Zum Inhalt springenistheinternetok
Alle Vorfälle

Zertifikate·Schwer

eMudhra: 8 Schlüssel von Zertifizierungsstellen sind durchgesickert

EntschärftBetrifft Website-Betreiber
eMudhra (emSign ECC Root CA - G3), Chrome, Firefox, Node.js

Was sich für dich ändert

Nichts zu tun; Ihr Browser blockiert die geleakten Zertifikate bereits.

Die geheimen Schlüssel von acht Zwischenzertifikaten von eMudhra sind durchgesickert, womit sich das Schloss-Symbol jeder Website hätte fälschen lassen. Chrome, Android und Firefox haben sie binnen Stunden gesperrt, normale Nutzer sind also automatisch geschützt.

Beginn: 17. Okt. 2026Aktualisiert: 21. Okt. 2026

Auf X posten

Was soll ich tun?

Du
Nichts zu tun. Chrome und Firefox wurden automatisch geschützt; unter Android lässt sich das Update durch einen Neustart des Geräts sofort holen.
Wenn du eine Website oder App betreibst
Wenn das Zertifikat Ihrer Website auf emSign ECC Root CA - G3 zurückgeht, besorgen Sie sich vor dem 27. Oktober 2026 ein neues TLS-Zertifikat bei einer anderen vertrauenswürdigen Zertifizierungsstelle, denn dann vertraut Chrome diesem Root nicht mehr. Aktualisieren Sie Software, die ein eigenes CA-Paket mitbringt.

Was betroffen ist

Zeitverlauf

  1. Entschärft · 21. Okt. 2026

    Sicherheitsupdates für Node.js aktualisieren den mitgelieferten CA-Speicher wegen der eMudhra-Kompromittierung.

    nodejs.org

  2. Entschärft · 20. Okt. 2026

    Google und Mozilla veröffentlichen Details. Google entfernt emSign ECC Root CA - G3 aus dem Chrome Root Store, die Umstellung erreicht am 27. Oktober 2026 alle Geräte. Vor der Sperre war kein Zertifikat der betroffenen Zertifizierungsstellen in Certificate Transparency protokolliert worden.

    Google

  3. Entschärft · 17. Okt. 2026

    Firefox sperrt die Zertifikate über OneCRL für alle Nutzer mit Standardeinstellungen.

    Mozilla

  4. Erkannt · 17. Okt. 2026

    Ein Forscher meldet, dass die privaten Schlüssel von acht Zwischenzertifikaten von eMudhra kompromittiert sind. Chrome bestätigt dies und spielt am selben Tag eine Sperre per CRLSet aus.

    Google

Quellen

Verwandt