SSL-Zertifikat oder Domain abgelaufen? So geht's weiter

Sehen Besucher „Dies ist keine sichere Verbindung“ mit dem Code NET::ERR_CERT_DATE_INVALID, ist Ihr SSL-Zertifikat abgelaufen (oder die Uhr des Geräts geht falsch). Die Website ist noch da, und mit einem erneuerten Zertifikat ist sie oft innerhalb einer Stunde wieder erreichbar. Meldet der Browser dagegen, dass die Seite nicht gefunden wird, erscheint eine Parkseite des Anbieters und funktionieren auch Ihre E-Mails nicht mehr, ist wahrscheinlich Ihre Domain abgelaufen oder gelöscht. Bei einer .de-Domain kann der letzte Inhaber sie nach dem Ende der Registrierung bis zum 31. Tag wiederherstellen lassen. Danach kann jeder sie registrieren. Handeln Sie also heute.

Dieser Ratgeber zeigt, wie Sie beide Fälle unterscheiden, wie Sie jeden beheben, wer die Domain verlängern darf und wie Sie das künftig verhindern. Brauchen Sie sofort einen Entwickler? Unsere Notfallhilfe startet am selben Tag für 75 € pro Stunde.

Zertifikat oder Domain? Lesen Sie die Fehlermeldung

Die meisten Suchergebnisse stammen von einem Hoster oder einem SSL-Anbieter und behandeln nur die Hälfte des Problems. Finden Sie zuerst heraus, welche Hälfte Sie betrifft.

Laut Googles Hilfe kann NET::ERR_CERT_DATE_INVALID auch erscheinen, wenn Datum und Uhrzeit des Geräts falsch sind, und ERR_NAME_NOT_RESOLVED bedeutet, dass die Adresse nicht existiert oder eine neue IP-Adresse hat (Chrome-Hilfe). Sieht nur eine Person die Warnung, prüfen Sie zuerst deren Uhr.

Die ersten 15 Minuten

1. Testen Sie auf einem anderen Gerät über mobile Daten. Machen Sie einen Screenshot der Meldung mit Code.
2. Prüfen Sie das Zertifikatsdatum. Öffnen Sie in der Warnung die Zertifikatsdetails und notieren Sie „gültig bis“ und den Aussteller (Let's Encrypt, Sectigo, Cloudflare, Ihr Hoster).
3. Fragen Sie den Domainstatus ab, bei .de über DENIC oder Ihren Anbieter. Notieren Sie Status und Daten.
4. Klären Sie, wer der Registrar ist und wer Zugang hat. Oft ist das eine frühere Agentur oder ein ausgeschiedener Mitarbeiter.
5. Durchsuchen Sie Postfach und Spam nach Verlängerungs-, Kündigungs- und Zahlungshinweisen. Eine abgelaufene Kreditkarte ist der Klassiker.
6. Erneuern Sie, wenn möglich. Verwaltet Ihr Hoster das Zertifikat, nutzen Sie die Schaltfläche „erneuern“ im Panel.
7. Informieren Sie Kunden, wie sie Sie inzwischen erreichen, per Telefon oder in sozialen Netzwerken.

Wenn es das SSL-Zertifikat ist

Warum die automatische Verlängerung scheitert

Die meisten Zertifikate sind kostenlos und werden automatisch verlängert: vom Hosting-Panel (cPanel AutoSSL, Plesk), von Certbot auf Ihrem Server oder von Plattformen wie Shopify oder Cloudflare. Läuft eines trotzdem ab, war die Automatik schon Wochen vorher defekt. Typische Gründe:

• Port 80 geschlossen. Die Standardprüfung von Let's Encrypt funktioniert nur über Port 80 (Let's Encrypt). Eine nachträglich verschärfte Firewall blockiert jede Verlängerung.
• DNS umgezogen. Die Domain zeigt auf einen neuen Server oder ein CDN, die Prüfung auf dem alten Server schlägt fehl.
• Wildcard-Zertifikate brauchen eine DNS-Prüfung mit API-Zugang zum DNS-Anbieter. Neuer Anbieter oder neuer Schlüssel, und die Verlängerung scheitert.
• Niemand bekommt die Warnung. Let's Encrypt verschickt seit dem 4. Juni 2025 keine Ablauf-E-Mails mehr (Ankündigung).
• Der Webserver wurde nicht neu geladen. Das neue Zertifikat liegt auf der Platte, ausgeliefert wird das alte.

Wenn Sie Cloudflare nutzen

Dann gibt es zwei Zertifikate: das, das Besucher sehen (von Cloudflare verwaltet), und das auf Ihrem Server. Im Modus Full (strict) prüft Cloudflare das Server-Zertifikat; ist es abgelaufen, erscheint Fehler 526. Cloudflare nennt den Wechsel auf Full eine schnelle Notlösung, die eigentliche Lösung ist die Erneuerung (Fehler 526). Stellen Sie nicht auf Flexible um: Dann ist der Verkehr zwischen Cloudflare und Ihrem Server unverschlüsselt (SSL-Modi).

Zertifikate werden immer kürzer gültig

Im April 2025 hat das CA/Browser Forum, in dem Zertifizierungsstellen und Browserhersteller sitzen, eine schrittweise Verkürzung der maximalen Laufzeit beschlossen; Apple, Google, Microsoft und Mozilla stimmten alle zu (Ballot SC-081v3). Der Zeitplan (DigiCert):

Let's Encrypt geht weiter: Standardzertifikate sinken im Februar 2027 von 90 auf 64 Tage und im Februar 2028 auf 45 Tage (Let's Encrypt). Ein Jahreszertifikat von Hand einzuspielen, ist damit vorbei: Jedes Zertifikat muss sich automatisch erneuern, und jemand muss prüfen, dass es klappt.

Wenn es die Domain ist

.de: Redemption Grace Period bei DENIC

Nach den DENIC-Domainrichtlinien läuft die Redemption Grace Period bis zum 31. Tag nach dem Ende der Registrierung des letzten Domaininhabers. In dieser Zeit registriert DENIC die Domain auf Antrag wieder für den letzten Inhaber. Läuft der Antrag nicht über das bisherige DENIC-Mitglied, ist ein Provider-Transfer-Passwort nötig; auch ein vom Inhaber benannter Dritter kann den Antrag damit stellen (DENIC). Praktisch heißt das: Sprechen Sie sofort mit dem Anbieter, bei dem die Domain zuletzt lag, und fragen Sie nach dem Status und den Kosten.

.com, .net, .org und andere generische Endungen

Hier gelten ICANN-Regeln (ERRP): zwei Erinnerungen vor Ablauf (etwa einen Monat und eine Woche vorher) und eine innerhalb von fünf Tagen danach; der Inhaber muss nach Ablauf noch verlängern können; und nach der Löschung folgt eine Redemption Grace Period von 30 Tagen, in der der Registrar die Domain wiederherstellen kann. Wie lange Sie davor zum normalen Preis verlängern können, legt der Registrar fest. Ein Anbieter veröffentlicht zum Beispiel 38 Tage Kulanzfrist, dann 30 Tage Redemption mit einer Wiederherstellungsgebühr von 20 bis 250 US-Dollar je nach Endung (40 US-Dollar für .com) und danach etwa 5 Tage bis zur Freigabe (Fozzy).

Wer darf verlängern?

Der Registrar handelt für den Domaininhaber laut Whois oder für den, der das Kundenkonto kontrolliert. Genau hier hängen viele Unternehmen fest: Die Domain wurde von einem Freelancer, einer früheren Agentur oder einem Mitarbeiter registriert, auf dessen Namen oder in dessen Konto. Läuft die Login-E-Mail über die abgelaufene Domain selbst, kommen nicht einmal Passwort-Mails an. Sammeln Sie Nachweise (Rechnungen, Handelsregisterauszug, Ausweis) und wenden Sie sich direkt an den Support des Registrars.

Das eigentliche Risiko: Drop-Catcher

Sobald eine Domain frei wird, versuchen automatisierte Dienste, sie in Sekunden zu registrieren. Die französische Registry Afnic hat dafür sogar einen eigenen Server eingerichtet, weil die Anfragen andere Registrare störten. Eine verlorene Domain bekommen Sie meist nur durch Rückkauf zurück oder, mit Markenrecht, über ein Streitverfahren. Warten Sie nicht bis zum letzten Tag.

Wann Sie einen Entwickler brauchen

• Die Verlängerung im Hosting-Panel klappt: kein Entwickler nötig. Prüfen Sie nur, ob die Seite überall per https lädt, auch mit www.
• Das Zertifikat ist erneuert, die Warnung bleibt, die Verlängerung bricht mit Fehler ab, oder Sie haben einen eigenen Server, Cloudflare oder eine Individualanwendung: Holen Sie einen Entwickler.
• Die Domain ist zurück, Website oder E-Mail aber nicht: DNS-Einträge können fehlen oder verändert sein. Ein Entwickler stellt sie wieder her und prüft das Mail-Setup (SPF, DKIM, DMARC).
• Sie erreichen den Kontoinhaber nicht: Stoßen Sie den Eigentumsnachweis beim Registrar selbst an; ein Entwickler bereitet den Rest vor.

Was Sie bereithalten sollten

• Zugang zum Registrar oder zumindest dessen Namen und Ihren Whois-Eintrag
• Zugang zu Hosting-Panel oder Server, und zu Cloudflare, falls genutzt
• Screenshots der Fehlermeldung mit Code
• Was sich zuletzt geändert hat: neuer Hoster, DNS-Umzug, Firewall, neuer Dienstleister
• Eine Person, die Verlängerungs- und Wiederherstellungskosten freigeben darf

Ist Ihre WordPress-Seite aus einem anderen Grund offline? Nutzen Sie unsere Checkliste für eine offline WordPress-Website.

Was es kostet

Die Verlängerung kostet den normalen Preis Ihres Registrars; Wiederherstellungsgebühren fallen erst in der Redemption-Phase an. Einen Entwickler brauchen Sie für das, was kaputt ist: automatische Verlängerung, DNS, Cloudflare, E-Mail. Unsere Preise, zzgl. MwSt.:

Ein Beispiel: Dauert die Reparatur einer defekten automatischen Verlängerung samt Prüfung aller Subdomains zwei Stunden an einem Werktag, zahlen Sie 150 €. Abos laufen mindestens 3 Monate. Alle Zugänge bleiben bei Ihnen; wir arbeiten in Ihren Konten und Ihrem Repository und unterzeichnen auf Wunsch eine Geheimhaltungsvereinbarung. Unser Ratgeber Was kostet ein Notfall-Entwickler? vergleicht die Preise anderer Anbieter.

So verhindern Sie es künftig

• Automatische Verlängerung an, mit einer Karte, die nicht bald abläuft, für Domain, Hosting und kostenpflichtige Zertifikate.
• Registrieren Sie die Domain auf das Unternehmen, in einem Konto, das dem Unternehmen gehört, mit einer gemeinsamen Adresse (etwa it@), die nicht über dieselbe Domain läuft.
• Überwachen Sie Ablaufdaten aller Domains und Zertifikate, mit Warnungen 30 und 7 Tage vorher. Let's Encrypt mailt nicht mehr, also muss das ein Tool oder eine Person übernehmen.
• Dokumentieren Sie, wer welchen Zugang hat: Registrar, DNS, Hosting, Cloudflare.
• Lassen Sie jemanden darauf achten. Unsere Abos umfassen Updates und Monitoring, und wir überwachen für Sie die Ablaufdaten Ihrer Domain und Ihres SSL-Zertifikats; unser Ratgeber zu Wartungskosten zeigt, was das wert ist.

Möchten Sie wissen, was als Nächstes ausfallen könnte? EngineeringScore prüft kostenlos Sicherheit, Performance, SEO, Barrierefreiheit und Zuverlässigkeit Ihrer Website.

Ist Ihre Seite gerade down?

Schicken Sie uns die Fehlermeldung und Ihre Domain über die Seite Notfallhilfe. Ein Senior-Entwickler übernimmt am selben Tag, auch außerhalb der Bürozeiten, für 75 € pro Stunde ohne Minimum, und sagt Ihnen zuerst, ob es am Zertifikat, an der Domain oder an etwas anderem liegt. Hat Sie ein Ablaufdatum schon einmal erwischt, sehen Sie sich unsere Preise für ein Abo an, das für Sie Wache hält.