Zertifikate, die sich selbst erneuern.
Bald laufen TLS-Zertifikate alle 47 Tage ab. Projekt 47 erneuert sie automatisch und spielt sie selbst ein – auf Exchange, IIS, RD-Gateway, Firewalls und Linux. Für alle deine Kunden in einem Dashboard.
Private Schlüssel bleiben im Kundennetz Gehostet in Deutschland Agent als Open Source
CA-neutral über ACME – funktioniert mit
Let’s Encrypt HARICA Sectigo ZeroSSL Google Trust ServicesDie neue Realität
Von 398 auf 47 Tage.
Die Browser-Hersteller und Zertifizierungsstellen haben es beschlossen (CA/B Forum, SC-081v3): Die Laufzeit öffentlicher TLS-Zertifikate sinkt in drei Stufen. Ab 2029 gilt auch die Domain-Validierung nur noch 10 Tage.
Maximale Laufzeit eines TLS-Zertifikats
CA/B ForumWer heute einmal im Jahr pro Server ein Zertifikat tauscht, macht es 2029 achtmal – plus Validierung alle 10 Tage. Manuell ist das nicht mehr zu schaffen.
Was das kostet
Manuell wird teuer.
Ein typisches Systemhaus: 30 Kunden mit je 4 Endpunkten, 30 Minuten pro Zertifikatstausch, 90 € interner Stundensatz.
Aufwand pro Jahr bei 120 Endpunkten
Netto pro Jahr. Projekt 47 im Partner-Tarif: 2 € pro Endpunkt und Monat.
Ab 2029, pro Jahr
43.200 €
8 Erneuerungen × 120 Endpunkte2.880 €
beliebig viele Erneuerungen- Keine Nachtschichten mehrErneuerung und Installation laufen automatisch, auch für SMTP und IMAP auf Exchange.
- Weiterverkaufen erlaubtPro-Endpunkt-Preise, die du deinen Kunden transparent weiterberechnen kannst.
So funktioniert’s
Einmal einrichten. Nie wieder dran denken.
Drei Schritte pro Kunde, meist in unter 15 Minuten. Danach erneuert der Agent jedes Zertifikat rechtzeitig und spielt es selbst ein.
-
01
Agent installieren
Ein MSI für Windows, ein Paket für Linux. Der Agent baut nur ausgehende Verbindungen auf – keine Firewall-Freigaben nötig.
PS> msiexec /i p47-agent.msi /qn TOKEN=… ✓ Agent registriert · EXCH01
-
02
Einmal CNAME delegieren
Ein DNS-Eintrag pro Domain, beim Hoster deiner Wahl. Funktioniert auch ohne DNS-API, und deine Zonen bleiben unangetastet.
_acme-challenge.mailGefundenCNAME → 7f3c….acme.projekt-47.de -
03
Ziele wählen – fertig
Der Agent erkennt Exchange, IIS und RD-Gateway selbst. Du bestätigst, welche Dienste er bedienen darf.
Exchange · SMTP, IMAPAktivRD-GatewayAktiv
Unterstützte Ziele
Da, wo deine Kunden Zertifikate brauchen.
Nicht nur Webserver: Projekt 47 kümmert sich um die Dienste, die in Systemhäusern wirklich Arbeit machen.
Exchange
IIS, SMTP, IMAP und POP – inklusive Neubindung der Dienste und RSA-Schlüssel, wo Exchange sie verlangt.
IIS
Bindungen pro Site und Port, SNI und zentraler Zertifikatsspeicher.
RD-Gateway & RDP
Remote-Desktop-Gateway, RD-Web und das RDP-Listener-Zertifikat einzelner Server.
Linux & PEM
nginx, Apache, HAProxy, Postfix, Dovecot – PEM-Dateien plus Reload-Befehl.
FortiGate Beta
SSL-VPN und Admin-Oberfläche per REST-API, ohne manuellen Upload.
Sophos Firewall Beta
Web-Admin, User-Portal und SSL-VPN über die XML-API.
Eigene Skripte
PowerShell oder Shell nach jeder Erneuerung – für alles, was es nur bei deinen Kunden gibt.
Nur überwachen
Hosts ohne Agent prüft Projekt 47 von außen und warnt rechtzeitig vor dem Ablauf.
Sicherheit
Deine Schlüssel verlassen nie das Kundennetz.
Der Agent erzeugt private Schlüssel lokal und behält sie dort. Die Cloud koordiniert nur – sie kann kein Zertifikat für dich ausstellen und keine Konfiguration erzwingen.
Schlüssel bleiben lokal
Erzeugt und gespeichert auf dem Server des Kunden, geschützt per DPAPI oder Dateirechten.
Open-Source-Agent
Apache-2.0-Lizenz. Jede Zeile, die bei deinen Kunden läuft, ist prüfbar.
Lokale Policy entscheidet
Der Agent führt nur aus, was seine lokale Richtlinie erlaubt – egal, was die Cloud verlangt.
Nur ausgehendes mTLS
Keine offenen Ports, kein VPN. Jeder Agent hat sein eigenes Client-Zertifikat.
Signierte Updates
Ed25519-signiert, gestaffelt ausgerollt und jederzeit pro Kunde pausierbar.
Gehostet in Deutschland
Rechenzentren in Deutschland, DSGVO-konform, Auftragsverarbeitungsvertrag inklusive.
CAA & CT-Watch
CAA mit accounturi und Überwachung der CT-Logs: fremd ausgestellte Zertifikate fallen sofort auf.
MFA ist Pflicht
Passkeys, TOTP oder Microsoft Entra ID. Ohne zweiten Faktor kommt niemand ins Dashboard.
Für Systemhäuser gebaut
Alle Kunden. Ein Dashboard.
Projekt 47 ist von Anfang an mandantenfähig. Du siehst auf einen Blick, wo es hakt – und deine Kunden sehen, dass du dich kümmerst.
- Mandanten mit KundenwechslerJeder Kunde mit eigenen Agents, Domains und Alarmen – getrennt bis in die Datenbank.
- Lesezugriff für KundenDeine Kunden sehen ihren Status selbst, ändern aber nichts.
- Nachweis-Reports mit deinem LogoMonatlicher PDF-Bericht: was erneuert wurde, was läuft, was ansteht.
- Preise zum WeiterverkaufenAbrechnung pro Endpunkt, transparent und planbar.
Kostenloser Check
Wie gut ist eine Domain auf 47 Tage vorbereitet?
- Alle öffentlichen Zertifikate aus den CT-Logs
- Ablaufdaten, Aussteller und Ketten der erreichbaren Hosts
- Prognose: wie oft du ab 2027 und 2029 tauschen musst
Preise
Fair, planbar, monatlich kündbar.
Alle Preise netto zzgl. USt. Keine Einrichtungsgebühr, keine Mindestlaufzeit.
Gratis
Für den Überblick: prüfen und überwachen.
0 €dauerhaft
- Kostenloser Domain-Check mit PDF-Report
- Überwachung bis 25 Zertifikate
- E-Mail-Warnung vor dem Ablauf
- CT-Watch für deine Domains
- Autopilot testen: 1 Zertifikat gratis
Pro
Der Autopilot für ein Unternehmen.
49 €pro Monat, bis 25 Endpunkte
- Automatische Erneuerung und Installation
- Alle Ziele inkl. Exchange und RD-Gateway
- Alarme per E-Mail, Teams und Webhook
- Monatlicher Nachweis-Report
Partner
Alle Kunden in einem Dashboard. Mindestens 49 € im Monat.
2 €pro Endpunkt und Monat
- Alles aus Pro, ohne Endpunkt-Limit
- Mandanten mit Kundenwechsler
- Lesezugriff für deine Kunden
- Nachweis-Reports mit deinem Logo
Alle Preise netto zzgl. USt. · monatlich kündbar · Zahlung per SEPA-Lastschrift oder Kreditkarte
Welche Zertifizierungsstelle wird verwendet?
Standardmäßig Let’s Encrypt. Projekt 47 spricht ACME und funktioniert mit jeder ACME-fähigen CA, auch mit External Account Binding (z. B. HARICA, Sectigo, ZeroSSL, Google Trust Services).
Was passiert, wenn eure Cloud ausfällt?
Der Agent arbeitet mit seinem zwischengespeicherten Soll-Zustand weiter. Zertifikate, die schon installiert sind, laufen ohnehin weiter. Weil wir Wochen vor Ablauf erneuern, überbrückt das System auch längere Störungen.
Mein Kunde hat einen Hoster ohne DNS-API. Geht das trotzdem?
Ja. Du legst einmalig einen CNAME für _acme-challenge an, der auf unseren Challenge-DNS zeigt. Danach braucht Projekt 47 keinen Zugriff auf die Zone deines Kunden.
Wo liegen die privaten Schlüssel?
Ausschließlich auf dem Server, auf dem der Agent läuft – unter Windows im Zertifikatsspeicher mit DPAPI, unter Linux als Datei mit restriktiven Rechten. Die Cloud sieht nur Zertifikatsanträge (CSR), nie den Schlüssel.
Exchange braucht RSA – klappt das?
Ja. Sobald ein Ziel RSA verlangt (Exchange, RD-Gateway, RDP, viele Firewalls), erzeugt der Agent automatisch einen RSA-Schlüssel. Sonst nutzen wir das schnellere ECDSA.
Gehen auch interne Namen wie server.firma.local?
Nein. Projekt 47 kümmert sich um öffentlich vertrauenswürdige Zertifikate, und die gibt es nur für öffentliche Domains. Für interne Namen bleibt deine interne PKI zuständig.
Wie sieht es mit DSGVO und AVV aus?
Wir hosten ausschließlich in Deutschland, verzichten auf Tracking und Drittanbieter-Skripte und schließen mit dir einen Auftragsverarbeitungsvertrag. Details stehen in der Datenschutzerklärung.
Warteliste
Sei bereit, bevor es eng wird.
Wir starten mit einer kleinen Gruppe von Systemhäusern. Trag dich ein, dann melden wir uns persönlich.