Ja, in der Regel erstellen Sie für jede Verlängerung einen neuen CSR mit einem neuen Schlüsselpaar. Technisch ließe sich der alte CSR zwar wiederverwenden, doch alle gängigen Zertifizierungsstellen und SSL.de empfehlen einen frischen CSR — aus Sicherheits- und Compliance-Gründen.
Eine „Verlängerung" im klassischen Sinn gibt es bei SSL-Zertifikaten ohnehin nicht. Jedes Zertifikat ist eine eigenständige Neuausstellung mit eigener Seriennummer, eigenem Gültigkeitszeitraum und eigener digitaler Signatur. Die Bezeichnung „Verlängerung" beschreibt nur den kommerziellen Vorgang — technisch wird ein neues Zertifikat ausgestellt.
Warum ein neuer CSR sinnvoll ist:
Wann Sie einen neuen CSR zwingend brauchen:
| Situation | Neuer CSR nötig? | Begründung |
|---|---|---|
| Domainname ändert sich (Hauptdomain oder SAN) | ja | Im CSR sind die zu zertifizierenden Domains hinterlegt |
| Validierungsstufe wechselt (z.B. von DV auf OV) | ja | Im CSR werden zusätzliche Organisationsdaten benötigt |
| Schlüssellänge oder -typ ändert sich | ja | Der Public Key im CSR bestimmt das Zertifikat |
| Server- oder Hosting-Wechsel | empfohlen | Neuer Server, neues Schlüsselpaar — sauberer Schnitt |
| Reine Laufzeitverlängerung, gleiche Domain, gleicher Server | technisch nein, empfohlen ja | Wiederverwendung möglich, aber Schlüsselrotation entfällt |
| Re-Issue nach Kompromittierung des Private Keys | ja, zwingend | Alter Schlüssel ist verbrannt und das Zertifikat muss gesperrt werden |
Praktische Empfehlung für die Verlängerung:
Beispiel für einen RSA-CSR mit OpenSSL:
openssl req -new -newkey rsa:2048 -nodes -keyout meine-domain.key -out meine-domain.csr
Vor der Einreichung lohnt sich eine Plausibilitätsprüfung: Unser CSR-Check liest den erzeugten CSR aus und zeigt, welche Domains, Organisationsdaten und Schlüsselparameter darin tatsächlich hinterlegt sind — so fallen Tippfehler oder falsche Schlüssellängen vor der Bestellung auf.
Ein Hinweis zur Laufzeit: Mit der schrittweisen Verkürzung der maximalen Zertifikatslaufzeit auf 47 Tage ab März 2029 wird der manuelle CSR-Wechsel pro Bestellung unpraktikabel. Wer mehrere Zertifikate betreibt, sollte den Prozess automatisieren — etwa über ACME-Clients mit DNS-Validierung, die CSR, Schlüsselrotation und Installation in einem Lauf erledigen.
