E-Mail-Validierung

Glossar Eintrag

E-Mail-Validierung

E-Mail-Validierung ist ein Verfahren, mit dem eine Zertifizierungsstelle (CA) prüft, ob Sie eine Domain oder ein Postfach kontrollieren. Für ein SSL-Zertifikat schickt sie eine E-Mail an eine festgelegte Adresse der Domain, etwa admin@ihre-domain.de; für ein S/MIME-Zertifikat (für verschlüsselte und signierte E-Mails) an das Postfach, das im Zertifikat stehen soll. Stand Oktober 2026 wird die E-Mail-Methode für SSL-Zertifikate abgeschafft, für S/MIME bleibt sie das übliche Verfahren.

Wie läuft die E-Mail-Validierung für ein SSL-Zertifikat ab?

Die Zertifizierungsstelle schickt einen Bestätigungslink an eine für Ihre Domain festgelegte Adresse, meist an der Domain selbst; mit dem Klick weisen Sie nach, dass Sie die Domain kontrollieren. Das gilt für domainvalidierte Zertifikate (DV) ebenso wie für Zertifikate mit Organisationsprüfung (OV) oder erweiterter Prüfung (EV) und dauert meist nur Minuten:

Sie bestellen das Zertifikat und wählen die Validierungsadresse aus einer festen Liste.

Die Zertifizierungsstelle sendet eine E-Mail mit einem Bestätigungslink oder Code. Dahinter steckt ein Zufallswert, den nur sie kennt.

Sie klicken auf den Link oder geben den Code ein. Der Wert ist höchstens 30 Tage gültig (Baseline Requirements des CA/Browser-Forums, Abschnitt 3.2.2.4).

Die Zertifizierungsstelle stellt das Zertifikat aus.

Bei OV- und EV-Zertifikaten kommt die Prüfung der Organisation hinzu; die E-Mail-Validierung deckt nur die Domain ab.

An welche Adressen darf die Validierungs-E-Mail gehen?

Die Baseline Requirements (Version 2.3.1) erlauben drei Wege:

Feste Adressen (Methode 3.2.2.4.4): admin@, administrator@, webmaster@, hostmaster@ oder postmaster@ an der beantragten Domain oder einer übergeordneten Domain bis zur registrierten Hauptdomain. Für shop.beispiel.de darf die E-Mail also auch an postmaster@beispiel.de gehen.

Adresse aus dem CAA-Record (Methode 3.2.2.4.13): Der DNS-Eintrag CAA legt fest, welche Zertifizierungsstellen für die Domain ausstellen dürfen, und kann mit der Eigenschaft contactemail eine Kontaktadresse nennen.

Adresse aus einem DNS-TXT-Record (Methode 3.2.2.4.14): eine E-Mail-Adresse im TXT-Eintrag _validation-contactemail Ihrer Domain.

So sehen beide DNS-Einträge in der Zone von beispiel.de aus:

beispiel.de.                           CAA  0 contactemail "admin@beispiel.de"

_validation-contactemail.beispiel.de.  TXT  "admin@beispiel.de"

Adressen aus dem WHOIS-Eintrag der Domain sind seit dem 15. Juli 2025 nicht mehr zulässig. Grund: Zertifizierungsstellen fragten teils veraltete WHOIS-Server ab, deren Antworten sich fälschen ließen, und Kontaktdaten sind aus Datenschutzgründen meist geschwärzt.

Wird die E-Mail-Validierung abgeschafft?

Ja, für SSL/TLS-Zertifikate. Das CA/Browser-Forum lässt die E-Mail-Methoden und die Bestätigung per Anruf (Telefonmethoden) auslaufen (Baseline Requirements Version 2.3.1, Abschnitt 3.2.2.4, Stand Oktober 2026).

Wiederverwendung ist die Frist, in der die Zertifizierungsstelle eine erfolgreiche Domainprüfung für weitere Zertifikate nutzen darf.

Ab	E-Mail- und Telefonmethoden	Laufzeit Zertifikat	Wiederverwendung der Domainprüfung
15.03.2026	nicht mehr empfohlen, noch erlaubt	200 Tage	200 Tage
15.03.2027	Telefonmethoden verboten	100 Tage	100 Tage
15.03.2028	E-Mail-Methoden verboten	100 Tage	100 Tage
15.03.2029	weiterhin verboten	47 Tage	10 Tage

Schon mit 100 Tagen Wiederverwendung ab 2027 wird das manuelle Bestätigen per E-Mail mühsam, ab 2028 ist es verboten. Ab 2029 (47 Tage Laufzeit, 10 Tage Wiederverwendung) ist jede manuelle Domainprüfung unpraktisch.

Die Alternativen sind ein DNS-Eintrag (TXT oder CNAME, auch als dauerhafter Eintrag möglich) oder eine Datei auf dem Webserver. Beide lassen sich über das ACME-Protokoll automatisieren, mit dem Server Zertifikate selbst beantragen und erneuern (RFC 8555, bekannt von Let's Encrypt). Für Wildcard-Zertifikate kommt nur die DNS-Validierung in Frage.

Wie funktioniert die E-Mail-Validierung bei S/MIME-Zertifikaten?

Bei E-Mail-Zertifikaten prüft die Zertifizierungsstelle ein Postfach statt einer Domain, meist per E-Mail an das Postfach selbst. Sie erhalten dort, und nur dort, einen Zufallswert und bestätigen ihn innerhalb von 24 Stunden per Link oder Code (S/MIME Baseline Requirements, Version 1.0.16, Stand Oktober 2026).

Daneben gibt es drei weitere Wege: die Prüfung der ganzen Domain wie bei SSL-Zertifikaten, den Nachweis als Betreiber des Mailservers und die automatische Prüfung per ACME. Die Domainprüfung erlaubt Zertifikate für alle Postfächer der Domain und ist für Unternehmen mit vielen Mitarbeitern praktisch.

S/MIME-Zertifikate gibt es in vier Klassen. Die Prüfung des Postfachs ist in allen Pflicht, die Klassen unterscheiden sich darin, was zusätzlich geprüft wird:

S/MIME-Klasse	Geprüft wird
Mailbox-validated (postfachvalidiert)	nur das Postfach
Organization-validated (organisationsvalidiert)	Postfach und Organisation
Sponsor-validated (sponsorvalidiert)	Postfach, Organisation und die Person, die für sie handelt
Individual-validated (personenvalidiert)	Postfach und Person

Eine Bestätigung per E-Mail an das Postfach darf höchstens 30 Tage zurückliegen, eine Prüfung über die Domain bis zu 398 Tage; das Zertifikat selbst gilt höchstens 825 Tage. Wer ein S/MIME-Zertifikat erneuert, bestätigt das Postfach also in der Regel neu.

Worauf sollten Sie bei der E-Mail-Validierung achten?

Die E-Mail-Validierung gelingt nur, wenn die Validierungsadresse existiert und Sie den Link rechtzeitig bestätigen.

Falls Ihre Zertifizierungsstelle die E-Mail-Validierung noch anbietet: Richten Sie vor der Bestellung ein Postfach wie admin@ oder postmaster@ ein und prüfen Sie, ob es E-Mails annimmt. Eine Weiterleitung reicht.

Prüfen Sie den Spam-Ordner. Die Validierungs-E-Mail kommt von der Zertifizierungsstelle, nicht vom Händler.

Der Bestätigungslink gilt bei SSL-Zertifikaten höchstens 30 Tage, bei S/MIME höchstens 24 Stunden. Danach fordern Sie die E-Mail neu an.

Für SSL-Zertifikate lohnt der Umstieg auf DNS- oder Datei-Validierung schon jetzt: Beide lassen sich automatisieren und bleiben nach 2028 erlaubt.

Fazit

E-Mail-Validierung ist einfach, aber bei SSL-Zertifikaten ein Auslaufmodell: seit März 2026 nicht mehr empfohlen, ab März 2028 verboten. Für S/MIME-Zertifikate bleibt die Bestätigung per E-Mail an das Postfach das normale Verfahren, eine Bestätigung lässt sich aber nur 30 Tage lang für die Ausstellung nutzen. Wer SSL-Zertifikate regelmäßig erneuert, stellt die Domainprüfung jetzt auf DNS um, bei Wildcard-Zertifikaten zwingend.

Glossar-Einträge mit "E"

Weitere Glossar-Einträge »