Let’s Encrypt ist eine kostenlose, automatisierte, öffentliche Zertifizierungsstelle (CA), die domänenvalidierte SSL-Zertifikate für jeden ausstellt, der nachweisen kann, dass er über eine Domain verfügt. Der Dienst wird von der gemeinnützigen Internet Security Research Group (ISRG) betrieben; zu den Gründern gehörten die Electronic Frontier Foundation, Mozilla, Akamai, Cisco und die Universität von Michigan; der Betrieb wird auch heute noch durch Spenden und Sponsoren finanziert. Let’s Encrypt nahm Ende 2015 den öffentlichen Betrieb auf und ist mittlerweile eine der weltweit größten Zertifizierungsstellen.

Dieser Artikel erläutert die Funktionsweise von Let’s Encrypt. Informationen darüber, wie Sie ein Let’s Encrypt-Zertifikat auf dem aWh-Hosting erhalten und erneuern können, finden Sie im Artikel „Kostenlose Let’s Encrypt-Zertifikate“.

Wie funktioniert das?

Let’s Encrypt funktioniert vollautomatisch: Es ist keine Registrierung, kein Verwaltungsaufwand und keine Zahlung erforderlich. Das Zertifikat wird von einem ACME-Client (Automatic Certificate Management Environment, ein standardisiertes Protokoll) angefordert, beispielsweise von Certbot, acme.sh oder bei cPanel-Hosting über die AutoSSL-Funktion. Die einzelnen Schritte des Vorgangs:

1. Der Kunde gibt an, für welche Domains er ein Zertifikat beantragt.
2. Let’s Encrypt stellt eine Aufgabe (Challenge) bereit, mit der der Kunde seine Kontrolle über die Domain nachweist:
   • HTTP-01: Es muss eine Validierungsdatei unter dem Pfad http://pelda.hu/.well-known/acme-challenge/ abgelegt werden;
   • DNS-01: Es muss ein TXT-Eintrag für den Namen „_acme-challenge.pelda.hu“ angelegt werden. Nur so kann ein Wildcard-Zertifikat beantragt werden;
   • TLS-ALPN-01: Die Authentifizierung erfolgt über Port 443 mit einem speziellen Zertifikat; diese Variante wird seltener verwendet.
3. Let’s Encrypt überprüft den Vorgang an mehreren Stellen und stellt anschließend das Zertifikat aus.
4. Der Kunde installiert das Zertifikat und wiederholt den Vorgang automatisch vor Ablauf der Gültigkeitsdauer.

Was bietet es und was nicht?

• Ein Domain-validiertes (DV) Zertifikat, das technisch gesehen dieselbe starke Verschlüsselung bietet wie ein kostenpflichtiges DV-Zertifikat und von allen aktuellen Browsern akzeptiert wird.
• Ein Zertifikat kann mehrere Domains umfassen, und es können auch Wildcard-Zertifikate beantragt werden.
• Es bietet keine Organisationszertifikate (OV) oder erweiterten Zertifikate (EV), keine finanzielle Garantie und keinen Support. Wenn Sie diese benötigen, benötigen Sie ein kostenpflichtiges Zertifikat; siehe: Let’s Encrypt oder kostenpflichtiges SSL-Zertifikat: Für welches soll ich mich entscheiden?
• Es gelten folgende Beschränkungen: So dürfen beispielsweise pro Domain wöchentlich höchstens 50 neue Zertifikate ausgestellt werden, für dieselbe Namensgruppe sind wöchentlich höchstens 5 Zertifikate zulässig, und pro Domain sind stündlich höchstens 5 fehlgeschlagene Überprüfungen erlaubt.

Wie lange ist die Gültigkeitsdauer?

Let’s Encrypt-Zertifikate sind standardmäßig 90 Tage lang gültig, und diese Gültigkeitsdauer wird in den kommenden Jahren weiter verkürzt:

Datum	Standardgültigkeitsdauer
Derzeit	90 Tage
Ab dem 10. Februar 2027	64 Tage
Ab dem 16. Februar 2028	45 Tage

Bereits jetzt können Zertifikate mit einer Gültigkeitsdauer von 45 Tagen (Profil „tlsserver“) und von etwa 6 Tagen (Profil „shortlived“) beantragt werden. Über die Hintergründe dieser Verkürzung informiert der Artikel „Warum sind SSL-Zertifikate nicht mehr ein Jahr lang gültig?“. Da die Verlängerung automatisch erfolgt, bedeutet die kürzere Gültigkeitsdauer für den Nutzer in der Regel keinen zusätzlichen Aufwand.

Änderungen im Jahr 2025

• OCSP wurde eingestellt. Let’s Encrypt fügt seit dem 7. Mai 2025 keine OCSP-Adressen mehr in die Zertifikate ein und hat am 6. August 2025 seine OCSP-Server abgeschaltet. Zurückgezogene Zertifikate werden seitdem durch Zertifikatssperrlisten (CRL) gekennzeichnet.
• Die E-Mails zum Ablauf der Zertifikate werden nicht mehr versendet. Let’s Encrypt hat im Jahr 2025 (laut Ankündigung am 4. Juni) den Versand von Warn-E-Mails vor Ablauf der Zertifikate eingestellt. Wenn Sie Let’s Encrypt auf Ihrem eigenen Server nutzen, müssen Sie den Ablauf selbst im Auge behalten.
• ARI. Mithilfe der ACME-Verlängerungsinformationen (ACME Renewal Information) kann der Herausgeber dem Kunden mitteilen, wann eine Verlängerung fällig ist. Laut ARI unterliegen zeitgesteuerte Verlängerungen nicht den Ausgabebeschränkungen.

Ist das sicher?

Ja. Für Let’s Encrypt-Zertifikate gelten dieselben Regeln wie für alle anderen öffentlichen Zertifizierungsstellen (die Mindestanforderungen des CA/Browser-Forums); jedes ausgestellte Zertifikat wird in die öffentlichen Certificate-Transparency-Protokolle aufgenommen, und die Software der Zertifizierungsstelle ist Open Source. Was jedoch nicht gesichert ist, ist die Identität des Betreibers der Website: Das DV-Zertifikat bestätigt lediglich, dass der Antragsteller über die Domain verfügt, nicht jedoch, wer er ist.