Windows, Edge und WebView2: Microsoft entzieht eMudhra das Vertrauen
Veröffentlicht am: 13.11.2026 um 00:23 Uhr | Redaktion boerse-global.de
Microsoft beendet das Vertrauen in die indische Zertifizierungsstelle eMudhra endgültig. Zum 16. November 2026 entfernt der Konzern die letzten zehn verbleibenden Stammzertifikate des Anbieters aus Windows, dem Webbrowser Microsoft Edge sowie der Entwicklerkomponente WebView2. Über das M365-Message-Center (MC1529467) teilte Microsoft mit, dass damit das standardmäßige Vertrauen in sämtliche verbleibenden Zertifizierungsstellen von eMudhra vollständig aufgehoben wird.
Automatische Verteilung und Vorgaben für Netzwerke
Unter Windows erfolgt die Bereitstellung der Bereinigung automatisch über den Dienst für automatische Stammzertifikats-Updates über ctldl.windowsupdate.com, der sowohl HTTP als auch HTTPS mit TLS 1.2 unterstützt.
Die Installation eines separaten kumulativen Updates ist dafür nicht erforderlich. In Microsoft Edge und WebView2 wird der Entzug über die PKI-Metadatenkomponente umgesetzt, die entsprechende Änderungen im Zehn-Stunden-Takt sowie bei jedem Start der Anwendung abfragt.
Von der Maßnahme ist unter anderem das Zertifikat emSign Root CA - G1 betroffen; insgesamt stufte Microsoft 17 Stammzertifikate von eMudhra als unsicher ein. Administratoren isolierter oder netzwerkgetrennter Systeme müssen die Vertrauensliste (CTL) per Gruppenrichtlinie auf interne Server umleiten und den Abgleich manuell über den Befehl certutil -syncWithWU anstoßen.
Ein Klick auf einen unsicheren Link oder ein falsches Zertifikat kann ausreichen, um die Sicherheit Ihres Systems zu gefährden. Diese Experten-Anleitung zeigt Ihnen, wie Sie den bereits integrierten Windows Defender optimal einstellen, um Ihren PC wirksam vor Viren und Trojanern zu schützen. Windows Defender optimal konfigurieren
Weitreichende Konsequenzen für Browser und Plattformen
Infolge der Schritte stellt eMudhra zum 16. November 2026 die Zertifikatsausstellung unter der verbleibenden G1-Hierarchie ein und beendet das Angebot öffentlich vertrauenswürdiger TLS-Zertifikate.
Parallel ziehen weitere Plattformbetreiber Konsequenzen: Google Chrome vertraut ab Version 153 keinen G1-verketteten TLS-Zertifikaten mehr, deren frühester Zeitstempel (SCT) nach dem 16. November 2026 um 23:59:59 Uhr UTC liegt, während ältere Zertifikate ihre Gültigkeit behalten. Laut eMudhra und InCommon gilt für Mozilla derselbe Stichtag am 16. November 2026.
Apple setzt die Frist auf den 30. November 2026 fest und entzieht allen G1-Zertifikaten rückwirkend und unabhängig vom Ausstellungsdatum das Vertrauen. Ab den Betriebssystemversionen macOS 27.2.1, 26.7.3 und 15.8.3 werden die Zertifikate aus der Datei /etc/ssl/cert.pem entfernt, wodurch Entwicklerwerkzeuge wie curl, git und python3 diese Zertifikate abweisen.
Ursache in fehlerhafter Schlüsselzeremonie
Dem vollständigen Vertrauensentzug gingen mehrere Sicherheitsvorfälle voraus. Microsoft hatte das Vertrauen in betroffene Instanzen bereits am 26. Oktober 2026 per Out-of-Band-Update beschnitten. Am 28. Oktober 2026 entfernten die Notfall-Updates KB5134133 und KB5134134 sieben Zertifikate, darunter sechs G3-Stammzertifikate und eine AAA-Kreuzsignatur; am 29. Oktober 2026 folgte der Vollzug in Microsoft Edge.
Am 7. November 2026 widerrief eMudhra acht weitere RSA-Zwischenzertifizierungsstellen mit dem Status einer Betriebseinstellung, womit die Gesamtzahl betroffener Zwischenzertifizierungsstellen auf 16 stieg.
Betroffen waren 195 Zertifikate, darunter 130 der EM DV TLS CA - G2C, 63 der EM OV TLS CA - G2C und zwei der EM OV CS CA - G2C. Von diesen Zertifikaten, deren letztes am 3. November 2026 ausgestellt worden war, bezogen sich 29 auf unternehmenseigene Domains von eMudhra.
Wer sich mit der Absicherung von IT-Infrastrukturen und digitalen Zertifikaten befasst, sollte auch die grundlegenden Schutzmechanismen des Betriebssystems nicht vernachlässigen. IT-Experte Manfred Kratzl erklärt in seinem kostenlosen Ratgeber, wie Sie Sicherheitslücken schließen und den Viren-Schutz ohne Zusatzkosten auf ein professionelles Niveau heben. Kostenlosen Sicherheits-Report herunterladen
Als Ursache der Kompromittierung gilt ein fehlerhaftes internes Python-Skript, das am 30. April 2025 während einer Schlüsselzeremonie beim Transfer von Hardwaresicherheitsmodulen des Anbieters Utimaco zu Crypto4A-Systemen zum Einsatz kam. Dabei verblieben acht private RSA-Schlüssel im Prozessspeicher des Skripts, was gegen Vorgaben der Zertifikatsrichtlinie (CPS §6.2.6) verstieß.
Bereits am 18. Oktober 2026 hatte eMudhra acht ECDSA-Zwischenzertifizierungsstellen widerrufen müssen, nachdem dasselbe Skript private P-384-Schlüssel auf ein einziges Byte verkürzt hatte. Ein externer Sicherheitsforscher hatte am 17. Oktober 2026 demonstriert, dass sich diese Schlüssel durch das Durchprobieren von nur 256 Werten rekonstruieren ließen.
Laut eMudhra liegen bisher keine Hinweise auf einen Missbrauch der betroffenen Zertifikate vor. Bis zum 30. November 2026 soll ein vollständiges Inventar aller CA-Schlüssel fertiggestellt sein. Ein unabhängiger Prüfbericht von KPMG ist bis zum 4. Dezember 2026 fällig; übergangsweise stellt eMudhra betroffenen Kunden Zertifikate von Sectigo bereit.
