24. März 2026
Einführung
Digitale Zertifikate haben eine begrenzte Gültigkeitsdauer. Läuft ein Zertifikat unbemerkt ab, können Signatur-, Authentifizierungs- oder Integrationsprozesse unterbrochen werden. Deshalb sollte der Zertifikatsbestand nicht nur dokumentiert, sondern mit klaren Fristen, Verantwortlichkeiten und einem definierten Erneuerungsweg gesteuert werden.
Für qualifizierte Zertifikate für elektronische Signaturen verlangt Anhang I der eIDAS-Verordnung Angaben zu Beginn und Ende der Gültigkeitsdauer. Für die Validierung einer qualifizierten elektronischen Signatur ist außerdem relevant, dass das zugrunde liegende qualifizierte Zertifikat zum Zeitpunkt des Signierens gültig war. Der Ablauf eines Zertifikats bedeutet daher nicht automatisch, dass eine zuvor erzeugte Signatur nachträglich unwirksam wird; entscheidend sind der Signaturzeitpunkt, die vorhandenen Validierungsdaten und der konkrete rechtliche Kontext.
Dieser Leitfaden zeigt, wie Unternehmen einen belastbaren Zertifikatskalender aufbauen: vom vollständigen Inventar über Fristen und Zuständigkeiten bis zur Prüfung eines neu ausgestellten Zertifikats und zur nachvollziehbaren Historie.
Was bedeutet der Ablauf eines digitalen Zertifikats?
Ein digitales Zertifikat enthält einen festgelegten Gültigkeitszeitraum. Nach dessen Ende sollte es nicht mehr als aktuell gültiges Zertifikat für neue Vorgänge verwendet werden. Je nach Einsatzzweck kann ein abgelaufenes Zertifikat beispielsweise neue Signaturen, Systemauthentifizierung oder gesicherte Verbindungen beeinträchtigen.
Davon zu trennen ist die Bewertung bereits abgeschlossener Signaturvorgänge. Bei einer qualifizierten elektronischen Signatur nach eIDAS gehört die Gültigkeit des qualifizierten Zertifikats zum Zeitpunkt des Signierens zu den Validierungsanforderungen. Für langfristige Nachweisbarkeit können zusätzliche Validierungs-, Zeitstempel- oder Bewahrungsinformationen relevant sein.
Für den Betrieb folgt daraus eine einfache Trennung: Der Zertifikatskalender steuert die zukünftige Nutzbarkeit eines Zertifikats. Die Signaturvalidierung bewertet dagegen einen konkreten, bereits erfolgten Signaturvorgang.
Zertifikatsbestand vollständig erfassen
Ein Verlängerungsplan funktioniert nur, wenn der Bestand vollständig ist. Neben Zertifikatsname und Ablaufdatum sollte der Eintrag auch zeigen, wofür das Zertifikat eingesetzt wird und wer für den jeweiligen Vorgang zuständig ist.
Neue Zertifikate sollten nach ihrer Inbetriebnahme unmittelbar in das Inventar aufgenommen werden. Ebenso wichtig ist die Bereinigung: Nicht mehr verwendete Zertifikate dürfen nicht dauerhaft als aktive Einträge weitergeführt werden.
Fristen und Verantwortlichkeiten festlegen
Der passende Erinnerungszeitpunkt ist eine betriebliche Planungsentscheidung und sollte sich am tatsächlichen Verfahren orientieren. Identitäts- oder Organisationsprüfung, interne Freigaben, Ausstellung durch den Anbieter, technische Tests und Einbau benötigen je nach Zertifikat unterschiedlich viel Zeit. Ein pauschaler Vorlauf für den gesamten Bestand ist deshalb meist weniger zuverlässig als eine risikobasierte Frist je Zertifikatstyp.
Für jedes Zertifikat sollten mindestens eine verantwortliche Person und eine Vertretung benannt sein. Bei kritischen Zertifikaten ist zusätzlich eine Eskalationsregel sinnvoll, falls die Erneuerung bis zu einem definierten Kontrollpunkt nicht begonnen oder abgeschlossen wurde.
Ein guter Kalender zeigt deshalb nicht nur das Ablaufdatum, sondern auch den nächsten erforderlichen Schritt. So wird aus einer Erinnerung eine steuerbare Aufgabe.
Erneuerung oder Neuausstellung planen
Im Betriebsalltag wird häufig von „Verlängerung“ gesprochen. Technisch besteht der Prozess jedoch oft aus der Ausstellung eines neuen Zertifikats mit neuem Gültigkeitszeitraum. Der konkrete Ablauf hängt vom Zertifikat, der ausstellenden Stelle und der eingesetzten Infrastruktur ab.
Der Kalender sollte den vorgesehenen Weg abbilden: Antrag oder Bestellung, erforderliche Prüfung, Ausstellung, technische Bereitstellung, Validierung und Einbau. Wo Freigaben oder externe Trust Service Provider beteiligt sind, gehören auch diese Abhängigkeiten in den Plan.
Wichtig ist außerdem die Trennung zwischen Planung und Abschluss. Ein gestellter Antrag bedeutet noch nicht, dass das neue Zertifikat einsatzbereit ist. Erst nach erfolgreicher Ausstellung, Prüfung und Inbetriebnahme sollte der Vorgang als abgeschlossen gelten.
Neues Zertifikat vor dem Einsatz prüfen
Ein neu ausgestelltes Zertifikat sollte nicht allein deshalb produktiv gesetzt werden, weil es vom erwarteten Anbieter stammt. Vor dem Einbau sollten die für den Einsatzzweck relevanten Angaben geprüft werden, etwa Aussteller, Inhaber, Gültigkeitszeitraum, Zertifikatskette, vorgesehene Schlüsselverwendung und – soweit für den Prozess relevant – der aktuelle Zertifikatsstatus.
Anschließend folgt der technische Funktionstest im betroffenen System. Bei Signaturprozessen sollte insbesondere geprüft werden, ob das neue Zertifikat korrekt verwendet und die erzeugte Signatur wie erwartet validiert wird.
Der bisherige Eintrag bleibt als Historie erhalten. Dadurch lässt sich später nachvollziehen, welches Zertifikat in welchem Zeitraum eingesetzt wurde und wann der Wechsel auf den Nachfolger erfolgte.
Fristen kontrollieren und Nachweise aufbewahren
Der Zertifikatskalender sollte in einem festgelegten Rhythmus kontrolliert werden. Die Prüfung muss nicht für alle Zertifikate gleich häufig erfolgen; entscheidend ist, dass kritische Fristen rechtzeitig sichtbar werden und offene Erneuerungen einen klaren Status besitzen.
Für abgeschlossene Vorgänge empfiehlt sich ein kompakter Nachweis mit Antrag oder Vorgangskennung, neuem Gültigkeitszeitraum, verantwortlicher Person, Prüfergebnis und Datum der Inbetriebnahme. Die Aufbewahrungsdauer richtet sich nach dem jeweiligen Geschäftsprozess, internen Richtlinien und gegebenenfalls anwendbaren gesetzlichen oder regulatorischen Anforderungen.
Auch ausgemusterte Zertifikate und zugehörige Nachweisdaten sollten historisch auffindbar bleiben, wenn sie zur späteren Prüfung älterer Signaturen, Systeme oder Audit-Nachweise benötigt werden. Private Schlüssel gehören dagegen weder in den Zertifikatskalender noch ungeschützt in ein Nachweisarchiv; für ihre Stilllegung und Aufbewahrung gelten die jeweiligen Sicherheitsvorgaben des Unternehmens. Dabei ist zwischen dem Archivieren von Nachweisdaten und der weiteren produktiven Nutzung eines abgelaufenen Zertifikats zu unterscheiden.
Wo Nota Sign in den Prozess passt
Nota Sign unterstützt zertifikatsbasierte Signaturworkflows mit fortgeschrittenen elektronischen Signaturen (AES) und qualifizierten elektronischen Signaturen (QES) nach der eIDAS-Verordnung in deutschen und grenzüberschreitenden Szenarien. Teams können Zertifikatsverantwortliche, Erneuerungsfristen und Funktionstests mit dem produktiven Signaturprozess verzahnen, damit ein Zertifikatswechsel den Geschäftsvorgang nicht unterbricht.
Welche Signaturart, welches Zertifikat oder welcher Vertrauensdiensteanbieter für einen konkreten Vorgang geeignet oder erforderlich ist, hängt vom Dokument, den Parteien, dem Risikoniveau und dem anwendbaren Recht ab. Der Zertifikatskalender ersetzt diese Bewertung nicht, sondern sorgt dafür, dass die im Prozess eingesetzten Zertifikate organisatorisch kontrolliert werden.
Wenn Sie zertifikatsbasierte AES- oder QES-Workflows planen, können Sie mit Nota Sign prüfen, welche Signatur- und Vertrauensdienste zu Ihrem Prozess passen.
