Domain und SSL-Zertifikat abgelaufen: Warum es passiert und wie du es verhinderst

Eine abgelaufene Domain oder ein abgelaufenes TLS-Zertifikat ist der sichtbarste Ausfall, den eine kleine IT-Landschaft haben kann: Die Website zeigt eine Browserwarnung oder eine Parkseite mit Werbung, E-Mails kommen nicht mehr an, und Kunden glauben, das Unternehmen sei pleite oder gehackt. Gleichzeitig ist es einer der vermeidbarsten Ausfälle, denn jede Domain und jedes Zertifikat hat ein Ablaufdatum, das Monate im Voraus bekannt ist. Dieser Leitfaden erklärt, warum sie trotzdem ablaufen, was dann tatsächlich passiert, wie du ein Inventar aufbaust, welche Fallen beim Verlass auf Auto-Renew lauern, wie du mit 90-Tage-Zertifikaten umgehst, was es mit der Registrar-Sperre auf sich hat – und er enthält eine Checkliste für die Überwachung.

Warum Domains und Zertifikate ablaufen

Fast nie, weil niemand das Datum kannte. Die üblichen Ursachen sind:

• Die hinterlegte Karte ist abgelaufen. Auto-Renew war aktiv; die Zahlung schlug fehl; die Warn-E-Mails gingen an eine Adresse, die niemand liest.
• Die E-Mail-Adresse des Inhabers ist tot. Die Domain wurde vor Jahren von einem Gründer, einem ehemaligen Mitarbeiter oder einer Webagentur registriert – mit einer Adresse, die es nicht mehr gibt. Verlängerungshinweise, Bestätigungsanfragen und Transfer-Freigaben landen im Nichts.
• Die Zusammenarbeit mit der Agentur ist beendet. Der Entwickler, der die Website aufgesetzt hat, hat Domain oder Zertifikat über sein eigenes Konto bezahlt. Mit dem Ende des Auftrags endeten auch die Verlängerungen.
• Zertifikate wurden einmal von Hand installiert. Ein Zertifikat mit einem Jahr Laufzeit wurde gekauft und manuell eingespielt; ein Jahr später ist die Person, die das erledigt hat, nicht mehr da, und nichts ist eingeplant.
• Zu viele Anbieter. Domains bei zwei Registraren, Zertifikate von einem dritten, DNS bei einem vierten – jeweils mit eigenem Login und eigenem Verlängerungszyklus.
• Niemand ist zuständig. Das Marketing denkt, die IT kümmert sich um die Domain; die IT denkt, die Agentur macht das; die Agentur denkt, der Kunde macht es.

Was tatsächlich passiert, wenn sie ablaufen

Der Ablauf einer Domain ist ein Prozess, kein Absturz von heute auf morgen. Am Ablaufdatum setzen die meisten Registrare die DNS-Auflösung aus, sodass Website und E-Mail sofort nicht mehr funktionieren, obwohl die Domain noch nicht verloren ist. Es folgt eine Schonfrist, in der du zum normalen Preis verlängern kannst, danach meist eine Wiederherstellungsphase (Redemption Period), in der eine Verlängerung noch möglich ist, aber mit einer deutlich höheren Gebühr. Am Ende wird die Domain freigegeben, und jeder kann sie registrieren. Die genauen Fristen und Gebühren unterscheiden sich je nach Registrar und Top-Level-Domain; prüfe die aktuellen Bedingungen deines Registrars. Abgelaufene Domains mit Besucherhistorie werden routinemäßig innerhalb von Minuten nach der Freigabe von Spekulanten und Domain-Grabbern gekauft.

Über die Website hinaus trifft es vor allem die E-Mail. Jede Nachricht an deine Domain kommt zurück; E-Mails zum Zurücksetzen von Passwörtern für jeden anderen Dienst, den du nutzt, gehen ins Leere; und wenn die Domain übernommen wird, kann der neue Inhaber deine E-Mails empfangen und diese Passwörter zurücksetzen.

Der Ablauf eines Zertifikats ist ein Absturz von einer Sekunde auf die andere. Sobald es abgelaufen ist, zeigen Browser eine ganzseitige Warnung für die Website, API-Clients verweigern die Verbindung, und alles, was von der Verbindung abhängt – Bezahlseiten, mobile Apps, Integrationen mit Partnern –, fällt aus. Interne Zertifikate auf Mailservern, VPNs und Verwaltungsoberflächen laufen genauso hart ab und fallen nur später auf.

Das Inventar aufbauen

Was du nicht kennst, kannst du nicht verlängern. Für Domains:

• Liste jede Domain auf, die dem Unternehmen gehört, einschließlich defensiver Registrierungen, Länder-Varianten, alter Markennamen und Kampagnen-Domains. Durchsuche Kartenabrechnungen und Kreditorenbuchhaltung nach Zahlungen an Registrare und frag langjährige Mitarbeitende.
• Erfasse für jede Domain: Registrar, wem der Login gehört, E-Mail-Adressen von Inhaber- und Admin-Kontakt, Ablaufdatum, Auto-Renew-Status, Zahlungsmethode, wo das DNS gehostet wird und was davon abhängt (Website, E-Mail, eigene Domains in SaaS-Tools).
• Mach für jede Domain eine WHOIS- oder RDAP-Abfrage, um zu bestätigen, dass Ablaufdatum und Inhaberkontakte so sind, wie du denkst.

Für Zertifikate:

• Liste jeden Hostnamen auf, der TLS ausliefert: öffentliche Websites, Subdomains, APIs, Mailserver, VPN-Endpunkte, interne Admin-Konsolen, Load Balancer und CDN-Edges.
• Erfasse für jedes Zertifikat: Zertifizierungsstelle, Ablaufdatum, wie es ausgestellt wurde (manuell, per ACME-Automatisierung, verwaltet von einem CDN oder Hosting-Anbieter), wo der private Schlüssel liegt und wer es neu ausstellen kann.
• Nutze Certificate-Transparency-Logs (öffentlich durchsuchbare Datenbanken ausgestellter Zertifikate), um Zertifikate für deine Domains zu finden, von denen du nichts wusstest.

Die Fallen bei Auto-Renew

Auto-Renew ist notwendig, aber nicht ausreichend. Die Fehlerquellen sind vorhersehbar:

• Es hängt an einer Zahlungsmethode, die selbst abläuft. Erfasse das Ablaufdatum der Karte neben dem Ablaufdatum der Domain und prüfe beide.
• Registrare versuchen die Verlängerung oft eine bestimmte Anzahl von Tagen vor Ablauf und wiederholen den Versuch ein paarmal; schlagen die Wiederholungen fehl, hören sie auf und schicken eine E-Mail. Bleibt diese E-Mail ungelesen, läuft die Domain ab – mit Auto-Renew „an“.
• Manche Registrare deaktivieren Auto-Renew nach einer fehlgeschlagenen Zahlung, einer geänderten Konto-E-Mail oder einem Transfer.
• Mehrjährige Verlängerungen machen das Problem seltener, aber nicht weniger schwerwiegend – und durch den längeren Abstand gerät die Verlängerung im Unternehmen leichter in Vergessenheit.

Betrachte Auto-Renew als zweite Verteidigungslinie. Die erste ist ein Mensch, der rechtzeitig eine Erinnerung bekommt und prüft, ob die Verlängerung tatsächlich stattgefunden hat.

90-Tage-Zertifikate und Automatisierung

Öffentlich vertrauenswürdige Zertifikate werden seit Jahren immer kurzlebiger, und die Branche bewegt sich auf Laufzeiten zu, die in Wochen statt in einem Jahr gemessen werden. Bei solchen Intervallen ist eine manuelle Erneuerung keine realistische Option mehr; der einzig nachhaltige Weg ist die Automatisierung über das ACME-Protokoll. Dabei beantragt, validiert und installiert ein Client auf dem Server (oder dein CDN bzw. Hosting-Anbieter) Zertifikate nach Zeitplan, ganz ohne menschliches Zutun.

Automatisierung macht die Überwachung nicht überflüssig; sie ändert nur, was du überwachst. Automatische Erneuerungen scheitern lautlos, wenn DNS-Änderungen die Validierung brechen, wenn eine Firewall-Regel die Validierungsanfrage blockiert oder wenn die Client-Software veraltet ist. Richte für jeden öffentlichen Hostnamen eine externe Prüfung ein, die Alarm schlägt, wenn das ausgelieferte Zertifikat weniger als etwa 14 Tage Restlaufzeit hat. Funktioniert die Automatisierung, sollte dieser Alarm nie auslösen – und wenn doch, hast du immer noch zwei Wochen.

Zertifikate, die sich nicht automatisieren lassen – manche internen Systeme, Code-Signing-Zertifikate, Zertifikate für Appliances –, kommen mit ausdrücklichen Erinnerungen ins Inventar, genau wie eine Domain.

Registrar-Sperre und Kontohygiene

Wenn du das Inventar schon offen hast, schließe gleich die anderen üblichen Lücken:

• Aktiviere die Registrar-Sperre (Transfer-Sperre) für jede Domain, damit sie nicht ohne ausdrückliche Entsperrung wegtransferiert werden kann.
• Schalte die Zwei-Faktor-Authentifizierung für Registrar-, DNS- und Zertifizierungsstellen-Konten ein und stelle sicher, dass mehr als eine Person Zugang hat.
• Setze die E-Mail-Adressen von Inhaber- und Admin-Kontakt auf ein Funktionspostfach, das dem Unternehmen gehört (etwa domains@ oder it@), nicht auf die Adresse einer Person, und sorge dafür, dass es gelesen wird.
• Bündle Domains, wo es sinnvoll ist, bei einem oder zwei Registraren.
• Wenn der Registrar es anbietet, nutze die Einstellungen für Verlängerungshinweise, um Warnungen zusätzlich an eine zweite Adresse zu senden.

Checkliste für die Überwachung

1. Jede Domain und jedes Zertifikat steht in einem einzigen Inventar mit verantwortlicher Person und Ablaufdatum.
2. Erinnerungen für jede Domain 90, 30 und 7 Tage vor Ablauf, an mehr als eine Person.
3. Ablaufdaten der Zahlungskarten für jedes Konto mit Auto-Renew erfasst, mit eigenen Erinnerungen.
4. Externe Zertifikatsüberwachung für jeden öffentlichen Hostnamen, mit Alarm bei 14 Tagen Restlaufzeit.
5. Vierteljährlich: Inhaberkontakte, Sperren und Zwei-Faktor-Status für jedes Registrar-Konto bestätigen.
6. Jährlich: das Inventar aus Abrechnungen, WHOIS-Abfragen und Certificate-Transparency-Logs neu aufbauen, um Neues zu erfassen.
7. Beim Offboarding: prüfen, ob die ausscheidende Person Kontoinhaber oder Kontakt für eine Domain, ein Zertifikat oder einen DNS-Anbieter war.

So hilft dir Trackords

Trackords ist ein kostenloser Tracker, für den du keine Kreditkarte brauchst, und Domains und Zertifikate passen hervorragend dazu. Lege die Eintragstypen „Domain“ und „Zertifikat“ an, mit benutzerdefinierten Feldern für Registrar oder Zertifizierungsstelle, Kontoinhaber, DNS-Host, Auto-Renew-Status und Ablaufdatum der Zahlungskarte. Jeder Eintrag erhält bis zu drei E-Mail-Erinnerungen eine gewählte Anzahl von Tagen vor Ablauf oder an einem festen Datum, dazu optional eine Benachrichtigung am Ablauftag – den Rhythmus 90/30/7 von oben legst du einmal pro Eintrag fest.

Erinnerungen gehen per E-Mail an alle aktiven Benutzer des Arbeitsbereichs plus optional an eine zusätzliche E-Mail-Adresse pro Eintrag, sodass die Warnung mehr als nur die eine Person erreicht, die zufällig den Login hat. Der CSV-Import lädt das Inventar in wenigen Minuten aus einer Tabelle, und das Audit-Protokoll zeigt, wer ein Verlängerungsdatum geändert hat. Trackords ist ein System für Erinnerungen und Einträge, kein Live-Zertifikatsmonitor – kombiniere es also mit einer externen Uptime- oder TLS-Prüfung für die wichtigsten Hostnamen. Sieh dir die Seite zum Operations-Tracker oder die Live-Demo an, und für ein umfassenderes Inventar wiederkehrender IT-Kosten lies die Checkliste für das SaaS-Abo-Audit.