Im Oktober 2026 wurde ein Vorfall bei der indischen Zertifizierungsstelle eMudhra bekannt, der in Fachkreisen für Kopfschütteln gesorgt hat. Acht ihrer Zwischenzertifikate waren mit Schlüsseln abgesichert, die sich in Sekunden erraten liessen.
In diesem Artikel erklären wir ohne Fachchinesisch, worum es geht und was das für Sie bedeutet.
Das Wichtigste vorweg: Wenn Ihre Website bei HostBott liegt, müssen Sie nichts tun. Die Zertifikate für Websites bei uns stammen von Let’s Encrypt, nicht von eMudhra.
Was ist eine Zertifizierungsstelle?
Wenn Sie eine Website mit https:// aufrufen, zeigt der Browser ein Schloss-Symbol. Es bedeutet: Die Verbindung ist verschlüsselt, und Sie sind wirklich mit der richtigen Website verbunden.
Dafür braucht jede Website ein Zertifikat. Ausgestellt wird es von einer Zertifizierungsstelle, also einer Art digitalem Passbüro. Ihr Browser vertraut einer festen Liste solcher Stellen. Was eine dieser Stellen unterschreibt, gilt als echt.
Die Unterschrift funktioniert mit einem geheimen Schlüssel. Solange er geheim bleibt, kann niemand sonst gültige Zertifikate erstellen.
Was ist passiert?
Am 17. Oktober 2026 hat ein unabhängiger Sicherheitsforscher entdeckt, dass acht Zwischenzertifikate von eMudhra mit lächerlich schwachen geheimen Schlüsseln erstellt worden waren. Jeder dieser Schlüssel war eine ganze Zahl unter 256. Einer davon war schlicht die Zahl 4.
Normalerweise ist ein solcher Schlüssel eine Zahl mit über hundert Stellen. Ihn zu erraten ist praktisch unmöglich. Hier hätte ein Computer alle Möglichkeiten in einem Bruchteil einer Sekunde durchprobieren können.
Laut eMudhra entstand der Fehler bereits im April 2025, als die Schlüssel erzeugt wurden. Ein Skript habe dabei falsch gearbeitet.
Warum ist das gefährlich?
Mit einem solchen Schlüssel hätte jemand für jede beliebige Website ein gültiges Zertifikat erstellen können, zum Beispiel für Ihre Bank oder Ihren Mailanbieter. Der Browser hätte es als echt akzeptiert.
Damit wären gefälschte Websites möglich gewesen, die selbst aufmerksame Nutzerinnen und Nutzer nicht erkannt hätten. Wer den Datenverkehr umleiten kann, etwa in einem öffentlichen WLAN, hätte Passwörter und andere Daten mitlesen können.
Wie wurde reagiert?
Die Reaktion war schnell:
- eMudhra hat die betroffenen Zwischenzertifikate nach eigenen Angaben innerhalb von 14 Stunden widerrufen.
- Browser und Betriebssysteme haben die Zertifikate zwischen dem 17. und 22. Oktober gesperrt.
- Softwareprojekte wie die Programmiersprache Go haben Notfall-Updates veröffentlicht.
- eMudhra hat am 22. Oktober angekündigt, sich aus dem weltweiten Geschäft mit Website-Zertifikaten zurückzuziehen.
Laut eMudhra wurden mit den betroffenen Zwischenzertifikaten keine Website-Zertifikate ausgestellt. Angriffe sind bisher nicht bekannt.
Was das für HostBott bedeutet
Die Zertifikate für Websites bei HostBott stellt Let’s Encrypt aus, eine der grössten und bekanntesten Zertifizierungsstellen der Welt. Wir setzen keine Zertifikate von eMudhra ein. Ihre Website und unser Kundenportal waren von diesem Vorfall nicht betroffen.
Was Sie tun müssen
Webhosting, WordPress, Nextcloud oder Node.js-Hosting bei HostBott: Nichts. Halten Sie wie immer Ihren Browser und Ihr Betriebssystem aktuell. Die Sperre der betroffenen Zertifikate kommt über die normalen Updates zu Ihnen.
Eigener VPS, den Sie selbst verwalten: Programme auf Servern verlassen sich oft auf eigene Listen vertrauenswürdiger Zertifizierungsstellen. Diese Listen werden nicht automatisch mit dem Browser aktualisiert. Wir empfehlen:
- Installieren Sie die System-Updates, auf Debian und Ubuntu zum Beispiel mit
apt update && apt upgrade. - Aktualisieren Sie Programmiersprachen und Laufzeitumgebungen wie Go, Node.js oder Java.
- Bauen Sie Docker-Images neu, damit sie die aktuellen Listen enthalten.
- Starten Sie Ihre Dienste danach neu.
Und ganz wichtig: Falls danach Zertifikatsfehler auftreten, schalten Sie die Prüfung nicht einfach ab. Genau diese Prüfung schützt Sie vor gefälschten Zertifikaten. Melden Sie sich lieber bei unserem Support. Wir helfen Ihnen gerne.
Weiterführende Informationen
- Stellungnahme von eMudhra (Englisch)
- Einordnung von Cloudflare (Englisch)
Haben Sie Fragen zu Ihrer Website? Schreiben Sie uns über das Kundenportal oder per Mail an support@hostbott.ch. Wir antworten Ihnen persönlich.
Stand: 26. Oktober 2026.