Kurz gesagt: Die Meldung „Peer certificate is going to expire“ in ESET PROTECT On-Prem bedeutet, dass ein Zertifikat für die Kommunikation zwischen Server und Agents bald abläuft. Solange es noch gültig ist, tauschst du es geordnet aus: neue Zertifizierungsstelle, neue Peer-Zertifikate, per Richtlinie verteilen, dann das Serverzertifikat wechseln. Ist es schon abgelaufen, melden sich die Clients nicht mehr und der Agent muss neu verteilt werden.
Stand: 03.11.2026
Was bedeutet die Meldung „Peer certificate is going to expire“?
Bei der Installation von ESET PROTECT On-Prem entstehen eine Zertifizierungsstelle (Certification Authority, CA) und Peer-Zertifikate für den Server und die ESET Management Agents. Damit authentifizieren sich Server und Clients gegenseitig. Jedes dieser Zertifikate hat ein Ablaufdatum.
Laut ESET-Hilfe zeigt die Web-Konsole eine Warnung, wenn ein Zertifikat oder die CA in weniger als 90 Tagen abläuft. Die Warnung erscheint unter Computers, in der Status Overview, bei den Peer Certificates und bei den Certification Authorities. Der Agent selbst meldet nichts.
Läuft das Zertifikat tatsächlich ab, versucht der Agent laut ESET weiter, sich zu verbinden, scheitert aber. Die Endpoints melden sich nicht mehr beim Server, damit fehlt dir der aktuelle Stand dieser Rechner in der Konsole. Die Clients werden nicht automatisch entfernt. Hast du den Servertask „Delete not connecting computers“ entsprechend konfiguriert, kann er sie allerdings löschen.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Welches Zertifikat läuft ab?
ESET unterscheidet in seinem Knowledgebase-Artikel mehrere Fälle. Prüfe unter More > Certificates > Peer Certificates und bei den Certification Authorities, welches Zertifikat betroffen ist:
| Situation | Vorgehen laut ESET |
|---|---|
| Agent-Zertifikat läuft bald ab | Neue CA und neues Agent-Peer-Zertifikat erstellen, per neuer Agent-Richtlinie verteilen, altes Zertifikat erst danach löschen. |
| Agent-Zertifikat abgelaufen | Neue CA und neues Peer-Zertifikat erstellen, ESET Management Agent auf den betroffenen Endpoints neu verteilen. |
| Serverzertifikat läuft ab oder ist abgelaufen, CA noch gültig | Neues Serverzertifikat erstellen und am ESET PROTECT Server setzen. |
| CA läuft bald ab | Neue CA mit anderem Common Name, neue Server- und Agent-Zertifikate, Verteilung per Richtlinie, nach der Replikation Serverzertifikat wechseln, alte CA zuletzt löschen. |
| CA abgelaufen | Neue CA mit anderem Common Name, alle Zertifikate ersetzen, Agent neu verteilen, neues Serverzertifikat setzen. |
Für die Schritte brauchst du ausreichende Administratorrechte. Standardmäßig liegen Zertifikate und CA in der statischen Gruppe All. Fehlt dir eine Option, empfiehlt ESET, einen zweiten Administrator mit allen Zugriffsrechten anzulegen.
Wie tauschst du ein bald ablaufendes Zertifikat aus?
Die ESET-Hilfe beschreibt den Ablauf so:
- Erstelle eine neue Zertifizierungsstelle mit neuem Gültigkeitszeitraum, am besten sofort gültig.
- Erstelle unter More > Certificates > Peer Certificates neue Peer-Zertifikate für den ESET PROTECT Server und die übrigen Komponenten, also ESET Management Agent und gegebenenfalls ESET Bridge. Sie müssen im Gültigkeitszeitraum der neuen CA liegen.
- Lege Richtlinien an, die die neuen Peer-Zertifikate setzen, und weise sie den Serverkomponenten und den Agents auf allen Clients zu.
- Warte die Replikation ab. ESET empfiehlt 24 Stunden oder die Bestätigung, dass alle Agents mindestens zweimal repliziert haben. Beschleunigen kannst du das unter Computers mit einem Klick auf den Rechner und Send Wake-Up Call.
- Ersetze das Serverzertifikat in den ESET PROTECT Server Settings.
- Starte den Dienst ESET PROTECT Server neu.
- Prüfe, ob sich alle Clients verbinden. Erst dann widerrufst du die alten Peer-Zertifikate und löschst die alte CA.
Die Reihenfolge ist wichtig. Wechselst du das Serverzertifikat, bevor alle Agents das neue Zertifikat haben, verlierst du genau die Clients, die noch nicht repliziert haben.
Wie wirst du künftig rechtzeitig gewarnt?
- Richte unter More > Settings zuerst die SMTP-Verbindung ein.
- Öffne im Bereich der Benachrichtigungen die vordefinierten Benachrichtigungen für ESET PROTECT Certificate und ESET PROTECT Certification Authority und klicke auf Edit Notification.
- Trage im Abschnitt Distribution eine E-Mail-Adresse ein, idealerweise ein Sammelpostfach der IT.
Beachte: Benutzer sehen Benachrichtigungen nur für Zertifikate in ihrer Heimatgruppe und nur mit Leserechten auf Zertifikate.
So unterstützen wir dich
Wir betreuen ESET-Installationen für Unternehmen, Praxen und Kanzleien in Osnabrück und Umgebung, entfernter per Fernwartung. Dazu gehört, Zertifikate rechtzeitig zu tauschen und Agents neu zu verteilen, wenn ein Zertifikat schon abgelaufen ist. Mehr dazu auf unserer Seite zu Virenschutz für Unternehmen.
Häufige Fragen
Sind die Rechner ungeschützt, wenn das Zertifikat abläuft?
Der Knowledgebase-Artikel beschreibt, dass sich die Endpoints nicht mehr beim Server melden. Du verlierst damit die zentrale Verwaltung und den Überblick über den Schutzstatus.
Muss ich bei abgelaufenem Agent-Zertifikat jeden Rechner anfassen?
Laut ESET muss der ESET Management Agent auf den betroffenen Endpoints neu verteilt werden. Deshalb lohnt es sich, vor dem Ablauf zu tauschen.
Wann darf ich die alte CA löschen?
Erst ganz am Ende, wenn alle Clients mit den neuen Zertifikaten verbunden sind und einwandfrei arbeiten.
Wie lange vorher warnt ESET PROTECT?
Die ESET-Hilfe nennt eine Warnung in der Web-Konsole, wenn ein Zertifikat oder die CA in weniger als 90 Tagen abläuft.
Quellen
- Peer certificate is going to expire error in ESET PROTECT On-Prem (KB8566) (ESET, abgerufen am 03.11.2026)
- Expiring Certificate: reporting and replacement (ESET, abgerufen am 03.11.2026)
