let's Encrypt deine Domain

Bevor ein Zertifikat ausgestellt wird, muss der Client eine Aufgabe lösen, die nur der Inhaber der Domain lösen kann. Let's Encrypt kennt dafür drei Verfahren ^[3]:

HTTP-01 ist am einfachsten zu automatisieren und funktioniert mit jedem üblichen Webserver. Es scheitert, wenn Port 80 gesperrt ist, etwa durch den Internetanbieter oder eine Firewall. Betreibst du mehrere Webserver hinter einer Domain, muss die Prüfdatei auf jedem davon abrufbar sein ^[3].

DNS-01 ist das einzige Verfahren, mit dem du ein Wildcard-Zertifikat für *.deine-domain.de bekommst ^{[3, 4]}. Dafür muss der Client einen TXT-Eintrag in deiner DNS-Zone anlegen. Automatisch klappt das nur, wenn dein DNS-Anbieter eine Schnittstelle dafür hat. Let's Encrypt weist darauf hin, dass Zugangsdaten zu dieser Schnittstelle auf dem Webserver ein Risiko sind, weil ein Angreifer damit die ganze Zone ändern könnte ^[3]. Ob ein Wildcard-Zertifikat überhaupt die bessere Wahl ist, besprechen wir unter SSL für Subdomains: Wildcard oder einzelne Zertifikate.

Einrichten beim Hoster

Bei Shared Hosting und verwalteten Servern ist Let's Encrypt fast immer schon eingebaut. Du suchst in der Verwaltung den Punkt für SSL oder Zertifikate, wählst die Domain und schaltest das kostenlose Zertifikat ein. Die Erneuerung übernimmt dann der Hoster.

In Plesk heißt die Erweiterung dafür SSL It!. Unter Websites & Domains wählst du die Domain, öffnest SSL/TLS-Zertifikate und lässt dir mit "Get it free" ein Zertifikat ausstellen. Dabei legst du fest, ob auch www, das Webmail und der Mailserver für IMAP, POP und SMTP abgesichert werden sollen. SSL It! erneuert die kostenlosen Zertifikate 30 Tage vor Ablauf von selbst und kann auf derselben Seite die Weiterleitung von HTTP auf HTTPS und HSTS einschalten ^[7]. Mehr zur Bedienung steht unter Plesk: Domains, Subdomains und Zertifikate verwalten.

Einrichten mit Certbot

Auf einem eigenen Server mit Apache oder nginx erledigt Certbot Ausstellung und Einbau in einem Schritt. Für Apache lautet der Befehl certbot --apache, für nginx certbot --nginx. Certbot fragt nach den Domains, löst die Prüfung und trägt das Zertifikat in die Konfiguration des Webservers ein ^[8].

Willst du die Konfiguration selbst schreiben, holst du nur das Zertifikat ab. Mit dem Webroot-Verfahren legt Certbot die Prüfdatei in das Verzeichnis, das dein Webserver ausliefert, zum Beispiel certbot certonly --webroot -w /var/www/html -d example.com. Der Webserver muss dafür das versteckte Verzeichnis .well-known ausliefern. Für DNS-01 gibt es die Variante --manual --preferred-challenges=dns, bei der du den TXT-Eintrag selbst anlegst. So geholte Zertifikate erneuern sich aber nur, wenn du ein Skript für den DNS-Eintrag hinterlegst ^[8].

Die Dateien liegen danach unter /etc/letsencrypt/live/ und dem Namen des Zertifikats. Wichtig sind zwei davon: privkey.pem ist der private Schlüssel und bleibt geheim, fullchain.pem enthält dein Zertifikat zusammen mit den Zwischenzertifikaten. Certbot rät, in der Serverkonfiguration auf diese Pfade zu verweisen und die Dateien nicht zu kopieren, weil die Erneuerung sie an dieser Stelle austauscht ^[8]. Wie die Einträge für Apache und nginx aussehen, zeigt SSL-Zertifikat installieren.

Automatisch erneuern

Die Standardzertifikate von Let's Encrypt gelten 90 Tage ^[4]. Von Hand nachzuhalten ist das nicht, die Erneuerung muss deshalb ein Dienst übernehmen. Let's Encrypt empfiehlt, ein Zertifikat zu erneuern, wenn noch ein Drittel der Laufzeit übrig ist, bei 90 Tagen also 30 Tage vor Ablauf. Zusätzlich gibt es die ACME Renewal Information (ARI): Darüber nennt Let's Encrypt selbst den besten Zeitpunkt, und der Client sollte sie mindestens zweimal am Tag abfragen ^[6].

Certbot hält sich seit Version 4.0.0 an dieselbe Drittel-Regel. Mit certbot renew erneuert er alle Zertifikate, die fällig sind, mit certbot renew --dry-run probst du den Ablauf, ohne etwas zu speichern. Die meisten Installationen bringen einen Zeitplan schon mit, als systemd-Timer oder als Cron-Eintrag. Ob ein Timer aktiv ist, zeigt systemctl list-timers ^[8]. Musst du für die Erneuerung den Webserver anhalten und wieder starten, legst du ausführbare Skripte in die Ordner /etc/letsencrypt/renewal-hooks/pre und /etc/letsencrypt/renewal-hooks/post ^[8].

Kürzere Laufzeiten bis 2028

Am 02.12.2025 hat Let's Encrypt angekündigt, die Laufzeit seiner Zertifikate schrittweise auf 45 Tage zu senken. Gleichzeitig wird kürzer, wie lange eine erfolgreiche Domainprüfung wiederverwendet werden darf ^[9]:

Die neue Laufzeit gilt jeweils für neu ausgestellte Zertifikate, du merkst sie also bei der nächsten Erneuerung nach dem Stichtag. Die Testumgebung stellt etwa einen Monat früher um ^[9]. Wer die Erneuerung nach der Drittel-Regel oder über ARI steuert, muss nichts ändern. Kritisch wird es dort, wo jemand einen festen Rhythmus eingetragen hat, etwa "alle 60 Tage erneuern". Bei 45 Tagen Laufzeit wäre das Zertifikat dann längst abgelaufen.

Hintergrund ist eine Vorgabe des CA/Browser Forums, in dem sich Zertifizierungsstellen und Browserhersteller abstimmen. Nach seinen Baseline Requirements dürfen Zertifikate seit dem 15.03.2026 höchstens 200 Tage gelten, ab dem 15.03.2027 höchstens 100 Tage und ab dem 15.03.2029 höchstens 47 Tage ^[10]. Was das für gekaufte Zertifikate bedeutet, erklärt Laufzeit von SSL-Zertifikaten.

Wer es noch kürzer will, kann das Profil shortlived wählen. Es liefert Zertifikate mit sechs Tagen Laufzeit ^{[4, 9]}. Für Zertifikate unter zehn Tagen empfiehlt Let's Encrypt, nach der Hälfte der Laufzeit zu erneuern ^[6].

Keine OCSP-Abfragen mehr

Früher konnten Browser über das Online Certificate Status Protocol (OCSP) bei Let's Encrypt nachfragen, ob ein Zertifikat widerrufen ist. Diesen Dienst hat Let's Encrypt im Jahr 2025 eingestellt. Seit dem 07.05.2025 stehen keine OCSP-Adressen mehr in neuen Zertifikaten, stattdessen Adressen für Sperrlisten (CRL). Am 06.08.2025 wurden die OCSP-Server abgeschaltet ^[11].

Für die meisten Websites ändert das nichts. Handeln musst du nur, wenn du deinem Client einmal die Erweiterung "OCSP Must-Staple" vorgegeben hast. Anträge mit dieser Erweiterung scheitern seit dem 07.05.2025, auch bei der Erneuerung ^[11]. Die Option muss dann aus der Konfiguration entfernt werden.

Grenzen und typische Fehler

Let's Encrypt begrenzt, wie viele Zertifikate in kurzer Zeit ausgestellt werden. Je registrierter Domain sind es 50 neue Zertifikate in sieben Tagen. Für genau dieselbe Kombination von Namen gibt es höchstens fünf Zertifikate in sieben Tagen. Nach fünf fehlgeschlagenen Prüfungen für einen Namen innerhalb einer Stunde ist für dieses Konto erst einmal Pause. Ein Zertifikat kann bis zu 100 Namen enthalten ^[5]. Wer beim Einrichten mehrmals scheitert und es immer wieder versucht, stößt schnell an die Grenze für Fehlversuche. Dagegen hilft die Staging-Umgebung ^[5].

Die häufigsten Ursachen für eine gescheiterte Prüfung sind schnell aufgezählt. Der DNS-Eintrag der Domain zeigt noch auf einen alten Server, Port 80 ist gesperrt, oder eine Weiterleitung auf eine andere Domain fängt die Prüfdatei ab. Ob die Einträge stimmen, siehst du mit dem DNS-Check. Läuft das Zertifikat später trotzdem ab, hat meist die Erneuerung still versagt. Ein Blick mit dem SSL-Check zeigt dir das Ablaufdatum, bevor Besucher eine Warnung sehen.

1. Organisation About Let's Encrypt. Internet Security Research Group. Stand 2026. abgerufen am 29.10.2026
2. Organisation Getting Started. Internet Security Research Group. Stand 2026. abgerufen am 29.10.2026
3. Organisation Challenge Types. Internet Security Research Group. Stand 2026. abgerufen am 29.10.2026
4. Organisation FAQ. Internet Security Research Group. Stand 2026. abgerufen am 29.10.2026
5. Organisation Rate Limits. Internet Security Research Group. Stand 2026. abgerufen am 29.10.2026
6. Organisation Integration Guide. Internet Security Research Group. Stand 2026. abgerufen am 29.10.2026
7. Organisation Securing Connections with the SSL It! Extension (Plesk Obsidian Customer Guide). Plesk. Stand 2026. abgerufen am 29.10.2026
8. Organisation User Guide: Getting certificates and renewing them. Electronic Frontier Foundation (Certbot). Stand 2026. abgerufen am 29.10.2026
9. Organisation Decreasing Certificate Lifetimes to 45 Days. Internet Security Research Group. Stand 02.12.2025. abgerufen am 29.10.2026
10. Organisation Baseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates, Version 2.3.1, Abschnitt 6.3.2. CA/Browser Forum. Stand 04.10.2026. abgerufen am 29.10.2026
11. Organisation Ending OCSP Support in 2025. Internet Security Research Group. Stand 05.12.2024. abgerufen am 29.10.2026

Zuletzt geprüft am 29.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.