Let’s Encrypt „Generation Y“: Warum RSA-Zertifikate plötzlich als unvollständig gelten – und wie man es in Axigen behebt

Seit Ende 2025 stellt Let’s Encrypt Zertifikate aus einer neuen „Generation Y“-Hierarchie aus. RSA-Zertifikate laufen jetzt über die neuen Zwischenzertifikate YR1 / YR2 und den neuen Root ISRG Root YR – statt wie bisher über R10–R13 unter ISRG Root X1. Wer seit Kurzem ein neues oder verlängertes Zertifikat einsetzt und plötzlich Warnungen zu einer „unvollständigen Kette“ sieht, ist damit fast immer betroffen. (ECDSA-Zertifikate nutzen den parallelen YE-Zweig; wer mit Axigen RSA-Zertifikate ausstellt, braucht nur das hier beschriebene YR-Material.)

Warum Clients die Kette als unvollständig oder nicht vertrauenswürdig melden

Stand Mitte Juni 2026 ist der neue Root ISRG Root YR noch nicht in den Trust Stores von Betriebssystemen und Browsern hinterlegt – Let’s Encrypt hat die Aufnahme bei den großen Root-Programmen beantragt. Eine Zertifikatskette, die beim selbstsignierten Root YR endet, wird deshalb auch von aktuellen Clients abgelehnt; ältere Clients ohne Updates werden ihm womöglich nie direkt vertrauen.

Die gute Nachricht: Root YR ist gegengezeichnet („cross-signed“) vom etablierten ISRG Root X1, dem praktisch jeder Client bereits vertraut. Die Lösung besteht also darin, eine Kette auszuliefern, die über diesen gegengezeichneten Root zu X1 überbrückt – anstatt bei Root YR selbst aufzuhören.

Was in Axigen konfiguriert werden muss

Axigen liefert genau das aus, was im Feld „CA cert file“ des Listeners hinterlegt ist. Damit möglichst viele Clients der Kette vertrauen, sollte diese Datei enthalten:

1. Let’s Encrypt YR1-Zwischenzertifikat
2. Let’s Encrypt YR2-Zwischenzertifikat
3. Let’s Encrypt YR3-Zwischenzertifikat (aktuell Backup, aber vorsorglich enthalten, da Let’s Encrypt jederzeit ohne Vorankündigung davon signieren könnte)
4. ISRG Root YR, gegengezeichnet von ISRG Root X1

Da Let’s Encrypt bei jeder Ausstellung zufällig ein Zwischenzertifikat wählt, funktioniert die Datei mit allen dreien unabhängig davon, welches gerade verwendet wurde. Die resultierende Kette validiert dann als:

Ihr Zertifikat → YR1/YR2/YR3 → Root YR → ISRG Root X1

Fertiges Bundle herunterladen und einspielen

Statt die vier Zertifikate selbst zusammenzustellen, gibt es ein fertiges Bundle cert_auth.LE-YR.2026-01.pem zum Download. Kurzfassung der Schritte:

1. Bundle ins Axigen-Arbeitsverzeichnis (/var/opt/axigen) laden, Rechte auf 600 setzen und dem Benutzer axigen zuweisen.
2. In der WebAdmin-Oberfläche unter Services → (SMTP/IMAP/POP3-Listener) → SSL Settings → Show SSL Configuration das Feld Certificate authorities file auf die heruntergeladene .pem-Datei setzen, speichern und den Dienst neu laden.
3. Die ausgelieferte Kette anschließend mit openssl s_client -showcerts prüfen und sicherstellen, dass sie bei ISRG Root X1 endet.

Wichtig: Diese CA-Datei bestimmt nur, welche Kette der eigene Server präsentiert – nicht, wem der Gegenüber tatsächlich vertraut. Erst die bei X1 endende Kette macht das Zertifikat heute breit akzeptiert.

Fazit

Die Umstellung auf „Generation Y“ ist eine reine Übergangsphase: Sobald ISRG Root YR in den gängigen Trust Stores verankert ist, entfällt die Notwendigkeit der Cross-Signatur. Bis dahin gilt: Axigen-Betreiber, die RSA-Zertifikate von Let’s Encrypt nutzen, sollten das oben beschriebene Bundle einspielen und regelmäßig aktualisieren, sobald Let’s Encrypt die YR-Zwischenzertifikate rotiert oder den gegengezeichneten Root neu ausstellt.