Zertifikatsrotation bezeichnet den geplanten und kontrollierten Austausch eines aktiven X.509-Zertifikats durch ein neues, idealerweise lange vor dessen Ablauf. Rotation umfasst dabei die Erzeugung eines neuen Schlüsselpaars, die Beantragung und Installation eines neuen Zertifikats sowie das saubere Ablösen des alten.
In modernen Architekturen erfolgt Rotation häufig automatisiert: Webserver erneuern Zertifikate per ACME-Client, Kubernetes-Workloads beziehen sie über cert-manager, Service Meshes über interne CAs, IoT-Geräte über CMP-basierte Workflows. Neben dem Zeitablauf können auch sicherheitsrelevante Ereignisse (z. B. Schlüsselverdacht) eine Rotation auslösen.
Einsatzzweck ist die Begrenzung der Schadensauswirkung kompromittierter Schlüssel sowie die Anpassung an aktuelle kryptografische Standards. Lange laufende Zertifikate bedeuten lange Restlaufzeit im Schadensfall; regelmäßige Rotation reduziert das Zeitfenster und stellt sicher, dass Schlüssellängen, Algorithmen und Profile aktuell bleiben.
Die operative Bedeutung der Rotation ist mit der Verkürzung gültiger Zertifikatslaufzeiten stark gestiegen. Während Server-Zertifikate früher häufig drei Jahre liefen, gelten heute 397 Tage als Maximum für öffentliche TLS-Zertifikate, Let's Encrypt nutzt 90 Tage, kommende Vorgaben des CA/Browser Forums sehen sogar 47 Tage vor.
Ausgefallene Rotation hat eine eigene Geschichte: Bei Microsoft (Teams 2020), Spotify (2020), LinkedIn (2018) und vielen anderen führten abgelaufene Zertifikate zu globalen Ausfällen. Solche Vorfälle sind heute der zentrale Grund, warum manuelle Rotationsprozesse durch automatisierte PKI-Workflows abgelöst werden – "Certificate-as-Code" gehört in vielen Plattformteams längst zum Standard.