Wer seine Zertifikate nicht kennt, erfährt von Problemen erst durch eine Browserwarnung. Zwei Fälle dieser Woche zeigen, wie schnell das geht.
Fall 1: eMudhra
- Die privaten Schlüssel von acht Zwischenzertifikaten der indischen Zertifizierungsstelle eMudhra waren trivial wiederherstellbar, einer lautete „4“. Damit hätten sich gültige Zertifikate für beliebige Domains erzeugen lassen.
- Ein Forscher meldete es am 17. Oktober. Chrome und Firefox sperrten die Zertifikate sofort, Apple und Microsoft folgten laut Berichten am 19. und 20. Oktober.
- Chrome entfernt die Wurzel emSign ECC Root CA G3 bis 27. Oktober. eMudhra schätzt rund 30.000 Kundenzertifikate, die ersetzt werden müssen. Gefälschte Zertifikate sind laut Chrome in den Transparenzprotokollen nicht zu sehen.
Fall 2: GoDaddy
- GoDaddy widerrief 404.607 Zertifikate, weil sie nicht den eigenen veröffentlichten Profilen entsprachen. Ein Angriff oder technischer Fehler war es nicht.
- Die Frist für den Widerruf, 24 Stunden und spätestens fünf Tage, wurde verfehlt. Betroffen waren auch Kunden der GoDaddy-Töchter Host Europe und DomainFactory, die bis 21. Oktober ersetzen mussten.
- GoDaddy warnt: Ein neues Zertifikat im Konto heißt nicht, dass der Server es ausliefert.
Einordnung: Kein Fall war ein bestätigter Angriff. Ob deutschsprachige Betriebe von eMudhra betroffen sind, ist offen. Der Blick auf den eigenen Bestand lohnt trotzdem, denn die Laufzeiten sinken: Let's Encrypt stellt ab dem 10. Februar 2027 auf 64 Tage um.
Fünf Schritte für den eigenen Bestand (ISO/IEC 27002:2022)
- Inventar: Wo laufen Zertifikate, wer hat sie ausgestellt, wann laufen sie ab? (5.9)
- Aussteller: Welche Zertifizierungsstelle und welche Wurzel stehen dahinter? (5.21)
- Erneuerung: automatisieren, wo es möglich ist. (8.24)
- Auslieferung prüfen: Liefert der Server das neue Zertifikat wirklich aus?
- Ausweichplan: Wer tauscht in welcher Zeit, wenn eine Stelle ausfällt?
Quelle: eMudhra, GoDaddy, Chrome, Let's Encrypt
Stand der Recherche: 23. Oktober 2026 — Regulatorik entwickelt sich dynamisch; dieser Beitrag ersetzt keine individuelle Rechts- oder Fachberatung.
