1. Einführung

Zurück zu den Grundlagen: Was sind SSL-Zertifikate?

Stellen Sie sich vor, Sie betreiben ein Geschäft, in dem Kundinnen und Kunden Ihre Produkte erwerben. Selbstverständlich möchten Sie sicherstellen, dass ihre Transaktionen geschützt sind – insbesondere dann, wenn vertrauliche Informationen wie Kreditkartendaten übertragen werden.

Ein SSL-Zertifikat fungiert als eine Art digitaler Sicherheitsbeauftragter für Ihre Website und stellt eine geschützte Verbindung zwischen den Webbrowsern Ihrer Kundschaft und Ihrem Server her.

Ein SSL-Zertifikat hilft dabei, sensible Informationen Ihrer Kundinnen und Kunden zu schützen, darunter:

• Kreditkartennummern und Zahlungsdetails.
• Persönliche Informationen wie Namen, Adressen und Telefonnummern.
• Zugangsdaten wie Benutzernamen und Passwörter.

Über den reinen Datenschutz hinaus beeinflussen SSL-Zertifikate auch, wie Ihre Website wahrgenommen wird:

• Schutz: Kundendaten bleiben sicher – besonders wichtig bei Zahlungen oder gespeicherten personenbezogenen Daten.
• Vertrauen: Das Schloss-Symbol oder „HTTPS“ signalisiert Sicherheit und stärkt das Vertrauen Ihrer Besucher:innen.
• Besseres Google-Ranking: Sichere Websites werden bevorzugt, was Ihre Sichtbarkeit erhöhen kann.

Die versteckten Risiken hinter SSL-Zertifikaten:

SSL-Zertifikate sind heute unverzichtbar. Doch die manuelle Verwaltung? Genau hier wird es kompliziert.

Die Realität der Branche

Der Betrieb einer Website erfordert Präzision und perfektes Timing. „Das machen wir später“ funktioniert nicht mehr.

• HTTPS als Standard: Browser markieren unsichere Seiten aktiv. Jede Minute ohne gültiges Zertifikat kann Besucher und Umsatz kosten. 
  
   

  

• Kürzere Erneuerungszyklen: Die Branche bewegt sich in Richtung 47 Tage Gültigkeit. Zertifikate müssen immer häufiger erneuert werden. 
  
   

  

Was kann schiefgehen?

• Ablaufrisiken: Verpasste Erneuerungen führen sofort zu Sicherheitswarnungen.
• Ausfallzeiten: Abgelaufene Zertifikate können Zugriff und Transaktionen blockieren.
• Operativer Aufwand: Mehrere Domains manuell zu verwalten wird schnell komplex.
• Sicherheitslücken: Manuelle Prozesse erhöhen das Risiko von Fehlkonfigurationen.

Moderne Browser warnen Nutzer:innen aktiv vor unsicheren Seiten. Das kann Vertrauen in Sekunden zerstören. Gleichzeitig beeinflusst HTTPS auch die Sichtbarkeit in Suchmaschinen.

Und hier liegt die eigentliche Veränderung: Infrastruktur ist heute automatisiert. CI/CD, Container, Cloud – SSL muss mithalten.

Hier kommt ACME ins Spiel.

Was sind ACME SSL-Zertifikate?

ACME hat sich als Branchenstandard für automatisierte Zertifikatsverwaltung etabliert.

ACME SSL ist eine automatisierte Lösung, die das Automatic Certificate Management Environment (ACME) nutzt, um Zertifikate ohne manuelle Eingriffe auszustellen, zu validieren und zu erneuern.

Statt CSRs manuell zu erstellen oder Ablaufdaten zu verfolgen, automatisiert ACME den gesamten Lebenszyklus über sichere API-Kommunikation zwischen Server und Zertifizierungsstelle.

• DV (Domain Validation): Schnelle, automatisierte Validierung.
• OV (Organization Validation): Zertifikate mit Unternehmensverifizierung.
   

Wichtig: Neue oder aktualisierte Organisationsprofile müssen von der Zertifizierungsstelle validiert werden. Dieser Prozess dauert in der Regel mindestens 48 Stunden. Die Validierung beginnt nach der Aktivierung, und OV-Zertifikate können erst nach Abschluss ausgestellt werden.

2. Ist ACME SSL das Richtige für Sie?

ACME SSL ist für Automatisierung konzipiert. Wenn Ihre Infrastruktur skaliert oder sich schnell verändert, spart ACME Zeit und reduziert Risiken.

ACME SSL ist ideal, wenn Sie:

• Mehrere Domains oder Subdomains verwalten.
• CI/CD, Container oder Cloud nutzen.
• SaaS-Plattformen oder Kundenprojekte betreiben.
• Wildcard-Zertifikate benötigen.
• DevOps-Workflows bevorzugen.

Typische Nutzer

• Startups und SaaS-Unternehmen.
• Agenturen.
• IT-Teams.
• Entwickler:innen.

Wann ACME nicht notwendig ist

Für einfache statische Websites kann ein manuelles Zertifikat ausreichen – dennoch reduziert Automatisierung Risiken.

DV oder OV?

• DV: Schnell und automatisiert – ideal für Projekte und interne Tools.
• OV: Für Unternehmen mit sichtbarer Verifizierung.

Kurz gesagt: Wenn Sie HTTPS ohne manuellen Aufwand wollen, ist ACME die richtige Wahl.

Wie Sie Ihr ACME-SSL-Zertifikat kaufen, konfigurieren und aktivieren

ACME SSL ermöglicht die vollständige Automatisierung des gesamten Zertifikatslebenszyklus. Keine manuellen Erneuerungen mehr. Keine bösen Überraschungen durch abgelaufene Zertifikate. Keine Ausfallzeiten, weil ein Zertifikat vergessen wurde.

In dieser Anleitung führen wir Sie durch den gesamten Prozess – von der Aktivierung Ihres ACME-SSL-Abonnements bei EuroDNS bis zur Ausstellung und Installation Ihres Zertifikats auf einem Debian-Server mit Certbot.

Schritt 1 — ACME SSL bei EuroDNS kaufen

Alles beginnt in Ihrem EuroDNS-Dashboard. Bevor Ihr Server ein Zertifikat anfordern kann, muss Ihr Abonnement existieren, aktiv sein und die Domains enthalten, die Sie absichern möchten.

1. ACME SSL kaufen

1. Melden Sie sich in Ihrem EuroDNS-Konto an.
2. Navigieren Sie zu Produkte → ACME SSL.
3. Wählen Sie das Produkt aus und schließen Sie das Abonnement ab.

Während des Bestellvorgangs konfigurieren Sie Ihr Abonnement:

• Validierungsart: DV für automatisierte Domainvalidierung oder OV für Organisationsvalidierung.
• Wildcard-Unterstützung: erforderlich, wenn Sie Zertifikate für Subdomains wie *.example.com benötigen.

Sie wählen auch aus, wie viele Domains das Abonnement abdecken soll. Jedes ACME SSL-Abonnement kann bis zu 200 Domains und Wildcard-Einträge sichern und ist damit ideal für Umgebungen mit mehreren Domains.

Schritt 2 — Abonnement aktivieren

Nach dem Kauf müssen Sie das Abonnement aktivieren. Ohne Aktivierung können keine Zertifikate ausgestellt werden.

Sobald es aktiv ist, können Sie Domains hinzufügen und Ihre Zugangsdaten abrufen.

Schritt 3 — Ihre Domain(s) zum Abonnement hinzufügen

Dieser Schritt ist entscheidend.

Der ACME-Server stellt nur Zertifikate für Domains aus, die in Ihrem Abonnement eingetragen sind. Wenn eine Domain fehlt, schlägt die Zertifikatsanforderung fehl – selbst wenn Ihr Server korrekt konfiguriert ist.

• example.com
• www.example.com
• *.example.com (Wildcards erfordern DNS-Validierung)

Sobald die Domains autorisiert sind, kann Ihr Server sicher eine Verbindung herstellen und Zertifikate anfordern.

Schritt 4 — Einen ACME-Client einrichten (mit Certbot auf Debian)

Richten Sie einen Client ein, der mit dem ACME-Server kommuniziert und Registrierung, Ausstellung und Erneuerung Ihrer Zertifikate übernimmt.

In diesem Beispiel verwenden wir Certbot. Je nach Setup können Sie aber auch andere ACME-kompatible Clients wie acme.sh, Caddy oder win-acme verwenden. Einen Überblick über weitere Optionen finden Sie in diesem ACME-first Cheat Sheet von Sectigo.

1. System aktualisieren

sudo apt update
sudo apt upgrade -y

2. Certbot installieren

Empfohlen ist die Installation in einer virtuellen Umgebung für saubere Abhängigkeiten:

sudo apt install -y python3 python3-pip python3-venv
sudo python3 -m venv /opt/certbot
sudo /opt/certbot/bin/pip install --upgrade pip
sudo /opt/certbot/bin/pip install certbot certbot-nginx

Shortcut anlegen:

sudo ln -s /opt/certbot/bin/certbot /usr/bin/certbot

Installation prüfen:

certbot --version

Schritt 5 — Ihr ACME-Konto registrieren (einmalige Einrichtung)

ACME verwendet External Account Binding (EAB), um Ihren Server sicher mit Ihrem EuroDNS-Abonnement zu verknüpfen.

Rufen Sie folgende Daten aus ACME Accounts & Settings ab:

• EAB Key ID
• EAB HMAC Key
• ACME Server URL

Registrieren Sie dann Ihr ACME-Konto:

sudo certbot register \
 --server YOUR_ACME_SERVER_URL \
 --eab-kid YOUR_EAB_KID \
 --eab-hmac-key YOUR_EAB_HMAC_KEY \
 --email admin@example.com \
 --agree-tos \
 --non-interactive

Dieser Schritt ist nur einmal erforderlich. Certbot speichert das Konto lokal und nutzt es für alle zukünftigen Erneuerungen erneut.

Schritt 6 — Ihr Zertifikat erzeugen

Nachdem Ihr ACME-Konto registriert ist, können Sie Ihr erstes Zertifikat ausstellen.

ACME unterstützt verschiedene Validierungsmethoden. Welche Sie wählen, hängt von Ihrer Serverkonfiguration und davon ab, ob Sie Standard-Domains oder Wildcard-Domains absichern möchten.

• HTTP-Challenge — empfohlen für Standard-Domains wie example.com und www.example.com.
• DNS-Challenge — erforderlich für Wildcard-Zertifikate wie *.example.com.

Option A — HTTP-Challenge (Standard-Domains)

Diese Methode eignet sich, wenn Ihr Server öffentlich über Port 80 erreichbar ist. Certbot legt dabei eine temporäre Validierungsdatei im Webroot ab, um den Domainbesitz nachzuweisen.

Zertifikat erzeugen

sudo certbot certonly \
 --webroot \
 -w /var/www/example.com \
 --server YOUR_ACME_SERVER_URL \
 --email admin@example.com \
 --agree-tos \
 --non-interactive \
 -d example.com \
 -d www.example.com

Wenn Sie erfolgreich sind, werden Ihre Zertifikatsdateien hier gespeichert:

/etc/letsencrypt/live/example.com/

Im Hintergrund prüft der ACME-Server, ob Ihre Domain das Validierungstoken korrekt ausliefert. Sobald dies bestätigt ist, wird das Zertifikat sofort ausgestellt.

Option B — DNS-Challenge (Wildcard-Zertifikate)

Wildcard-Zertifikate erfordern DNS-Validierung. Statt einer Datei auf Ihrem Server erstellt Certbot einen temporären DNS-TXT-Record, um den Domainbesitz zu bestätigen.

EuroDNS-DNS-Plugin installieren

sudo /opt/certbot/bin/pip install certbot-dns-eurodns

Sichere API-Credential-Datei erstellen

sudo mkdir -p /etc/letsencrypt/secrets
sudo chmod 700 /etc/letsencrypt/secrets
sudo nano /etc/letsencrypt/secrets/eurodns.ini

Anmeldedaten hinzufügen:

dns_eurodns_applicationId = YOUR_APP_ID
dns_eurodns_apiKey = YOUR_API_KEY

Datei sichern:

sudo chmod 600 /etc/letsencrypt/secrets/eurodns.ini

Wildcard-Zertifikat erzeugen

sudo certbot certonly \
 -a dns-eurodns \
 --dns-eurodns-credentials /etc/letsencrypt/secrets/eurodns.ini \
 --dns-eurodns-propagation-seconds 60 \
 --server YOUR_ACME_SERVER_URL \
 --email admin@example.com \
 --agree-tos \
 --non-interactive \
 -d example.com \
 -d "*.example.com"

Certbot erstellt und entfernt den benötigten DNS-TXT-Record automatisch über die EuroDNS-API.

Schritt 7 — Kontostatus im Dashboard prüfen

Kehren Sie zu Ihrem EuroDNS-Dashboard zurück und aktualisieren Sie ACME Accounts & Settings.

Der Status Ihres ACME-Kontos sollte nun als Valid angezeigt werden, was bestätigt, dass Ihr Server erfolgreich mit Ihrem Abonnement verknüpft ist.

Schritt 8 — nginx für HTTPS konfigurieren

Nachdem Ihr Zertifikat ausgestellt wurde, aktualisieren Sie Ihre nginx-Konfiguration, um es zu verwenden.

ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

Nachdem Sie Ihre Konfiguration aktualisiert haben:

sudo nginx -t
sudo systemctl reload nginx

Rufen Sie anschließend Ihre Website im Browser auf und klicken Sie auf das Schloss-Symbol, um zu bestätigen, dass das Zertifikat aktiv ist.

Schritt 9 — Automatische Erneuerung aktivieren

ACME-Zertifikate sind 90 Tage lang gültig. Die Automatisierung sorgt dafür, dass sie sich automatisch vor Ablauf der Gültigkeit erneuern.

Testen Sie die Erneuerung:

sudo certbot renew --dry-run

Wenn der Test erfolgreich ist, ist Ihr Erneuerungsprozess vollständig automatisiert.

Häufige Probleme und schnelle Lösungen

• Domain nicht zum ACME SSL-Abonnement hinzugefügt
• Falsche EAB-Zugangsdaten
• Port 80 für HTTP-Validierung blockiert
• DNS-Propagation verzögert (bei Wildcard-Zertifikaten)
• Falsche Dateiberechtigungen für API-Zugangsdaten

Bei Fehlern prüfen Sie:

/var/log/letsencrypt/letsencrypt.log
/var/log/nginx/error.log

Abschließende Checkliste

• ACME-SSL-Abonnement aktiviert
• Domains zum Abonnement hinzugefügt
• Certbot installiert
• ACME-Konto registriert
• Zertifikat erfolgreich ausgestellt
• nginx für HTTPS konfiguriert
• Automatische Erneuerung getestet

Damit verfügen Sie über ein vollständig automatisiertes SSL-Setup, das modernen DevOps-Workflows entspricht.