Die Zertifikatsstelle zieht sich aus dem weltweiten TLS-Geschäft zurück; für Android nennt Google einen Neustart als Schutzschritt
Das Wichtigste in Kürze
- Google plant die Entfernung einer eMudhra-Zertifikatswurzel aus Chromes Vertrauensliste für den 27. Oktober.
- eMudhra kündigt kostenlosen Zertifikatsersatz über Partner an.
- Für Android nennt Google einen Geräteneustart, um die Schutzaktualisierung sofort auszulösen.
Google plant für den 27. Oktober 2026 eine Zertifikatsänderung in Chrome, durch die auch legitime Websites ihre Vertrauensstellung verlieren können. Anlass sind schwache Schlüssel bei der indischen Zertifikatsstelle eMudhra. Wer in Deutschland mit Chrome surft, sollte Verbindungswarnungen ernst nehmen und die Aktualisierung von Browser und Smartphone prüfen.
Die Änderung betrifft die Vertrauenskette unter „emSign ECC Root CA – G3“. Google nennt in seinem Sicherheitsbericht vom 20. Oktober den Dienstagvormittag nach US-Westküstenzeit (PDT) als erwarteten Verteilungstermin. Ein genauer deutscher Zeitpunkt wird nicht angegeben.
Nach Googles Darstellung konnten die schwachen Schlüssel zum Fälschen von Website-Zertifikaten genutzt werden, sofern Programme den betroffenen Stellen weiter vertrauten. Chrome erhielt bereits eine Sperre ohne erforderlichen Browserneustart. Für Android wurde eine entsprechende Sperre über Google Play-Dienste verteilt; ein Geräteneustart kann laut Google die sofortige Aktualisierung auslösen.
eMudhra kündigt kostenlosen Ersatz an
Das Unternehmen hat inzwischen seinen Rückzug aus dem weltweiten SSL/TLS-Zertifikatsgeschäft angekündigt. In der Pressemitteilung vom 22. Oktober erklärt eMudhra, aus den betroffenen Zertifizierungsstellen seien keine Endzertifikate ausgestellt worden. Die eigene Infrastruktur sei nicht kompromittiert und es seien keine Daten abgeflossen. Das sind Angaben des Unternehmens.
eMudhra verspricht, betroffene Kundschaft zu kontaktieren und Zertifikate während des Übergangs kostenlos über Partner zu ersetzen. Dienste zur Abfrage des Zertifikatsstatus und zum Widerruf sollen weiterlaufen, bis alle ausgestellten Zertifikate abgelaufen oder ersetzt sind. Einen sofortigen Wegfall sämtlicher eMudhra-Dienste kündigt die Mitteilung damit nicht an.
Für Website-Betreiber ergibt sich eine konkrete Aufgabe: Google verlangt bei einer Kette zur genannten Wurzel ein neues TLS-Zertifikat aus einer anderen im Chrome Root Store enthaltenen Zertifikatshierarchie. Ein Browserupdate auf dem eigenen Rechner ersetzt diese Umstellung des Servers nicht.
Browserupdate und Geräteneustart auseinanderhalten
Die Sofortmaßnahme für Android und ein reguläres Chrome-Update sind unterschiedliche Vorgänge. Für die allgemeine Browserpflege beschreibt die Chrome-Hilfe auf dem Computer folgende Schritte:
- Das Dreipunkt-Menü öffnen und „Hilfe“ auswählen.
- „Über Google Chrome“ aufrufen; der Dialog zeigt die Version und sucht nach Updates.
- Falls angeboten, „Neu starten“ auswählen und die Aktualisierung abschließen.
Google zufolge werden offene Tabs und Fenster dabei wiederhergestellt; Inkognitofenster werden nicht erneut geöffnet. Unter Linux nennt die Hilfe stattdessen den Paketmanager. Bei einem Chromebook erfolgt die Browseraktualisierung über das Betriebssystem, wie auch unser Beitrag zum ChromeOS-Update erläutert.
Den allgemeinen Android-Aktualisierungsstand finden Sie laut Android-Hilfe in den Einstellungen unter „Über das Telefon“ beziehungsweise „Über das Tablet“ und „Android-Version“. Dort stehen unter anderem Sicherheitsupdate und Google-Play-Systemupdate. Die Verfügbarkeit neuer Systemversionen hängt von Gerät, Hersteller und Mobilfunkanbieter ab. Diese Anzeige ist keine eigene Bestätigung, dass die konkrete eMudhra-Sperre angekommen ist.
Eine Warnung beweist noch keinen Datendiebstahl
Nach der Chrome-Erklärung zur Verbindungssicherheit kann eine ganzseitige Meldung über eine nicht private Verbindung auf ein Problem der Website, des Netzwerks oder des Geräts hinweisen. Daraus allein lässt sich der eMudhra-Vorfall nicht diagnostizieren. Google rät bei unsicheren Verbindungen davon ab, persönliche Daten einzugeben.
Auch eine verschlüsselte Verbindung ersetzt nicht die Prüfung der Webadresse. Die Hilfe empfiehlt ausdrücklich, vor der Eingabe sensibler Informationen den Seitennamen in der Adressleiste zu kontrollieren. Ein vertraut wirkendes Erscheinungsbild allein beantwortet diese Frage nicht.
Häufige Fragen
Muss ich selbst ein neues Website-Zertifikat kaufen?
Die von Google geforderte Erneuerung betrifft den Betrieb betroffener Websites. Wer eine Seite lediglich besucht, kann deren Serverzertifikat nicht durch ein Update des eigenen Browsers austauschen.
Ist eine Verbindungswarnung eine Bestätigung für einen Angriff?
Nein. Die Chrome-Hilfe nennt mehrere mögliche Ursachen. Die Warnung sollte Anlass zur Prüfung sein, nicht zur pauschalen Behauptung eines Datendiebstahls.
Haben Sie zuletzt eine Verbindungswarnung bei einer sonst vertrauten Website gesehen? Schreiben Sie uns Ihre Erfahrungen gerne in die Kommentare.
Quellen
- Google: Schutzmaßnahmen zu eMudhra-Zertifikaten, 20. Oktober 2026.
- eMudhra: Pressemitteilung zum Rückzug aus dem globalen SSL/TLS-Geschäft, 22. Oktober 2026.
- Google: Google Chrome aktualisieren.
- Google: Android-Version prüfen und aktualisieren.
- Google: Sicherheit einer Websiteverbindung prüfen.
Recherche- und Datenstand: 23. Oktober 2026.
Transparenz: KI-Unterstützung
Transparenzhinweis: Bei Recherche, Strukturierung und Erstellung dieses Beitrags kamen KI-gestützte Werkzeuge zum Einsatz. Die verwendeten Quellen sind im Artikel aufgeführt. Die Veröffentlichung erfolgt erst nach manueller redaktioneller Freigabe.
