TLS Zertifikat: Was der Fall eMudhra für die IT-Sicherheit von Unternehmen bedeutet

• Acht Zwischenzertifikate der Zertifizierungsstelle eMudhra hatten private Schlüssel, die sich in Sekundenbruchteilen aus den öffentlichen Zertifikaten berechnen ließen.
• Chrome, Firefox, Apple und Microsoft haben die Zertifikate zwischen dem 17. und 20. Oktober 2026 gesperrt, eMudhra steigt aus dem weltweiten TLS-Geschäft aus.
• Systeme, die keine Sperrlisten-Updates erhalten, könnten den betroffenen Zertifikaten weiter vertrauen und damit abgefangenen Datenverkehr nicht erkennen.
• Unternehmen sollten Betriebssysteme, Browser, Appliances und Anwendungen mit eigenem Zertifikatsspeicher aktualisieren, Ubiquiti hat dafür bereits neue Versionen der UniFi Network Application veröffentlicht.
• Wer TLS Zertifikate von eMudhra einsetzt, muss sie durch Zertifikate einer anderen Zertifizierungsstelle ersetzen.

Jedes TLS Zertifikat stützt sich auf eine Kette des Vertrauens: Eine Zertifizierungsstelle bestätigt mit ihrem Schlüssel, dass eine Webseite oder ein Server wirklich zu dem gehört, der er vorgibt zu sein. Ist dieser Schlüssel nicht geheim, kann jeder gültig aussehende Zertifikate für fremde Domains ausstellen. Genau das war bei der indischen Zertifizierungsstelle eMudhra möglich.

Wie Help Net Security und heise online berichten, hatte eMudhra im April 2025 acht Zwischenzertifikate erzeugt, sechs für TLS und zwei für Code Signing. Die zugehörigen privaten Schlüssel waren so schwach, dass sie sich mit höchstens 256 Versuchen aus den öffentlichen Zertifikaten berechnen ließen. Ursache war laut eMudhra ein fehlerhaftes Skript bei der Schlüsselerzeugung, kombiniert mit menschlichen Fehlern bei der Kontrolle.

• 17. Oktober 2026: Ein Sicherheitsforscher meldet den Fund an Apple, Google, Microsoft, Mozilla und eMudhra. Chrome und Firefox sperren die Zertifikate noch am selben Tag.
• 18. Oktober 2026: eMudhra widerruft die betroffenen Zertifikate.
• 19. und 20. Oktober 2026: Apple und Microsoft ziehen nach, Mozilla macht den Fall öffentlich.
• 22. Oktober 2026: eMudhra kündigt den Ausstieg aus dem weltweiten Geschäft mit SSL- und TLS-Zertifikaten an. Rund 30.000 Kundenzertifikate müssen ersetzt werden.

eMudhra gibt an, dass keines der Zwischenzertifikate für Kundenzertifikate genutzt wurde. Ob jemand die schwachen Schlüssel in den 17 Monaten vor der Entdeckung missbraucht hat, ist nicht bekannt.

Aktuelle Browser auf aktuellen Betriebssystemen sind geschützt. Das Risiko liegt dort, wo Sperrlisten nicht automatisch ankommen:

• Server und Clients, auf denen Zertifikats- und Sicherheitsupdates nicht zeitnah eingespielt werden
• Netzwerkgeräte, Firewalls, Proxys und andere Appliances mit eigenem Zertifikatsspeicher
• Fachanwendungen und Laufzeitumgebungen, die eine eigene Liste vertrauenswürdiger Zertifizierungsstellen mitbringen
• Geräte in Produktion und Gebäudetechnik, die selten aktualisiert werden

Vertraut ein solches System einem missbräuchlich ausgestellten Zertifikat, kann ein Angreifer verschlüsselten Datenverkehr unbemerkt mitlesen oder verändern. Das Schloss-Symbol im Browser oder die fehlende Warnung in einer Anwendung sagt dann nichts mehr darüber aus, ob die Verbindung wirklich sicher ist.

In jedem TLS Zertifikat steht, wer es ausgestellt hat. Im Browser sehen Sie das über das Schloss-Symbol in der Adresszeile und die Zertifikatsdetails im Feld Aussteller. Unter Windows zeigt die Zertifikatsverwaltung, welche Zertifikate auf einem Rechner hinterlegt sind. Bei eigenen Webseiten, Mailservern, VPN-Zugängen und Schnittstellen lohnt ein systematischer Blick auf die Aussteller aller eingesetzten Zertifikate. Taucht dort eMudhra oder emSign auf, besteht Handlungsbedarf.

1. Updates einspielen: Betriebssysteme, Browser und Appliances auf den aktuellen Stand bringen. Bei verwalteten Windows-Geräten zeigt Microsoft Intune für die zentrale Geräteverwaltung, welche Geräte noch nicht aktuell sind.
2. Netzwerk nicht vergessen: Ubiquiti hat am 23. Oktober 2026 die UniFi Network Application in den Versionen 11.0.97, 10.6.109 und 9.0.122 veröffentlicht, die die kompromittierten eMudhra-Zertifikate widerrufen. Wer UniFi einsetzt, sollte das Update zeitnah einspielen.
3. Eigene Zertifikate prüfen: Stammt eines Ihrer TLS Zertifikate von eMudhra, planen Sie den Wechsel zu einer anderen Zertifizierungsstelle jetzt, nicht erst beim Ablauf.
4. Zertifikatsinventar führen: Wer weiß, welche Zertifikate wo im Einsatz sind und wann sie ablaufen, kann bei solchen Vorfällen in Stunden statt Wochen reagieren.

Die InSys AG^® ist Microsoft Solutions Partner für Security sowie Ubiquiti Enterprise Partner und UniFi Professional Integrator. Wir halten Microsoft 365, Endgeräte und UniFi Netzwerke unserer Kunden aktuell und behalten Sicherheitsmeldungen wie diese im Blick. Mehr dazu auf unseren Seiten zu Microsoft 365 Security für Unternehmen und zum UniFi Managed Service für Unternehmen. Einen Überblick über alle Leistungen finden Sie auf unserer Seite zum Microsoft 365 Partner für Security und Lizenzen.

Sie erreichen uns telefonisch unter +49 (521) 260105-0 oder über das Kontaktformular unter dieser News.