|
26.09.2026 16:20 Uhr |
Die X.509-Zertifikate für die Domain „ausweisapp.bund.de“ und „www.ausweisapp.de“ wurden von der zuständigen Vergabestelle (CA - Certificate Authority) am frühen Freitagnachmittag zurückgezogen (revoked). Die konkreten Gründe sind unklar, Browser vertrauen dem Zertifikat nun nicht mehr.
Als Grund gab die CA in ihrer Zertifikatssperrliste „Privilege Withdrawn“ an. Formal bedeutet das, dass der zum Zertifikat gehörige private Schlüssel nicht kompromittiert wurde, aber der Zertifikatsinhaber – hier die Betreiber der AusweisApp – das Zertifikat nicht bestimmungsgemäß genutzt haben. Es kann auch bedeuten, dass sich wesentliche Informationen, die im Zertifikat festgeschrieben waren, geändert haben, etwa dass der Inhaber nicht mehr existiert oder umfirmiert hat. Und auch wenn ein Zertifikat gar nicht erst hätte ausgestellt werden dürfen, wird der Zurückziehungsgrund „Privilege Withdrawn“ gewählt. Informationen dazu finden sich etwa im Wiki von Mozilla oder in den gültigen „Baseline Requirements“ des CA/Browser Forums.
Konkret sieht das dann so aus:
Serial Number: 7D0D9F5C1471C81F53BFFF2626EF925918217A35
Revocation Date: Sep 25 13:55:06 2026 GMT
CRL entry extensions: X509v3
CRL Reason Code: Privilege Withdrawn
Warum die Zertifikate zurückgezogen wurden, ist unklar. Eine entsprechende Anfrage an die Zuständigen bei der Bundesdruckerei, Betreiberin der D-Trust-CA, wurde am Samstagnachmittag kurzfristig nicht beantwortet. Wir sind in Kontakt mit den Verantwortlichen und werden diese Meldung weiter aktualisieren, sowie belastbare Informationen vorliegen.
In den frühen Abendstunden des 26. September hat die Governikus Service GmbH ein offenbar in aller Eile um 17:48 MESZ (15:48 GMT) neu ausgestelltes Zertifikat für ausweisapp.bund.de eingespielt. Damit sind die Webseiten auch in denjenigen Browsern wieder ordnungsgemäß verfügbar, die eine korrekte CRL-Prüfung von TLS-Verbindungen durchführen – wie etwa Firefox.
Die AusweisApp ist von governikus, nicht der BDR. Wir haben die Titelzeile angepasst. Und die zwei weiteren ursprünglich erwähnten Zertifikate sind ebenfalls ungültig.
Auch das Zertifikat für www.ausweisapp.de wurde zeitgleich zurückgezogen, wir haben die Meldung erneut aktualisiert. Außerdem ist ein weiterer Grund für „privilegeWithdrawn“, dass der Zertifikatsinhaber umfirmiert hat.
Mittlerweile hat ausweisapp.bund.de ein neues Zertifikat und der Ausfall ist beseitigt.
Wir haben die Überschrift angepasst, um die aktuelle Situation klarer darzustellen.
(cku)