Oct 12, 2026, 5:11 AMDeshalb habe ich mich mal umgeschaut: Und ja, es gibt Alternativen. Und der Wechsel ist sogar einfach und die Vorbereitungen dazu bieten noch weitere Vorteile.
So nutzt Let's Encrypt ein offenes Protokoll zur Zertifikatsausstellung, genannt ACME. Und das bieten auch die in Österreich bzw. Italien beheimateten Firmen ZeroSSL und Actalis für Endkunden kostenlos an.
#DigitaleSouveränität
https://dnip.ch/2026/10/12/souveraene-zertifikate-sichere-digitale-unabhaengigkeit/
Oct 12, 2026, 5:19 AMDamit man diese Dienste kostenlos nutzen kann, muss man allerdings auf Einzelzertfikate umstellen: D.h. pro Server (bzw. Servername) je ein eigenes Zertifikat.
Das ist kein Problem, denn die meiste Software heutzutage kann damit umgehen. Es ist aber nicht überall die Standardeinstellung. So musste ich das meinem Mailserver, Mailcow, zuerst beibringen.
Für die meisten anderen Server, inklusive meines Webservers Caddy, war das aber nur eine Zeile Änderung.
https://netfuture.ch/2026/10/sovereign-acme-certificates-for-mailcow-with-caddy-and-sni/
Oct 12, 2026, 5:24 AMCheckliste für #Souveränität bei #Zertifikat|en:
1️⃣ Wechsel auf #ACME. Sowieso nötig zur Automatisierung, spätestens nächstes Jahr.
2️⃣ Wechsel zu Einzelzertifikaten. Sowieso sinnvoll, weil das reduziert die Fehleranfälligkeit.
3️⃣ Wechsel zu #ZeroSSL oder #Actalis. Sinnvoll, weil wenn man das einmal gemacht hat, dann ist der Wechsel dazwischen und zurück zu #LetsEncrypt ein Kinderspiel. Und das hilft den Anbietern, ihre Angebote zu skalieren.
Hintergründe und Erfahrungen:
https://dnip.ch/2026/10/12/souveraene-zertifikate-sichere-digitale-unabhaengigkeit/
Oct 12, 2026, 5:30 AMDer Wechsel zu einer souveränen ACME-CA i(bzw. das Ermöglichen eines Wechsels) st einer der einfachsten Schritte zur digitalen Souveränität, mit weiteren positiven Nebenwirkungen wie Automatisierung und Reduktion von Fehlermöglichkeiten.
Doch es gibt noch weitere Abhängigkeiten. Um diese zu erkennen und priorisieren zu können, habe ich hier einige dieser Abhängigkeiten aufgezeigt.
Und für mich auch begonnen, an der Auswahl meiner Domains zu schrauben.
https://dnip.ch/2026/09/09/digitale-souveraenitaet-internet-dienste-domains-mehrstufig/
Oct 12, 2026, 5:33 AMDenn nicht alle Domains sind gleich, wie vor Kurzem auch Autistici/Inventati aus Italien leidvoll erfahren mussten, die ihre Internet-Domain autistici.org durch einen Pinselstrich von Trump verloren. (Und vieles anderes mehr.)
Ich habe alle Zertifikate unter meiner Kontrolle zu #Actalis umgestellt. Problemlos. Auf einen Schlag. Mit einem kurzen Schluckauf, der aber auch meinem Setup geschuldet sein kann. Aber auch #ZeroSSL war einfach (ausser für .town).
Und ihr?
https://netfuture.ch/2026/09/domains-for-digital-sovereignty/
Oct 12, 2026, 6:38 PM(Übrigens: Der Artikel liest sich jetzt auf MacOS und iOS noch etwas schöner. Die ☑️ sind nun auch dort sichtbar 😉.)
Oct 12, 2026, 7:33 AM@marcel Ja, habe auch schon darüber nachgedacht, wusste aber nicht, das Alternativen existieren. Danke dafür! Und weil ich Apache mit mod_md verwende, hat mich gerade sehr gefreut, dass ich folgendes lesen konnte: “The default ACME Authority for managing certificates is Let's Encrypt, but it is possible to configure another CA that supports the protocol.”
https://httpd.apache.org/docs/2.4/mod/mod_md.html – ein Projekt für die nahe Zukunft.
Oct 12, 2026, 4:58 PM@alex
Oh, kannte ich gar nicht! Bin mit Apache gross geworden (wie wahrscheinlich die meisten zu meiner Zeit), hatte dann eine mehrjährige, unglückliche Beziehung mit Nginx und bin jetzt in einer nachhaltigen Beziehung zu Caddy glücklich.
www.example.ch {
reverse_proxy http://localhost:1234
}
reicht und du hast ACME, Redirect von HTTP zu HTTPS und WS konfiguriert.
MDCertificateAuthority und MDExternalAccountBinding sind deine Freunde bei mod_md, so wie es aussieht.
https://httpd.apache.org/docs/2.4/mod/mod_md.html#mdcertificateauthority
Oct 13, 2026, 7:25 AM@marcel Ja, bin bei Apache hängen geblieben und inzwischen wieder glücklich damit, haha.
@marcel wenn ich nur vor Jahren die TTL für den CAA record für Let's Encrypt mal nicht auf ein ganzes Jahr gesetzt hätte..
Oct 12, 2026, 4:51 PM@dwloewe
Oh, ja …
Aber du kannst jetzt hoffen, dass der CAA-Record in einem typischen Resolver/Resolving Server nicht wirklich so lange gecacht wird, sondern nur ein paar Tage, zumindest, solange du nicht dauernd neue Zertifikate für die Domain ausstellen lässt.
Und dann kannst du es vielleicht in ein paar Tagen mal versuchen. Aber jetzt schon "actalis.it" (für Actalis) oder "sectigo.com" (für ZeroSSL) als zusätzlichen Wert eintragen.
@marcel Actalis aber wohl nichts für 30 Domains kostenlos, sondern nur single Domain?
Oct 13, 2026, 5:10 AM@kielkontrovers
Ich habe dort inzwischen über 1000 Zertifikate angelegt, wie ich gestern feststellen musste, als ich auf DNIP einen Kommentar beantwortete. Aber ja, das sind alles Einzelzertifikate.
Ich hatte früher™ (prä-ACME) Zertifikate mit 256 Namen (SANs) ausgestellt. Und auch ACME-Zertifikate mit ~80 SAN. Aber bin damit auch schon auf die Nase gefallen, wenn dann eine der Domains bei der Verifikation Probleme machte.
Deshalb für mich nur noch Einzelzertifikate.
https://netfuture.ch/2026/10/sovereign-acme-certificates-for-mailcow-with-caddy-and-sni/
Oct 13, 2026, 5:12 AM@kielkontrovers
Ich glaube, bei ZeroSSL (und vielleicht auch Actalis) kannst du Doppelzertifikate (mit/ohne `www.`) ausstellen lassen. Aber das ist das Ende der Gratis-Fahnenstange.
Für mich sind die Massen-SAN-Zertifikate ein Relikt aus der Prä-SNI- und Prä-ACME-Zeit. Sogar bei Mail, lange Zeit SNI-avers, kommt man inzwischen mit Einzelzertifikaten zurecht.
@marcel Schöner Artikel!
@marcel imho sind diese Angebote sehr wackelig. Wegen Gewinninteresse sind sie stark limitiert und man hat die alten Weine halt etwas gestreckt, damit die Felle nicht so sehr davon schwimmen. Ein oder mehrere EU/CH non-profits für certs wären wirklich super. Es wundert mich auch, dass es die noch nicht gibt.
Oct 12, 2026, 7:53 AMDas ist warscheinlich wie so vieles auch eine Geldfrage. Einerseits Infrastrukturkosten, aber andererseits ist es ein relativ hoher bürokratischer Aufwand in zum Beispiel das Mozilla Root Store Programm zu kommen.
Ich glaub die Überschneidung zwischen Souveränitätstechies und MBAs ist einfach gering.
Es gab ja mal http://cacert.org die den Ansatz einer non-profit-CA verfolgt haben, aber sich gegen die Einbindung in Mozilla entschieden haben.
https://www.mozilla.org/en-US/about/governance/policies/security-group/certs/policy/
Oct 12, 2026, 4:27 PM@kmq @jfroehlich
Der Aufbau (und Unterhalt) einer CA ist zeit-, bürokratie- und kostenintensiv. Es ist weniger die Technik dahinter, die teuer ist.
(Auch der DFN-Verein hatte mal eine eigene CA und mehrere Jahre für die Akzeptanz im Root-CA-Programm bei Mozilla, Apple, Microsoft und Google/Android oder so gekämpft, um dann als Sub-CA der Telekom hineinzukommen und dann am Schluss aufzugeben wegen des hohen Audit-Aufwands.)
Es dürfte also einfacher sein, die bestehenden upzugraden.
Oct 12, 2026, 4:32 PM@kmq @jfroehlich
Und natürlich hätte ich nichts gegen eine Nicht-US-Non-Profit-Organisation, die sich dem annehmen würde. Im Gegenteil!
Ich will damit einfach sagen, dass man die Compliance nicht unterschätzen sollte.
100 Zertifikate pro Sekunde zu signieren (das ist das, was Let's Encrypt im Durchschnitt so macht), ist kein Hexenwerk. Aber das ist leider nicht alles …
Oct 12, 2026, 5:06 PM@marcel @jfroehlich ach kuck - ich hatte heute morgen in Firefox gesucht und gedacht ich hätte das DFN Root Cert halluziniert gehabt.
Ich hab oberflächlich recherchiert, und LE schien 2023 ca $3 Mio/Jahr zu kosten. Das sollte man den 30 größten Europäischen Konzernen doch aus der Tasche labern können und damit Infra, Admins und einen Audit bei irgendeiner europäischen Consultancy zu bezahlen.
Wer kann fundraising ? Ich kanns nicht :)
Oct 12, 2026, 6:02 PM@kmq @jfroehlich
So viel ich weiss gab es die DFN nie als offizielle Root-CA, nur mit händischem Import. Irgendwo müsste noch ein Bugzilla-Ticket herumhängen, in dem die Integration in den Root über mehrere Jahre diskutiert wurde.
Aber ist laaaaaange her.
Oct 12, 2026, 5:11 PM@marcel @jfroehlich
> Es dürfte also einfacher sein, die bestehenden upzugraden.
Das hab ich ich nicht verstanden ? Du meinst, eine bestehende RootCA in eine Nicht-US-Non-Profit-Organsation zu übertragen ?
Oct 12, 2026, 5:51 PM@kmq @jfroehlich
Nee, einen bestehenden Non-US-CA-Betreiber dazu zu bringen, auch ACME anzubieten. Da ist das Aufwand-Delta dann relativ klein.