Gefälschte HTTPS-Zertifikate möglich: Google und Mozilla sperren eMudhra-Schlüssel
Google und Mozilla haben acht kompromittierte Zwischenzertifikate der Zertifizierungsstelle eMudhra gesperrt. Die dazugehörigen privaten Schlüssel waren nach Angaben der Browserhersteller mit unzureichender kryptografischer Zufälligkeit erzeugt worden. Wer über solche Schlüssel verfügt, kann unter bestimmten Bedingungen täuschend echte HTTPS-Zertifikate für fremde Websites erstellen.
Wieso ein Schlosssymbol allein nicht genügt
Beim Öffnen einer HTTPS-Seite prüft der Browser eine Zertifikatskette: Das Zertifikat der Website muss letztlich auf eine vertrauenswürdige Zertifizierungsstelle zurückgehen. Zwischenzertifikate dürfen innerhalb dieser Kette weitere Zertifikate signieren. Sind ihre privaten Schlüssel kompromittiert, können Angreifer diese Vertrauenskette missbrauchen.
Ein gefälschtes Zertifikat allein verschafft jedoch noch keinen Zugriff auf eine fremde Website. Für einen erfolgreichen Angriff müsste der Datenverkehr des Opfers zusätzlich umgeleitet oder abgefangen werden. In einer solchen Man-in-the-Middle-Situation könnten gefälschte HTTPS-Verbindungen das Auslesen oder Manipulieren von Daten ermöglichen.
Was Chrome und Firefox unternommen haben
Laut Google Security Blog ging die Meldung am 17. Oktober 2026 um 18:05 UTC ein. Chrome bestätigte den Befund und verteilte kurzfristig ein CRLSet-Update, das die betreffenden öffentlichen Schlüssel blockiert. Diese Sperre konnte auch ohne Browser-Neustart greifen.
Mozilla erhielt den Bericht am selben Tag um 20:06 UTC und verteilte die Sperren über OneCRL. Nach Angaben von Mozilla war die Verteilung an normal konfigurierte Firefox-Installationen weniger als drei Stunden später abgeschlossen. Am 20. Oktober erschien zusätzlich Firefox 158.0.1 für Desktop und Android. Für ESR-Nutzer veröffentlichte Mozilla die Versionen 115.43.1 und 153.5.1. Sie sichern auch Umgebungen ab, in denen die automatische Sperrliste blockiert oder deaktiviert ist.
Was eMudhra selbst dazu sagt
eMudhra bestätigt die Untersuchung und grenzt den Vorfall auf bestimmte Zwischenzertifikate aus einer Schlüsselerzeugungszeremonie im April 2025 ein. Die privaten Root-CA-Schlüssel seien nicht betroffen. Laut der eigenen Analyse wurden mit den acht Zwischenzertifikaten keine regulären Endnutzerzertifikate ausgestellt – auch nicht mit dem einen Zwischenzertifikat, das tatsächlich produktiv eingesetzt wurde.
Diese Erklärung beschreibt die legitime Ausstellungspraxis, beseitigt aber nicht automatisch das Risiko einer missbräuchlichen Signatur durch Dritte. Deshalb haben die Browserhersteller die betroffenen Schlüssel vorsorglich blockiert. Mozilla hat dazu außerdem das Sicherheitsupdate Firefox 158.0.1 veröffentlicht, das diese Sperren auch für spezielle Konfigurationen absichert.
Was du jetzt tun solltest
- Browser aktualisieren: In Firefox über Hilfe → Über Firefox die angebotene Version installieren. Bei Chrome die regulären Browserupdates zulassen.
- Unternehmensrichtlinien prüfen: Besonders dort nachsehen, wo automatische Sicherheitslisten über Proxy, Firewall oder Richtlinien deaktiviert sind.
- HTTPS-Warnungen ernst nehmen: Zertifikatsfehler nicht reflexhaft wegklicken und keine selbst gebastelten Ausnahmen hinzufügen.
- Andere Anwendungen nicht vergessen: Software mit eigenem Zertifikatsspeicher oder eingebetteter TLS-Bibliothek muss gegebenenfalls separat aktualisiert werden.
Ein allgemeiner Passwortwechsel ist aufgrund dieser Meldung allein nicht erforderlich. Wichtiger ist, dass die betroffenen Vertrauensketten auf allen genutzten Geräten tatsächlich gesperrt werden.
Einordnung
Der Vorfall zeigt eine unbequeme Wahrheit: HTTPS schützt nur so gut wie die Zertifikatsstellen, denen Browser und Betriebssysteme vertrauen. Hier haben die schnellen Sperrlisten-Updates die Schutzwirkung deutlich früher hergestellt als ein regulärer Browserwechsel allein.
Quellen: Mozilla Security Blog · Google Chrome Security · eMudhra-Stellungnahme.
