SSL-Ablauf und DNS überwachen: Checkliste für Online-Shops

Um einen Shop vor SSL- und DNS-Ausfällen zu schützen, überwachen Sie vier Dinge: den Ablauf des SSL-Zertifikats, den Ablauf der Domain-Registrierung, ob die wichtigen DNS-Einträge noch die richtigen Werte haben und ob die Zertifikatskette gültig ist. Alarmieren Sie vor jedem Ablauf mindestens 30 Tage und noch einmal 7 Tage vorher. Diese Ausfälle lassen sich leicht verhindern und sind teuer, wenn man sie ignoriert.

Ein abgelaufenes Zertifikat zeigt im Browser eine Warnung über die ganze Seite. Viele Kunden gehen dann. Ein falscher DNS-Eintrag kann Kunden oder Ihre Bestell-E-Mails ins Leere schicken.

Warum diese Ausfälle schmerzen

Beide Probleme haben eine Gemeinsamkeit: Sie bleiben still, bis sie zuschlagen.

• Ein Zertifikat funktioniert monatelang und hört an einem festen Datum auf.
• Eine Domain wird einmal im Jahr verlängert, und eine fehlgeschlagene Zahlung bleibt unbemerkt.
• Ein DNS-Eintrag ändert sich bei einer Migration, und danach prüft ihn niemand.

Fällt eines davon aus, fällt alles auf einmal aus: Shop, Checkout, API-Aufrufe und manchmal auch die E-Mail.

Teil 1: Checkliste für SSL-Zertifikate

Ein SSL/TLS-Zertifikat belegt die Identität Ihrer Domain und verschlüsselt den Verkehr.

Ihre Zertifikate kennen

• Listen Sie jeden Hostnamen auf, der ein Zertifikat braucht: Hauptshop, www, eine Checkout-Subdomain, einen API-Host, einen Chat- oder Widget-Host, einen Blog.
• Notieren Sie, wer jedes Zertifikat ausstellt und erneuert: Ihr Hoster, die Plattform, ein CDN oder Sie.
• Notieren Sie das Ablaufdatum jedes Zertifikats.

Plattformen erneuern Zertifikate oft für Sie. Shopify stellt für verbundene Domains normalerweise SSL bereit. Viele Hoster stellen automatisch aus. Die automatische Erneuerung kann trotzdem scheitern, etwa wenn DNS-Änderungen den Validierungsschritt blockieren.

Den Ablauf überwachen

• Richten Sie für jeden Hostnamen eine Ablaufprüfung ein.
• Alarmieren Sie 30 Tage und noch einmal 7 Tage vor dem Ablauf.
• Fügen Sie einen letzten Alarm bei 2 oder 3 Tagen hinzu, der an mehr Personen geht.
• Senden Sie Alarme an einen gemeinsamen Kanal, nicht nur an das Postfach einer Person.

Die Gültigkeit überwachen, nicht nur das Datum

• Hostname passt: Das Zertifikat muss genau diesen Hostnamen abdecken.
• Vollständige Kette: Ein fehlendes Zwischenzertifikat stört manche Clients, während andere funktionieren.
• Vertrauenswürdiger Aussteller: Das Zertifikat muss von einem Aussteller stammen, dem Clients vertrauen.
• Weiterleitungen: HTTP sollte ohne Schleifen auf HTTPS weiterleiten.

Die Erneuerung handhaben

• Erneuern Sie von Hand, tragen Sie das Datum mit Erinnerungen in einen gemeinsamen Kalender ein.
• Läuft die Erneuerung automatisch, prüfen Sie trotzdem, ob das neue Zertifikat installiert ist.
• Laden Sie nach jeder Erneuerung die Seite im Browser zur Kontrolle.

Teil 2: Checkliste für die Domain-Registrierung

Läuft die Domain ab, verlieren Sie die Adresse Ihres Shops.

• Schalten Sie beim Registrar die automatische Verlängerung ein.
• Hinterlegen Sie eine gültige Zahlungsmethode und prüfen Sie deren Ablaufdatum.
• Nutzen Sie für Registrar-Kontakte eine gemeinsame Funktions-E-Mail, nicht die Adresse einer Person.
• Aktivieren Sie, falls angeboten, eine Registrar-Sperre gegen ungewollte Transfers.
• Richten Sie Domain-Ablaufalarme bei 60, 30 und 7 Tagen ein.
• Halten Sie fest, wem das Registrar-Konto gehört. Viele Shops merken zu spät, dass eine frühere Agentur es hält.

Teil 3: DNS-Checkliste

DNS sagt der Welt, wo Ihr Shop und Ihre E-Mail liegen. Führen Sie eine schriftliche Liste der erwarteten Einträge.

Einträge, die Sie kennen sollten

• A und AAAA: verweisen Ihre Domain auf eine IP-Adresse.
• CNAME: verweist einen Hostnamen auf einen anderen Namen, etwa www auf die Plattform.
• MX: wohin eingehende E-Mail geht.
• TXT: SPF, DKIM und DMARC für E-Mail sowie Bestätigungscodes für Dienste.
• NS: welche Nameserver zuständig sind.
• CAA: welche Zertifizierungsstellen Zertifikate ausstellen dürfen. Nutzen Sie CAA, achten Sie darauf, dass es Ihren aktuellen Aussteller erlaubt.

Was Sie überwachen

1. Auflösung. Prüfen Sie, dass die wichtigen Hostnamen überhaupt aufgelöst werden.
2. Erwartete Werte. Vergleichen Sie Einträge mit Ihrer Liste. Alarmieren Sie bei jeder Änderung.
3. Nameserver. Alarmieren Sie, wenn sich die NS-Einträge unerwartet ändern. Das kann auf eine Entführung oder einen Fehler hinweisen.
4. E-Mail-Einträge. Prüfen Sie, dass MX, SPF, DKIM und DMARC vorhanden sind. Kaputte E-Mail-Einträge schieben Bestell-E-Mails in den Spam.
5. Verbreitung nach Änderungen. Prüfen Sie nach jeder DNS-Änderung von mehreren Orten, da Caches Zeit zum Aktualisieren brauchen.

Das Risiko bei DNS-Änderungen senken

• Kopieren Sie die aktuellen Einträge, bevor Sie etwas ändern.
• Senken Sie die TTL (Cache-Zeit) vor einer geplanten Änderung und erhöhen Sie sie danach wieder.
• Ändern Sie immer nur eine Sache.
• Prüfen Sie nach der Änderung Shop, Checkout und eine Bestell-E-Mail.
• Beschränken Sie, wer DNS bearbeiten darf, und aktivieren Sie die Zwei-Faktor-Anmeldung für das DNS-Konto.

Teil 4: Alarme einrichten

Sie können all das mit einer Mischung von Werkzeugen überwachen. Viele Uptime-Tools enthalten SSL-Ablaufprüfungen und Stichwortprüfungen. Uptrack (vom 2folk-Team) ist eine Option unter mehreren. Es gibt auch eigene DNS- und Domain-Monitore. Prüfen Sie, welches Tool Zertifikatsablauf, Domain-Ablauf und Änderungen an DNS-Einträgen abdeckt, denn die Unterstützung ist unterschiedlich.

Legen Sie klare Zuständigkeiten fest:

• Ein benannter Verantwortlicher für Zertifikate.
• Ein benannter Verantwortlicher für Domain und DNS.
• Eine Vertretung für jeden.

Teil 5: Den Ablauf testen

• Führen Sie einmal im Jahr eine Übung durch. Fragen Sie: "Wenn das Zertifikat morgen ablaufen würde, wer würde es bemerken und wer würde es beheben?"
• Prüfen Sie, dass Alarme im richtigen Postfach ankommen.
• Bestätigen Sie, dass Sie noch Zugriff auf Registrar- und DNS-Konten haben.

Die vollständige Checkliste

• Alle Hostnamen mit Aussteller und Ablaufdatum aufgelistet.
• Zertifikats-Ablaufalarme bei 30, 7 und 2 oder 3 Tagen.
• Kette und Hostname auf Gültigkeit geprüft.
• Weiterleitung von HTTP auf HTTPS funktioniert ohne Schleifen.
• Automatische Domain-Verlängerung an, Zahlungsmethode gültig.
• Registrar-Kontakt ist eine gemeinsame Funktions-E-Mail.
• Domain-Ablaufalarme bei 60, 30 und 7 Tagen.
• Schriftliche Liste der erwarteten DNS-Einträge.
• Alarme bei Änderungen von DNS-Werten und Nameservern.
• E-Mail-Einträge (MX, SPF, DKIM, DMARC) geprüft.
• Zwei-Faktor-Anmeldung bei Registrar- und DNS-Konten.
• Benannte Verantwortliche und Vertretungen.

Häufige Fragen

Wie früh sollte ich vor dem Zertifikatsablauf alarmieren?

Alarmieren Sie bei 30 Tagen und noch einmal bei 7 Tagen. Fügen Sie einen letzten Alarm bei 2 oder 3 Tagen hinzu, der an mehr Personen geht. So bleibt Zeit, eine gescheiterte automatische Erneuerung zu beheben.

Meine Plattform verwaltet mein Zertifikat. Brauche ich trotzdem Monitoring?

Ja. Die automatische Erneuerung kann scheitern, zum Beispiel nach einer DNS-Änderung. Ein Monitor meldet es Ihnen, bevor Kunden eine Warnung sehen.

Welche DNS-Einträge sind für einen Shop am wichtigsten?

Die A- oder CNAME-Einträge für den Shop, der MX-Eintrag für E-Mail und die TXT-Einträge für SPF, DKIM und DMARC. Beobachten Sie auch die NS-Einträge, denn eine Änderung dort verschiebt die Kontrolle über die gesamte Zone.

Was passiert, wenn meine Domain abläuft?

Die Shop-Adresse funktioniert nicht mehr, und E-Mail auf dieser Domain kann ebenfalls ausfallen. Registrare gewähren oft eine Karenzzeit, darauf sollten Sie sich aber nicht verlassen. Schalten Sie die automatische Verlängerung ein und alarmieren Sie vor dem Datum.