Microsoft entfernt am 16. November 2026 die zehn noch verbliebenen eMudhra-Stammzertifikate aus seiner Windows-Vertrauensliste. Auch Microsoft Edge und die darin verwendete WebView2-Technik verlieren über ihre Zertifikatskomponenten das bisherige Vertrauen in die noch verbliebenen Stammzertifikate. Websites, Anwendungen oder Dienste, deren Zertifikatsketten von diesen Ausstellern abhängen, können anschließend Zertifikatsfehler auslösen.
Die Ankündigung ist eine Erweiterung der bereits im Oktober vorgenommenen Schutzmaßnahmen nach Problemen mit Schlüsseln der Zertifizierungsstelle eMudhra. Microsoft hat den Sicherheitshinweis am 11. November um den neuen Termin und den Verteilungsweg ergänzt. Für die meisten regulär verbundenen Windows-Rechner ist kein eigener Download nötig; Administratoren sollten jedoch mögliche Zertifikatsabhängigkeiten und abgeschottete Geräte kontrollieren.
Zehn Stammzertifikate verlieren ihre Vertrauensstellung
Im Microsoft Trusted Root Program sind zehn Zertifikate aufgeführt, die am 16. November aus der Standardvertrauensliste entfernt werden sollen. Dazu gehören Stammzertifikate der emSign-Reihen für TLS, Clientauthentifizierung, Codesignatur und S/MIME. Die Maßnahme ist breiter als die Sperrung einzelner kompromittierter Zwischenzertifizierungsstellen: Sie betrifft die grundsätzliche Anerkennung der betroffenen Zertifikatsketten durch die jeweiligen Microsoft-Vertrauensspeicher.
Auslöser waren acht private Schlüssel untergeordneter eMudhra-Zertifizierungsstellen, die aufgrund ihrer schwachen Erzeugung rekonstruiert werden konnten. Sechs Schlüssel betrafen TLS-Zertifikate, zwei die Codesignatur. Microsoft betont, dass es sich um ein Problem der eMudhra-Zertifikatshierarchie und nicht um einen Einbruch in Microsoft-Systeme handelt.
Windows und Edge verteilen die Änderung auf unterschiedlichen Wegen
Windows: Die zehn Stammzertifikate werden über den Dienst für die automatische Aktualisierung der Zertifikatsvertrauensliste entfernt. Geräte, die den dafür vorgesehenen Microsoft-Endpunkt erreichen können, erhalten die Änderung automatisch – auch entsprechend angebundene Windows-Systeme in Azure. Die Maßnahme ist daher nicht mit einem bestimmten Windows-11-Build oder einer einzelnen KB-Installation gleichzusetzen.
Edge und WebView2: Microsoft kündigt für den 16. November eine Aktualisierung der Komponente PKI Metadata an. Damit entfällt nach den vorausgegangenen Oktobermaßnahmen auch das Standardvertrauen in die vier noch verbliebenen Root-Zertifikate, darunter emSign Root CA – G1 und emSign Root CA – C1. Edge und WebView2 prüfen laut Microsoft ungefähr alle zehn Stunden und kurz nach einem neuen Anwendungsstart auf aktualisierte PKI-Metadaten. Eine eigenständige Neuinstallation des Browsers ist für diesen Komponentenweg nicht vorgesehen.
Davon zu unterscheiden sind die früheren Schritte: Bereits am 20. Oktober sperrte Microsoft die acht betroffenen Zwischenzertifizierungsstellen; am 26. Oktober entfernte ein außerplanmäßiges Windows-Update sechs eMudhra-G3-Stammzertifikate und eine Quersignatur aus der Vertrauensliste. Diese vorherige Entfernung ist auch in den Windows-Sicherheitsupdates vom 10. November enthalten. Sie ersetzt jedoch nicht automatisch die für den 16. November angekündigte weitere Bereinigung der verbleibenden Stammzertifikate.
Mögliche Folgen für Websites, Programme und interne Dienste
Nach der Umstellung kann eine Zertifikatsprüfung fehlschlagen, wenn sich die Vertrauenskette nur noch über ein entferntes eMudhra-Stammzertifikat herstellen lässt. Das kann HTTPS-Verbindungen, die Prüfung signierter Software oder einzelne Unternehmensanwendungen betreffen. Besteht ein anderer weiterhin vertrauenswürdiger Zertifizierungspfad, muss die Änderung dagegen nicht zu einem Ausfall führen.
Entscheidend ist nicht allein, ob ein Zertifikat den Namen eMudhra trägt, sondern welche Ausstellerkette das betroffene System tatsächlich überprüft. Hinzu kommen Anwendungen mit eigenen Zertifikatsspeichern, etwa bestimmte Java-Laufzeiten, Container oder Entwicklungswerkzeuge: Eine Windows-Vertrauenslistenänderung aktualisiert solche getrennt verwalteten Speicher nicht automatisch. Das muss je nach Software und Hersteller getrennt kontrolliert werden.
Was Administratoren vor dem 16. November prüfen sollten
Für regulär aktualisierte Endgeräte steht vor allem die Prüfung vorhandener Abhängigkeiten im Vordergrund. In Unternehmensumgebungen sind diese Punkte besonders relevant:
- Zertifikatsketten erfassen: Bei Webdiensten, internen Anwendungen und signierten Komponenten prüfen, ob die Vertrauenskette zu einem der von Microsoft genannten eMudhra-Stammzertifikate führt. Falls nötig, rechtzeitig Zertifikate mit einer weiterhin akzeptierten Ausstellerkette beschaffen.
- Abgeschottete Windows-Systeme prüfen: Geräte ohne automatische CTL-Aktualisierung sowie eigene Verteilungsserver oder Gruppenrichtlinien brauchen eine funktionierende Versorgung mit aktuellen Vertrauenslisten. Microsoft erläutert die Einrichtung in der deutschsprachigen Dokumentation zur Zertifikatvertrauensverwaltung.
- Edge und WebView2 berücksichtigen: Auf verwalteten Clients muss die Komponentenaktualisierung für die PKI-Metadaten erreichbar bleiben. Besonders bei Anwendungen mit eingebettetem WebView2 lohnt eine gezielte Funktionsprüfung.
- Lokale Vertrauensausnahmen vermeiden: Entfernte Stammzertifikate zur Überbrückung ungeprüft wieder einzuspielen, kann die beabsichtigte Schutzwirkung umgehen. Microsoft empfiehlt vor solchen Ausnahmen eine eigene Sicherheitsbewertung.
Weitere Informationen: Der Microsoft-Sicherheitshinweis enthält den aktuellen Zeitplan; die Ankündigungen des Trusted Root Program führen die zehn Zertifikate einzeln auf. Für diese automatisch verteilte Vertrauenslistenänderung gibt es keinen eigenen allgemeinen Download, den alle Windows-Nutzer manuell installieren müssten.
Meroth IT-Service ist Ihr lokaler IT-Dienstleister in Frankfurt am Main für kleine Unternehmen, Selbstständige und Privatkunden
Kostenfreie Ersteinschätzung Ihres Anliegens?
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten