Ab 2029 gilt ein digitales Zertifikat höchstens 47 Tage. Weiß Ihr Board, wie viele das Unternehmen hat?

Der Tag, an dem ein Datum einen Netzbetreiber lahmlegte

Am 6. Dezember 2018 hatten Millionen Kunden von O2, einem der größten Mobilfunkanbieter Großbritanniens, rund einen Tag lang kein mobiles Internet. Laut britischer Presse waren etwa 32 Millionen Nutzer betroffen, die Anbieter mitgezählt, die das O2-Netz nutzen. Auch SoftBank in Japan traf es. Es gab keinen Angriff. In der Software eines Ericsson-Systems war ein digitales Zertifikat abgelaufen, und Ericsson übernahm öffentlich die volle Verantwortung für den Ausfall.

Im Februar 2020 fiel Microsoft Teams aus demselben Grund für einige Stunden aus; Microsoft selbst teilte mit, ein Authentifizierungszertifikat sei abgelaufen. Im April 2023 war Starlink an der Reihe, und Elon Musk erklärte den Ausfall in einer Zeile: ein abgelaufenes Zertifikat in einer Bodenstation.

Drei Technologiekonzerne der ersten Liga. Kein Angreifer. Nur ein Datum, auf das niemand geachtet hatte.

Vertrauen, das planmäßig abläuft

Ein digitales Zertifikat ist das Dokument, mit dem ein System einem anderen beweist, dass es ist, wer es zu sein vorgibt. Ich spreche hier nicht von e-CPF oder e-CNPJ (brasilianische Signaturzertifikate), mit denen wir Dokumente unterschreiben, sondern von den Zertifikaten, die Systeme untereinander verwenden. Sie lassen das Schloss im Browser erscheinen, authentifizieren eine Zahlungs-API, ermöglichen es einem Gerät, mit einem anderen zu kommunizieren. Und jedes Zertifikat hat ein Ablaufdatum. Nicht zufällig, sondern mit Absicht: Der Gedanke ist gerade, dass Vertrauen in regelmäßigen Abständen erneuert wird.

Das Problem: Die Erneuerung setzt voraus, dass jemand weiß, dass das Zertifikat existiert. Der Bericht "PKI & Digital Trust" 2024 von Keyfactor, erstellt mit dem Ponemon Institute, zeigte, dass Organisationen in den vorangegangenen 12 Monaten im Schnitt neun Vorfälle im Zusammenhang mit Zertifikaten hatten. Jeder davon brauchte im Schnitt 2,6 Stunden allein bis zur Erkennung und weitere 2,7 Stunden bis zur Behebung, und er band rund acht Personen.

Mehr als fünf Stunden, um etwas zu finden und zu beheben, dessen Termin feststand.

Von 398 auf 47 Tage

Diese Rechnung wird enger. Im April 2025 beschloss das CA/Browser Forum, in dem Zertifizierungsstellen und Browserhersteller zusammenkommen, ohne eine einzige Gegenstimme eine schrittweise Verkürzung der maximalen Laufzeit von Zertifikaten für Websites, also jener, die das Schloss im Browser erscheinen lassen. e-CPF und e-CNPJ folgen den Regeln der ICP-Brasil und sind davon nicht berührt. Bisher galten 398 Tage. Seit März 2026 sind es 200. Im März 2027 sinkt der Wert auf 100. Im März 2029 auf 47 Tage.

Nach meiner Rechnung heißt das, jedes Zertifikat fast achtmal im Jahr zu erneuern. Ein Unternehmen, das Ablaufdaten heute in einer Tabelle verwaltet, mit einer Erinnerung im Kalender irgendeiner Person, verachtfacht die Wahrscheinlichkeit, eines zu vergessen.

Für die Sicherheit ist die Änderung gut. Ein kurzlebiges Zertifikat begrenzt den Schaden, wenn ein Schlüssel abfließt. Doch sie hat ihren Preis für alle, die das Thema noch manuell behandeln.

Der Code, den das Board nicht sieht

Das Zertifikat ist nur der sichtbarste Teil. Darunter liegen die Algorithmen, Bibliotheken und Protokolle, mit denen Kryptografie funktioniert, verteilt auf Systeme, die das Board nie gesehen hat und von denen selbst die IT manchmal nicht weiß, dass es sie gibt.

Der Bericht "Future encrypted" von Capgemini vom Juli 2025 befragte Führungskräfte von 1.000 Großunternehmen in 13 Ländern. Nur 39 % gaben an, dass sich ihr Board mit den Folgen des Quantencomputings befasst. Unter den Führungskräften der Unternehmen, die mit der Vorbereitung bereits begonnen haben, führen nur 35 % ein zentrales Inventar von Schlüsseln, Algorithmen und Zertifikaten. Eine ISACA-Umfrage vom April 2025 unter mehr als 2.600 Fachleuten ergab ein noch nüchterneres Bild: Nur 5 % der Organisationen hatten eine festgelegte Strategie gegen die Quantenbedrohung.

Was man nicht sieht, kann man nicht steuern. Und ein großer Teil des digitalen Vertrauens eines Unternehmens taucht heute schlicht in keinem Risiko-Dashboard auf.

Auch Algorithmen haben ein Verfallsdatum

Hier gelangt das Gespräch zur Post-Quanten-Kryptografie, auf einem Weg, der vielleicht überrascht. Wir halten den Algorithmus gern für den dauerhaften Teil des Vertrauens. Das Zertifikat läuft ab, der Algorithmus bleibt.

Er bleibt nicht. Im Entwurf von NIST IR 8547 vom November 2024 schlug das US-Normungsinstitut vor, die RSA- und Elliptische-Kurven-Algorithmen, auf denen heute der größte Teil der Sicherheit im Internet beruht, nach 2030 als veraltet einzustufen und nach 2035 zu verbieten. Der Grund ist der Fortschritt der Quantencomputer, die diese Algorithmen theoretisch brechen könnten.

In Brasilien hat die Bewegung bereits begonnen. Im Januar 2026 veröffentlichte das ITI, das die ICP-Brasil verwaltet, die Public-Key-Infrastruktur hinter den offiziellen digitalen Zertifikaten des Landes, die Instrução Normativa nº 35, die die Post-Quanten-Algorithmen ML-DSA und ML-KEM in die Liste der zugelassenen aufnimmt. Eine Frist für die Abkehr von den alten gibt es noch nicht. Aber die Tür ist geöffnet.

Vertrauen hat auf jeder Ebene ein Ablaufdatum. Der Unterschied ist, dass manche Ebenen nach 47 Tagen ablaufen und andere nach zehn Jahren, und gerade die, die langsam ablaufen, sind am schwersten auszutauschen.

Drei Entscheidungen, um Vertrauen aus dem Dunkeln zu holen

1. Das Inventar aufbauen, mit Verantwortlichem und Datum. Wissen, welche Zertifikate, Schlüssel und Algorithmen das Unternehmen nutzt, wo sie liegen, wer für jedes einzelne verantwortlich ist und wann jedes abläuft. Ohne das ist jeder Migrationsplan ein Ratespiel.

2. Die Erneuerung vor 2029 automatisieren. Bei 47 Tagen Laufzeit ist manuelles Erneuern keine vernünftige Option mehr. Die Automatisierung muss stehen, solange die Frist noch 200 Tage beträgt, und nicht erst, wenn es schon 47 sind.

3. Dem Board eine Kennzahl vorlegen. Sie muss nicht technisch sein. Wie viele Zertifikate das Unternehmen hat, wie viele in den nächsten 90 Tagen ablaufen, wie viele kritische Systeme von Algorithmen abhängen, deren Ausmusterung bereits terminiert ist. Drei Zahlen, die auf eine Folie passen und das Thema aus der Unsichtbarkeit holen.

Die Frage für die nächste Sitzung

Wenn das Board das nächste Mal über Technologierisiken spricht, stellen Sie eine Frage, die fast nie auf der Tagesordnung steht: Welches ist das nächste Ablaufdatum, das das Unternehmen stilllegen könnte, und wer weiß davon?

O2 erfuhr die Antwort an einem Dezembermorgen, mit Millionen Kunden ohne Netz. Man kann sie früher herausfinden.