Am 21. September 2026 ändert sich der Status der nach FIPS 140-2 validierten kryptografischen Module, wenn sie in die historische Liste des NIST aufgenommen werden. OpenSSL betont, dass das Datum bestehende Installationen nicht automatisch ungültig macht. Gleichzeitig rückt ein weiterer wichtiger Stichtag näher: OpenSSL 3.0 erreicht am 7. September 2026 das Ende seines regulären Lebenszyklus.
Für Unternehmen und Organisationen, die nutzen OpenSSL In sicherheitskritischen oder regulierten Umgebungen bringt der September zwei wichtige Änderungen mit sich, die es zu beachten gilt.
Die erste gilt OpenSSL 3.0, das am Ende seines Lebenszyklus erreicht 7. September 2026. 
Die zweite gilt FIPS 140-2, wobei die Validierungen die 21. September 2026 wird in die Liste der historischen Einträge innerhalb des amerikanischen NIST Cryptographic Module Validation Program (CMVP) verschoben.
OpenSSL betont jedoch, dass der Übergang nicht so interpretiert werden sollte, als würden alle bestehenden FIPS 140-2-basierten Systeme plötzlich ungültig.
FIPS 140-2 wird nicht über Nacht verschwinden.
FIPS 140 ist ein amerikanischer Sicherheitsstandard für kryptografische Module und ist unter anderem im öffentlichen Sektor, im Verteidigungsbereich, im Finanzwesen und in anderen Branchen mit hohen Anforderungen an Informationssicherheit und die Einhaltung gesetzlicher Bestimmungen von großer Bedeutung.
Wenn eine FIPS 140-2-Validierung am 21. September in die Liste der historischen Zertifikate verschoben wird, bedeutet dies nicht, dass das Zertifikat widerrufen wird.
Bestehende Systeme, die ein zuvor validiertes kryptografisches Modul verwenden, müssen daher aufgrund der Änderung nicht automatisch außer Betrieb genommen werden.
In bereits implementierten und autorisierten Umgebungen kann die weitere Nutzung je nach den regulatorischen Anforderungen der Organisation, der Risikobewertung und den für den aktuellen Betrieb geltenden Regeln möglich sein.
Anders verhält es sich jedoch bei neuen Systemen, Beschaffungen und Sicherheitsgenehmigungen. Dort FIPS 140-3 der Standard, an den sich Organisationen halten müssen, wenn eine aktive FIPS-Validierung erforderlich ist.
OpenSSL ist bereits auf FIPS 140-3 umgestiegen.
Für Organisationen, die OpenSSL verwenden, gibt es bereits eine validierte Lösung für den neuen Standard.
OpenSSL FIPS Provider 3.1.2 wird gemäß validiert FIPS 140-3 durch das gemeinsame Validierungsprogramm für kryptographische Module von NIST und Canadian CSE.
Die Validierung hat CMVP-Zertifikatsnummer 4985 und ist gültig bis 10. März 2030.
Laut OpenSSL kann der FIPS-validierte Provider mit mehreren Versionen innerhalb der OpenSSL 3.x-Serie verwendet werden.
Dies bedeutet, dass Organisationen den Übergang zu FIPS 140-3 planen können, ohne die Umstellung unbedingt als vollständigen Austausch ihrer gesamten kryptografischen Infrastruktur betrachten zu müssen.
Für große Organisationen kann dies von erheblicher Bedeutung sein. Eine Migration in regulierten Umgebungen umfasst oft weit mehr als die Installation einer neuen Softwareversion.
OpenSSL 3.0 erreicht am 7. September das Ende seines Lebenszyklus.
Die FIPS-Änderung ist jedoch nicht das einzige wichtige Thema für OpenSSL-Nutzer im September.
Der 7. September 2026 Wann OpenSSL 3.0 Ende seines normalen Lebenszyklus.
Nach dem Ende des Lebenszyklus sollten Organisationen nicht mehr erwarten, dass innerhalb des normalen Supportzyklus regelmäßige Sicherheitsupdates für die betreffende Version bereitgestellt werden.
Dies bedeutet, dass Unternehmen, die noch OpenSSL 3.0 verwenden, zwischen zwei separaten Problemen unterscheiden müssen:
Softwarelebenszyklus und Support, was dadurch beeinträchtigt wird, dass OpenSSL 3.0 das Ende seines Lebenszyklus erreicht.
FIPS-Validierung, das sich damit befasst, welches kryptografische Modul verwendet wird und welchen Status es innerhalb von CMVP hat.
Die Tatsache, dass eine FIPS-Validierung für ein bestehendes System möglicherweise noch relevant ist, bedeutet nicht automatisch, dass die zugrunde liegende OpenSSL-Version auch nach Ablauf ihres Supportzeitraums weiterhin verwendet werden sollte.
OpenSSL 3.5 ist die LTS-Version.
Für Organisationen, die ihre langfristige OpenSSL-Strategie planen, OpenSSL 3.5 besonders relevant.
Es handelt sich um eine Long Term Support-Version (LTS) mit einer längeren geplanten Supportperiode.
Dies bedeutet, dass Unternehmen, die noch ältere OpenSSL-Versionen verwenden, die bevorstehende FIPS-Änderung möglicherweise als Teil einer umfassenderen Modernisierung ihrer kryptografischen Infrastruktur betrachten müssen.
Anstatt einfach von FIPS 140-2 auf FIPS 140-3 umzusteigen, können Organisationen gleichzeitig evaluieren, welche OpenSSL-Version in den kommenden Jahren ihre Infrastruktur unterstützen wird.
Die größte Herausforderung dürfte die Validierung sein.
Die technische Aufrüstung selbst muss nicht der zeitaufwändigste Teil der Arbeit sein.
Bei regulierten Geschäftsprozessen kann eine Änderung der kryptografischen Komponenten auch Auswirkungen auf die Dokumentation, die Sicherheitsarchitektur, interne Kontrollen, Tests, Risikobewertungen und externe Genehmigungen haben.
Es können auch Abhängigkeiten in Anwendungen, Betriebssystemen, Netzwerkprodukten, Sicherheitsplattformen und anderen Systemen bestehen, wo OpenSSL indirekt verwendet.
Organisationen sollten daher nicht nur direkt auf den Servern überprüfen, welche OpenSSL-Versionen installiert sind.
Sie müssen außerdem abbilden, wo OpenSSL- und FIPS-validierte Komponenten als Teil größerer Produkte und Plattformen eingesetzt werden.
Vier Fragen, die IT-Organisationen sich jetzt stellen sollten
Vor September sollten sich Unternehmen und Behörden vor allem ein klares Bild von ihrem aktuellen Umfeld verschaffen.
Wo wird OpenSSL 3.0 verwendet?
Systeme, die noch von dieser Version abhängig sind, müssen vor dem Supportende am 7. September identifiziert werden.
Wo werden FIPS 140-2-validierte Module eingesetzt?
Dies gilt sowohl für direkte Installationen als auch für kryptografische Komponenten, die in andere Systeme integriert sind.
In welchen Umgebungen ist eine aktive FIPS 140-3-Validierung erforderlich?
Die Anforderungen können je nach bestehendem System, Neuinstallation, Beschaffung und zukünftigen Projekten variieren.
Wie lange dauert der Genehmigungsprozess der Organisation selbst?
Bei regulierten Betriebsabläufen können Tests, Dokumentation und Sicherheitsüberprüfungen deutlich länger dauern als das Upgrade selbst.
Keine feste Grenze, aber ein klarer Wandel
OpenSSL möchte klarstellen, dass der 21. September nicht als Tag betrachtet werden sollte, an dem die gesamte auf FIPS 140-2 basierende Infrastruktur plötzlich abgeschaltet werden muss.
Doch der Wandel markiert dennoch eine klare Kursänderung.
FIPS 140-3 ist die neue Generation des Standards, während ältere OpenSSL-Versionen nach und nach ihre regulären Supportzeiträume verlassen.
Für IT-Manager, Sicherheitsmanager, Systemverantwortliche und Organisationen mit regulatorischen Anforderungen ist das Thema daher weitreichender als ein einzelnes Datum im September.
Es geht darum sicherzustellen, dass die kryptografische Infrastruktur Unterstützt, validiert und auch für zukünftige Systeme und Sicherheitsanforderungen nachhaltig..
Organisationen, die noch auf OpenSSL 3.0 oder FIPS 140-2 angewiesen sind, haben daher einen Grund, ihre Umgebungen jetzt zu inventarisieren, betroffene Systeme zu priorisieren und einen klaren Plan für den Übergang zu einer modernen und weiterhin unterstützten OpenSSL-Umgebung zu erstellen.
Swedish 
Danish 
Norwegian 
Finnish 
English 
German 
Dutch 