AWS Certificate Manager (ACM) bietet die E-Mail-Validierung ab dem 1. Januar 2027 in neuen Regionen und ab dem 31. März 2027 für neue Zertifikate nicht mehr an. Ab dem 30. September 2027 erneuert ACM E-Mail-validierte Zertifikate nicht mehr. Betroffene stellen auf DNS-Validierung um, laut AWS ohne neuen Zertifikats-ARN. Hintergrund ist die Frist des CA/Browser Forums vom 15. März 2028.
AWS Certificate Manager schafft die Bestätigung per E-Mail bis 2027 ab. Wer Zertifikate so validiert hat, muss sie vor dem 30. September 2027 auf DNS umstellen, sonst bleibt die Erneuerung aus.
Das Wichtigste in Kürze
- Neue Zertifikate gibt es ab dem 31. März 2027 nur noch ohne E-Mail-Validierung. In neuen Regionen entfällt sie schon ab dem 1. Januar 2027.
- Am 30. September 2027 endet die Erneuerung E-Mail-validierter Zertifikate. Danach laufen sie ohne Handeln aus.
- Die Umstellung auf DNS-Validierung geschieht direkt am Bestand. Der ARN bleibt gleich, deine Ressourcen brauchen keine Änderung.
- Der Auslöser ist eine Branchenregel. Das CA/Browser Forum verlangt das Ende der E-Mail-Validierung bis zum 15. März 2028.
Die Fristen im AWS Certificate Manager
AWS hat die Ankündigung am 13. August 2026 erstmals veröffentlicht und seither nicht aktualisiert. Betroffen sind alle öffentlichen Zertifikate, die ACM per E-Mail bestätigt.
| Datum | Was endet | Bemerkung |
|---|---|---|
| 1. Januar 2027 | E-Mail-Validierung in neuen AWS-Regionen | Neue Regionen starten ohne sie |
| 31. März 2027 | E-Mail-Validierung für neue Zertifikate | Gilt weltweit für neue Anfragen |
| 30. September 2027 | Erneuerung E-Mail-validierter Zertifikate | Bestehende Zertifikate laufen aus |
| 15. März 2028 | Frist des CA/Browser Forums | Für alle Zertifizierungsstellen |
Das CA/Browser Forum verpflichtet Zertifizierungsstellen, die Bestätigung per Mail bis zum 15. März 2028 aufzugeben. AWS setzt den Schritt früher um.
So stellst du auf DNS um
Die Umstellung läuft in vier Schritten ab. Zuerst findest du die betroffenen Zertifikate in der Konsole oder mit der AWS CLI. Dann wählst du für jedes "Update validation method". Danach trägst du die angezeigten CNAME-Einträge in deine DNS-Konfiguration ein. Ab dann erneuert ACM das Zertifikat automatisch.
Dabei läuft der Betrieb weiter. Nach dem Start der Umstellung hast du 72 Stunden Zeit, die CNAME-Einträge zu setzen. Technisch dient dafür die API UpdateCertificateOptions, mit der sich die Methode von E-Mail auf DNS ändert. Nach der Umstellung unterstützt ACM die DNS-Validierung, für CloudFront-Zertifikate zusätzlich die HTTP-Validierung.
Was Admins jetzt tun
- Liste alle Zertifikate mit Mail-Bestätigung auf, in jeder Region und in jedem Konto.
- Prüfe, wer die DNS-Zone der Domain verwaltet und ob ein CNAME-Eintrag dort möglich ist.
- Stelle die Zertifikate nacheinander um, am besten ausserhalb von Spitzenzeiten.
- Passe Vorlagen und Automatisierung an, die neue Zertifikate noch per Mail anfordern.
Ein weiteres Beispiel für Fristen bei TLS liefert der Beitrag zum Ende von X25519-only-TLS bei GHE.com.
Fazit
Die Frist liegt gut ein Jahr entfernt, doch Vorlagen für neue Anfragen müssen schon ab März 2027 auf DNS laufen. Der Aufwand bleibt überschaubar, weil der ARN gleich bleibt. Starte mit der Bestandsliste, damit im Herbst 2027 nichts unbemerkt ausläuft.
Quellen: AWS Security Blog vom 13. August 2026, Help Net Security. Foto: Tumisu / Pixabay. Stand: 13. August 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.