// HEISE ONLINE — CYBERSECURITY
AusweisApp: Zertifikate von der Bundesdruckerei überraschend zurückgezogen
Seit kurzer Zeit werden die Zertifikate der AusweisApp-Website von mehreren Browsern nicht mehr akzeptiert. Die Vergabestelle D-Trust hat sie zurückgezogen.
Die X.509-Zertifikate für die Domain „ausweisapp.bund.de“ und „www.ausweisapp.de“ wurden von der zuständigen Vergabestelle (CA - Certificate Authority) am frühen Freitagnachmittag zurückgezogen (revoked). Die konkreten Gründe sind unklar, Browser vertrauen dem Zertifikat nun nicht mehr.
Als Grund gab die CA in ihrer Zertifikatssperrliste „Privilege Withdrawn“ an. Formal bedeutet das, dass der zum Zertifikat gehörige private Schlüssel nicht kompromittiert wurde, aber der Zertifikatsinhaber – hier die Betreiber der AusweisApp – das Zertifikat nicht bestimmungsgemäß genutzt haben. Es kann auch bedeuten, dass sich wesentliche Informationen, die im Zertifikat festgeschrieben waren, geändert haben, etwa dass der Inhaber nicht mehr existiert oder umfirmiert hat. Und auch wenn ein Zertifikat gar nicht erst hätte ausgestellt werden dürfen, wird der Zurückziehungsgrund „Privilege Withdrawn“ gewählt. Informationen dazu finden sich etwa im Wiki von Mozilla oder in den gültigen „Baseline Requirements“ des CA/Browser Forums.
Serial Number: 7D0D9F5C1471C81F53BFFF2626EF925918217A35
Warum die Zertifikate zurückgezogen wurden, ist unklar. Eine entsprechende Anfrage an die Zuständigen bei der Bundesdruckerei, Betreiberin der D-Trust-CA, wurde am Samstagnachmittag kurzfristig nicht beantwortet. Wir sind in Kontakt mit den Verantwortlichen und werden diese Meldung weiter aktualisieren, sowie belastbare Informationen vorliegen.
Die AusweisApp ist von governikus, nicht der BDR. Wir haben die Titelzeile angepasst. Und die zwei weiteren ursprünglich erwähnten Zertifikate sind ebenfalls ungültig.
Auch das Zertifikat für www.ausweisapp.de wurde zeitgleich zurückgezogen, wir haben die Meldung erneut aktualisiert. Außerdem ist ein weiterer Grund für „privilegeWithdrawn“, dass der Zertifikatsinhaber umfirmiert hat.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.