Das Wichtigste in Kürze
- AWS beendet die E-Mail-Validierung für öffentliche Zertifikate im Certificate Manager.
- Ab 1. Januar 2027 gibt es sie in neuen Regionen nicht mehr, ab 31. März 2027 gar nicht mehr für neue Anträge.
- Endgültig Schluss ist am 30. September 2027 — auch für Verlängerungen bestehender Zertifikate.
- Der Umstieg auf DNS-Validierung läuft im laufenden Betrieb, ohne Ausfall.
Es ist eine dieser Ankündigungen, die man im Sommer 2026 gerne wegklickt, weil das Enddatum irgendwo im Jahr 2027 liegt. Machen wir hier trotzdem auf: AWS schafft die E-Mail-Validierung für Zertifikate ab — und wer sie noch nutzt, hat einen harten Stichtag im Kalender stehen.
Worum es überhaupt geht
Bevor eine Zertifizierungsstelle dir ein TLS-Zertifikat für deine-domain.de ausstellt, muss sie prüfen, ob du diese Domain wirklich kontrollierst. Das nennt sich Domain Control Validation, kurz DCV. Es gibt dafür verschiedene Verfahren, und zwei davon sind im AWS Certificate Manager (ACM) verbreitet:
- E-Mail-Validierung: Es geht eine Mail an eine Standardadresse deiner Domain — typischerweise
admin@,webmaster@oderhostmaster@. Wer draufklickt, gilt als Eigentümer. - DNS-Validierung: Du hinterlegst einen bestimmten CNAME-Eintrag in deiner DNS-Zone. Die Zertifizierungsstelle prüft ihn und stellt aus.
Das erste Verfahren wird jetzt beerdigt.
Die Fristen im Detail
AWS staffelt das Ende in drei Stufen:
- 1. Januar 2027: In neu eröffneten AWS-Regionen wird die E-Mail-Validierung gar nicht mehr angeboten.
- 31. März 2027: Für neue Zertifikatsanträge steht sie in keiner Region mehr zur Verfügung.
- 30. September 2027: Endgültiges Aus — auch die automatische Verlängerung bestehender, per Mail validierter Zertifikate funktioniert dann nicht mehr.
Die letzte Frist ist die gefährliche. Ein Zertifikat, das sich bisher stillschweigend von selbst erneuert hat, tut das dann nicht mehr — und läuft irgendwann einfach ab. Mit den bekannten Folgen: rote Warnseite im Browser, abbrechende API-Aufrufe, Kunden, die anrufen.
Warum AWS das macht
Das ist keine AWS-Marotte, sondern eine branchenweite Entwicklung. Das CA/Browser-Forum — das Gremium, in dem Zertifizierungsstellen und Browser-Hersteller gemeinsam die Regeln festlegen — hat im November 2025 beschlossen, die E-Mail-basierte Domain-Validierung zum 15. März 2028 abzuschaffen. Danach werden per Mail validierte Zertifikate von Browsern schlicht nicht mehr als vertrauenswürdig eingestuft.
AWS zieht seine eigene Frist also rund ein halbes Jahr vor die des Forums und verschafft Kunden damit Puffer. Der Grund für die Abschaffung insgesamt: E-Mail-Validierung ist das schwächste der gängigen Verfahren. Wer eine der Standardadressen einer Domain kapert — oder wer bei einem Mailserver mitliest — kann sich damit ein gültiges Zertifikat für eine fremde Domain ausstellen lassen.
So stellst du um
Die gute Nachricht: Der Umstieg ist unspektakulär und läuft ohne Ausfall. AWS hat die Zertifikats-APIs erweitert, sodass sich die Validierungsmethode eines aktiven Zertifikats von E-Mail auf DNS umstellen lässt, ohne den laufenden Verkehr anzufassen — über UpdateCertificateOptions.
Der Ablauf in Kurzform:
- Bestand ermitteln. In der ACM-Konsole oder per CLI alle Zertifikate auflisten und schauen, welche auf
EMAILstehen. Das übersieht man leicht, weil ältere Zertifikate oft noch aus einer Zeit stammen, in der man es nicht besser wusste. - Auf DNS umstellen. AWS zeigt dir den benötigten CNAME-Eintrag an.
- CNAME setzen. Liegt deine Zone in Route 53, geht das per Klick. Bei einem externen DNS-Anbieter trägst du den Datensatz dort ein.
- Eintrag stehen lassen. Das ist der Punkt, an dem es später bei vielen kracht: Der CNAME muss dauerhaft bleiben, weil ACM ihn bei jeder automatischen Verlängerung erneut prüft. Wer nach erfolgreicher Ausstellung „aufräumt“, hat in einem Jahr ein abgelaufenes Zertifikat.
Und wenn du gar kein AWS nutzt?
Dann ist die Meldung trotzdem relevant, weil die zugrunde liegende Regel für alle Zertifizierungsstellen gilt. Wenn du irgendwo — bei deinem Hoster, bei einer kommerziellen CA, in einem alten Control Panel — noch Zertifikate per Mail validierst, läuft dieselbe Uhr.
Wer im Homelab mit Let’s Encrypt arbeitet, ist ohnehin fein raus: Dort gibt es die E-Mail-Validierung gar nicht. Die üblichen Verfahren sind HTTP-01 (eine Datei unter /.well-known/) und DNS-01 (derselbe CNAME-Mechanismus wie oben). Wer Wildcard-Zertifikate für *.homelab.example ausstellt, nutzt DNS-01 sowieso — und muss sich um gar nichts kümmern.
Häufige Fragen
Bis wann muss ich umgestellt haben?
Spätestens bis zum 30. September 2027. Ab dann funktioniert auch die automatische Verlängerung bereits bestehender, per E-Mail validierter Zertifikate nicht mehr. Für neue Anträge ist bereits ab 31. März 2027 Schluss.
Gibt es beim Umstieg einen Ausfall?
Nein. Über die API-Funktion UpdateCertificateOptions lässt sich die Validierungsmethode eines aktiven Zertifikats im laufenden Betrieb von E-Mail auf DNS wechseln, ohne den Datenverkehr zu unterbrechen.
Muss der CNAME-Eintrag dauerhaft bestehen bleiben?
Ja, unbedingt. ACM prüft den Eintrag bei jeder automatischen Verlängerung erneut. Wird er nach der ersten erfolgreichen Ausstellung gelöscht, scheitert die nächste Verlängerung und das Zertifikat läuft ab.
Warum wird die E-Mail-Validierung abgeschafft?
Sie gilt als schwächstes der gängigen Verfahren: Wer eine der Standardadressen einer Domain kontrolliert oder bei einem Mailserver mitliest, kann sich damit ein Zertifikat für eine fremde Domain ausstellen lassen. Das CA/Browser-Forum hat sie deshalb branchenweit zum 15. März 2028 abgeschafft.
Betrifft mich das mit Let’s Encrypt im Homelab?
Nein. Let’s Encrypt bietet keine E-Mail-Validierung an. Dort kommen HTTP-01 (eine Prüfdatei auf dem Webserver) und DNS-01 (ein TXT-Eintrag in der Zone) zum Einsatz — beide sind von der Änderung nicht betroffen.