eMudhra Limited kündigte am 22. Oktober 2026 an, dass der Vorstand den freiwilligen Rückzug aus dem globalen Geschäft mit SSL/TLS-Zertifikaten beschlossen hat. Für Kunden beschrieb das Unternehmen einen Übergang: Die G1-RSA-Root-Zertifikate sollen weiter Kunden versorgen, Ersatz-Zertifikate über Partner kostenlos bereitgestellt werden. Widerrufs- und Zertifikatsstatusdienste sollen laufen, bis alle ausgestellten Zertifikate abgelaufen oder ersetzt sind.
Was die Übergangsphase für Kunden bedeutet
eMudhra kündigte an, betroffene Kunden zu kontaktieren und ihnen über Partner kostenlose Ersatz-Zertifikate bereitzustellen. Während der Umstellung sollen die G1-RSA-Root-Zertifikate Kunden weiter versorgen. Das Unternehmen will außerdem Widerrufs- und Statusdienste aufrechterhalten, bis alle ausgestellten Zertifikate abgelaufen oder ersetzt sind. Einen Termin für den Abschluss der Umstellung nannte eMudhra nicht.
NeoTeo hatte zuvor den Widerruf der betroffenen Zwischenzertifikate eingeordnet.
Acht Zwischenzertifikate, davon sechs für TLS
Mozilla identifizierte acht betroffene Zwischenzertifikate: sechs für TLS und zwei für Code-Signaturen. Zwischenzertifikate verbinden ein Root-Zertifikat mit den Zertifikaten, die etwa für Websites oder signierte Software verwendet werden. Die acht Fälle betrafen also nicht ausschließlich TLS.
Die privaten P-384-Schlüsselwerte lagen laut Mozilla jeweils unter 256. Mozilla rekonstruierte die Schlüssel unabhängig; am 17. Oktober 2026 schloss Mozilla außerdem die Sperrung der betroffenen TLS-Zertifikate in Firefox’ OneCRL-Liste ab. eMudhra zufolge wurden die betroffenen Zertifizierungsstellen innerhalb von 14 Stunden nach Entdeckung widerrufen. Das Unternehmen erklärte, aus ihnen seien keine End-Entity-Zertifikate ausgestellt worden. Mozilla verzeichnete zugleich, dass ein TLS-Zwischenzertifikat der G3C-Reihe aktiv war und nach der Meldung deaktiviert wurde.
eMudhras vorläufige Erklärung zur Schlüsselgenerierung
eMudhra ordnete die betroffenen ECC-Zwischenzertifikate einer Schlüsselgenerierung am 30. April 2025 zu. In einer vorläufigen Erklärung führte das Unternehmen die schwachen Schlüssel auf einen Fehler im Skript einer Schlüsselgenerierungszeremonie zurück. Ein Wrap-/Unwrap-Test habe neben den vorgesehenen Schlüsseln einen zweiten, schwachen Satz erzeugt. Weil die Schlüssel ähnlich gekennzeichnet gewesen seien, hätten Beschäftigte anschließend die schwachen Schlüssel für Zertifikatsignierungsanfragen verwendet. eMudhra verwies zudem auf menschliche Fehler und prüfte nach eigenen Angaben Code, Abläufe und Kontrollen.
Welche Gründe eMudhra für den Rückzug nennt
eMudhra begründete die Entscheidung damit, dass SSL/TLS rund ein Prozent des weltweiten Umsatzes ausmache. Als weitere Gründe nannte das Unternehmen steigende Anforderungen an Datenhoheit und Compliance, höhere Komplexität und Kosten, kostenlose Zertifikatsangebote sowie die öffentliche Aufmerksamkeit nach dem Vorfall.
Die digitalen Signaturdienste, eSign, Enterprise-PKI, elektronische Signaturen sowie Identitäts- und Authentifizierungsdienste ordnete eMudhra einer getrennten Infrastruktur zu. Diese Dienste seien nach Angaben des Unternehmens von dem Rückzug aus dem globalen SSL/TLS-Geschäft nicht betroffen.
