Aktuell

Drei Zertifikats-Baustellen in einer Woche: Was Webseiten- und Gerätebetreiber jetzt prüfen sollten

GoDaddy widerruft 400.000 Zertifikate, auch bei Host Europe und DomainFactory. Dazu eMudhra und Chrome-Warnungen: Was Betreiber jetzt prüfen sollten.

23. Oktober 2026

Security
Hardware
Managed Services

GoDaddy widerruft rund 400.000 Zertifikate, auch bei Host Europe und DomainFactory. Eine Zertifizierungsstelle steigt nach schwachen Schlüsseln ganz aus dem Geschäft aus. Und Chrome warnt neuerdings vor unverschlüsselten Webseiten. Was das für Ihre Webseite, Ihre Server und Ihre Geräte bedeutet.

Zertifikate laufen meist unbemerkt im Hintergrund – bis etwas schiefgeht. Dann zeigt der Browser eine Warnung, die Webseite wirkt unseriös, Mails kommen nicht mehr an oder ein Gerät lässt sich nicht mehr bedienen. In dieser Woche sind gleich drei Entwicklungen zusammengekommen, die das Thema in den Vordergrund rücken.

1. GoDaddy widerruft rund 400.000 Zertifikate

Der US-Anbieter GoDaddy muss 404.607 Zertifikate zurückziehen. Technisch sind sie in Ordnung, sie entsprechen aber nicht der Dokumentation, die GoDaddy als Zertifizierungsstelle veröffentlicht hat. Nach den Regeln der Browserhersteller müssen solche Zertifikate innerhalb weniger Tage widerrufen werden.

Betroffen sind auch deutsche Kunden: Host Europe und DomainFactory gehören zu GoDaddy. Nach Angaben gegenüber heise security hat GoDaddy für deren Kunden bereits neue Zertifikate ausgestellt und – wo möglich – automatisch eingebaut. Wo das nicht ging, hatten Kunden bis zum 21. Oktober Zeit, die Zertifikate selbst zu ersetzen.

Wo es haken kann: Automatisch tauschen kann der Hoster nur Zertifikate, die er selbst verwaltet, etwa für das Webhosting. Kritisch sind Zertifikate, die einmal bei GoDaddy, Host Europe oder DomainFactory gekauft und dann von Hand eingebaut wurden:

auf eigenen Webservern oder Mailservern,
auf Firewalls, Mail-Gateways oder VPN-Zugängen,
auf Appliances wie Zeiterfassung, Telefonanlage oder Fernwartung.

Wer dort noch ein widerrufenes Zertifikat nutzt, muss mit Sicherheitswarnungen oder eingeschränktem Zugriff rechnen.

So prüfen Sie Ihr Zertifikat

Aussteller und Ausstellungsdatum prüfen (Linux/macOS)

openssl s_client -connect www.ihre-domain.de:443 -servername www.ihre-domain.de </dev/null 2>/dev/null | openssl x509 -noout -issuer -dates

Ohne Kommandozeile: Im Browser auf das Schloss-Symbol neben der Adresse klicken und das Zertifikat anzeigen lassen. Steht beim Aussteller „GoDaddy“ oder „Starfield“ und wurde das Zertifikat vor Mitte Oktober 2026 ausgestellt, fragen Sie bei Ihrem Hoster oder Dienstleister nach, ob es ersetzt werden muss. Ob ein Zertifikat bereits widerrufen ist, lässt sich so nicht direkt ablesen.

2. eMudhra steigt nach schwachen Schlüsseln aus

Bei der indischen Zertifizierungsstelle eMudhra waren die privaten Schlüssel von acht Zwischenzertifikaten durch einen Fehler bei der Erzeugung so schwach, dass sie sich in Sekundenbruchteilen erraten ließen. Damit hätten sich gefälschte Zertifikate für beliebige Webseiten und Mailserver erstellen lassen. Die großen Browser haben die betroffenen Zertifikate innerhalb weniger Tage gesperrt. eMudhra zieht sich nun ganz aus dem Geschäft mit Webzertifikaten zurück.

Was das für Sie bedeutet: Für normale Webseitenbesucher ist die akute Gefahr durch die Browser-Sperren weitgehend gebannt. Ein Restrisiko bleibt bei Systemen, die ihre Liste vertrauenswürdiger Zertifikate selten oder nie aktualisieren: ältere Server, eingebettete Geräte, Software mit eigenem Zertifikatsspeicher. Einen solchen Fall haben wir beim Sicherheitsupdate von Node.js beschrieben. Die Lehre: Auch Geräte und Anwendungen, die „einfach laufen“, brauchen regelmäßige Updates.

3. Chrome warnt vor unverschlüsselten Webseiten

Google hat in Chrome eine Warnung aktiviert, die vor dem ersten Aufruf einer unverschlüsselten öffentlichen Webseite (http statt https) erscheint. In der Standardeinstellung gilt das nur für Seiten im Internet, nicht für Geräte im eigenen Netz – wer möchte, kann die Warnung auch für private Adressen einschalten.

Wen es trifft: Betreiber, deren Webseite, Kundenportal oder Online-Formular noch ohne Verschlüsselung erreichbar ist, und Mitarbeitende, die mit älteren Herstellerportalen oder Diensten arbeiten. Besucher sehen dort jetzt zuerst eine Warnung – viele brechen dann ab.

Und im eigenen Netz? Auch wenn Chrome dort standardmäßig schweigt: Viele Geräte haben eine Weboberfläche, die nur über unverschlüsseltes http erreichbar ist – Drucker, NAS-Systeme, Telefonanlagen, Zeiterfassung, Kameras. Dort werden Zugangsdaten im Klartext übertragen. Viele dieser Geräte unterstützen verschlüsselte Verbindungen, sie sind nur nicht eingerichtet. Mit einer internen Zertifizierungsstelle lassen sich dafür eigene, vertrauenswürdige Zertifikate ausstellen. Die neue Chrome-Warnung ist ein guter Anlass, einmal aufzulisten, welche Geräte im Netz eine Weboberfläche haben – und wer sich um deren Updates kümmert.

Was die drei Fälle verbindet

Zertifikate sind kein „einmal einrichten und vergessen“-Thema mehr. Sie werden widerrufen, Anbieter verschwinden vom Markt, Browser werden strenger – und ab 2027 werden die Laufzeiten deutlich kürzer. Wie Sie sich darauf vorbereiten, haben wir im Beitrag Zertifikate laufen immer schneller ab beschrieben.

Was Unternehmen und Kommunen jetzt tun sollten

Überblick

Welche Zertifikate sind wo im Einsatz, von welchem Anbieter, mit welcher Laufzeit?

Zuständigkeit

Wer tauscht ein Zertifikat, wenn es widerrufen wird oder abläuft – Hoster, Dienstleister oder eigene IT?

Automatisierung

Wo möglich, Zertifikate automatisch erneuern lassen statt von Hand.

Überwachung

Ablauf und Gültigkeit von Zertifikaten aktiv überwachen, statt auf die erste Fehlermeldung zu warten.

Sie möchten wissen, ob Ihre Zertifikate betroffen sind?

Wir prüfen Ihre Webseiten, Mailserver und Geräte, tauschen betroffene Zertifikate aus und richten eine Überwachung ein, die rechtzeitig warnt.

Kontakt aufnehmen