Kurze Information zum Elster-Portal der Finanzämter. Ein Blog-Leser hat mich gestern darauf hingewiesen, dass deren SSL-Zertifikat ein Problem für eine bestimmte URL hat und nicht gültig ist. Damit können bei einer Eingabe keine https-Verbindungen mehr aufgebaut werden. Ich habe mir das selbst heute nochmals angesehen – eine Umleitung scheint unsauber zu sein. Ergänzung: Das Problem wurde am heutigen 31.7.2026 gegen Nachmittag wohl (teilweise) korrigiert.
Ein erster Leserhinweis auf Elster-Problem
Blog-Leser Tobias hatte mich zum 30. Juli 2026 über folgenden Post auf BlueSky auf den Sachverhalt, der ihm aufgefallen ist, hingewiesen.
Die Aussage lautet, dass das Elster-Portal nicht per https erreichbar sei. In obigem Tweet war der nachfolgende Screenshot eingebettet. Dort wird auch die vom Browser bemängelte URL, die auf die Subdomain portal.elster.de verweist, angezeigt.
Dieser Screenshot belegt, dass die aufgerufene URL nicht per https-Protokoll aufgelöst werden kann, weil das gefundene SSL-Zertifikat nicht zur Subdomain passt oder ungültig ist. Der Browser warnt und sperrt diesen Webseitenaufruf. Der Nutzer könnte in der Browserseite dann über angebotene Optionen doch noch auf die gewünschte Webseite, möglicherweise aber per ungesicherter http-Übertragung, oder über eine möglicherweise "aufgebrochene TLS-Verbindung", zugreifen. Vertrauliche Daten über eine solche Verbindung zu übermitteln wäre ein No Go – die Vertrauenswürdigkeit des Servers und die Übertragung ist ja nicht mehr per gültigem/passendem Zertifikat sichergestellt.
Tobias hat dann noch die Qualsys-Seite die URL des Elster-Portals auf ein gültiges SSL-Zertifikat überprüfen lassen und erhielt die nachfolgende Information.
Qualsys-Scan Elster-Portal SSL-Zertifikat, zum Vergrößern klicken
Die Qualsys SSL-Zertifikatsanalyse ergab zum 30. Juli 2026, dass das Zertifikat für die Domain ungültig sei. Auch am 31. Juli 2026 wird mir bei einer Prüfung der Hinweis:
185.176.165.75
www.elster.de
Certificate not valid for domain name
eingeblendet (das Gleiche gilt für die IPv6-Adresse). Da ist also etwas "kaputt". Tobias hat in obigem Tweet dann einige "Köpfe aus den Finanzministerien und der bayerischen Finanzverwaltung" auf "CC" gesetzt – was aber keine Reaktion auslöste. Aber das Problem liegt "etwas tiefer", wie ich festgestellt zu haben glaube.
Mein erster Test läuft in den Wald …
Als mir gestern der obige Tweet von Tobias unterkam, habe ich natürlich schnell mal die Webseite elster.de aufgerufen und wurde mit einer sauberen, per https erreichbaren Webseite begrüßt. Dann habe ich mal die URL portal.elster.de im Browser aufgerufen und wurde auf die nachfolgende Elster-Seite umgeleitet.
Alles, wie es sein soll, sauber per https erreichbar, kein Grund zur Beanstandung. Das war für mich der Grund auf "gehen sie weiter, hier gibt es nichts zu sehen" zu schließen. Ich vermutete, dass das Problem gefixt sei und habe hier im Blog nichts erwähnt.
… und die Falle doch noch gefunden
Gleichzeitig habe ich Tobias die Nachricht geschickt "hier funktioniert es mit Elster". Heute kam die Antwort, dass es um die URL portal.elster.de gehe. Nachfolgend die Diskussion auf BlueSky und auch den typischen WhatAboutism-Kommentar eines "Mitlesenden", der allerdings wenig beizutragen weiß. Hab das mal als Beispiel für "beschäftigen mit Nebenkriegsschauplätzen" mit "eingefangen".
Für mich stellte sich die Frage: "Konnte da was dran sein?" Also nochmals die URL portal.elster.de im Browser eingetippt, und flugs auf die oben gezeigte Elster-Seite umgeleitet worden. Da wir Monatswechsel haben, wurde auch noch eine Elster-Anmeldung mit meiner Zertifikatsdatei von mir als Test nachgeschoben.
Obiger Screenshot zeigt, dass ich mich erfolgreich am Elster-Portal anmelden kann, wobei aber eine andere URL als portal.elster.de verwendet wird. Mir war dann klar, dass beim Elster-Portal eine Umleitung von portal.elster.de auf www.elster.de/eportal/ eingerichtet worden war.
Aber warum stolpert Tobias über einen SSL-Fehler im Browser und bei mir wird das Ganze sauber per Umleitung aufgelöst? So als plötzlicher Gedankenblitz habe ich dann die URL in der Form https://portal.elster.de im URL-Feld des Ungoogled Chromium eingetippt.
Bam, schon meldete sich der Ungoogled Chromium-Browser mit obiger Warnung und signalisierte, dass der CERT_COMMON_NAME-INVALID-Netzwerkfehler aufgetreten sei. Sprich: Der Browser findet kein SSL-Zertifikat mehr, das zu portal.elster.de passt. Ich kann im Browser auf Erweitert klicken und erhalte die Möglichkeit, auf die http-URL des Elster-Portals zu gehen. Dann greift die oben erwähnte Umleitung auf die korrekte https-Seite, die zum SSL-Zertifikat passt, wieder.
Ich habe zur Sicherheit noch einen zweiten Test mit dem aktuellen Firefox-Browser durchgeführt, der mit bei der betreffenden URL die obige Warnung zeigt. Auch hier kann ich den Zugriff auf die Portalseite mittels http erzwingen und werde dann auf die Elster-Portalseite mit gültigem SSL-Zertifikat umgeleitet.
Umleitung der URL imho verunglückt
"My take" wie der Amerikaner zu sagen pflegt: Ich gehe davon aus, dass die IT der bayerischen Finanzverwaltung, die für das Elster-Portal zuständig ist, die Subdomain portal.elster.de abgeschaltet und das SSL-Zertifikat bei seiner Erneuerung für elster.de ausstellen ließ.
Intern wurde eine Weiterleitung von portal.elster.de auf die URL elster.de eingerichtet. Aber die Umleitung in der .htaccess oder in den DNS-Einträgen des Elster-Webauftritts ist falsch oder unvollständig.
- Ein Redirect von portal.elster.de funktioniert wie erwartet
- Ein Redirect von https://portal.elster.de wird vom Browser auf eine http-Adresse aufgelöst, was zu obigem Fehler führt.
Wo genau der Fehler liegt, kann ich derzeit nicht sagen. Man könnte auch argumentieren, dass das ein "Sack Reis in China ist umgefallen"-Problem ist, da ja eine Weiterleitung von portal.elster.de auf die URL elster.de funktioniert.
Aber es bleibt festzuhalten, dass da jemand aus der zuständigen IT die Änderung nicht sauber getestet hat und es ein Redirect-Problem gibt (hab das ja oben dokumentiert). Was ich derzeit auch nicht beurteilen kann, ob es praxisrelevant ist – zum Beispiel, weil sich jemand die URL in der Form https://portal.elster.de in einem Lesezeichen im Browser oder als Verknüpfung auf dem Desktop angelegt hat, und dann an obigem Fehler scheitert. Oder ob es Steuersoftware gibt, die die URL in obiger Form fest "verdrahtet" haben und dann beim Zugriff auf das Elster-Portal an einem Fehler scheitern.
Ich versuche jetzt mal, ob ich der zuständigen IT eine Info zukommen lassen kann (Nachtrag: Ist über die Presse-Stelle passiert, zumal die SSL-Scans nach wie vor Fehler melden. Rückmeldung war, dass man ab Montag wieder erreichbar sei.). Ergänzung: "Magische Hände, oder wenn Born bloggt" – ich habe den Beitrag gerade gepostet und konnte vorher die Fehler reproduzieren und dokumentieren. Beim erneuten Lesen des Texts, um eventuelle Fehler zu korrigieren, konnte ich eine Stunde später nun feststellen, dass ein Redirect nun auch mit dem Prefix https durchgeführt wird. Oder stößt noch jemand auf den Fehler?
Ein Qualsys SSL-Scan meldet nun keinen Fehler mehr, aber stuft die URL als "Grade T" ein (heißt, dass eine Website Vertrauensprobleme mit ihrem SSL/TLS-Zertifikat hat, obwohl der Server ansonsten sicher konfiguriert ist). In nachfolgenden Kommentaren wird Hardenize als Scanner erwähnt. Dort liefert mir ein Scan einen Hinweis auf Probleme. Mein Dank an den Leser für den Hinweis – offenbar hat das doch gewirkt.
Ergänzungen: Ich habe Freitag, den 31. Juli 2026 eine Meldung an die zuständige Presseabteilung mit Bitte um Klärung geschickt. Zum 17. August 2026 gab es die Rückmeldung, dass sich jemand Zuständiges kümmert.
MVP: 2013 – 2016
ggf. wurde portal.elster.de früher schon nur als Umleitung genutzt aber nur als http?
denn http://portal.elster.de/ leitet einfach auf https://www.elster.de/eportal/start weiter.
Und da jetzt alle Browser vor http only warnen oder direkt https zuerst versuchen funktioniert es nur nicht mehr, da portal einfach kein, bzw. ein (warum auch immer) falsches Zertifikat gemappt hat.
Das gemappte Zertifikat das nur für andere Elster URLs gültig ist wurde NICHT kürzlich geändert, daher denke ich nicht das portal.elster.de vergessen wurde.
https://www.ssllabs.com/ssltest/analyze.html?d=portal.elster.de&hideResults=on
(das Zertifikat ist seit April gültig)
portal.elster.de hatte aka noch nie ein Zertifikat.
Diese Uraltadresse lautet:
http://portal.elster.de
Nachdem es da MITM-Angriffe gab leiten immer mehr Browser/Apps das aber ohne Zutun des Users und ungefragt intern von Port 80 auf Port 443, also
https://portal.elster.de
um. Dann hängt es.
Weil diese Adresse in diverse Steuerprogramme hartkodiert ist sollte die IT vom Freistaat entweder auch portal.elster.de in das geänderte Zertifikat aufnehmen oder ein eigenes Zertifikat extra für portal.elster.de nur für diese Umleitungen und nur auf Port 443, nicht aber direkt Port 80 einrichten.
Wer es selbst im Broweser nutzt einfach
elster.de
eingeben. Das ist kürzer und funktioniert ohne Probleme. Einen selbst gespeicherten Link ggf. entsprechend anpassen.
Für dich mag WhatAboutism des "Mitlesenden" sein, im Endeffekt hat er schon Recht – es hat einfach jemand in einer öffentlichen Behörde/Stelle gepennt oder gepfuscht, oder beides.
Das darf nicht passieren, und nein, bitte nicht mit Floskeln wie Fehler sind menschlich oder so kommen, der ganze Laden wird von unserem Steuergeld bezahlt, dies drückt der "Mitlesende" auch indirekt aus, muss man nur zwischen dem Zeilen lesen wollen;)
Natürlich ist jetzt kein wirklicher Schaden entstanden, zeigt jedoch den Zustand hier mit dem Neulandthema – von daher braucht hier keiner ankommen mit digitaler Souveränität und so, wenn sie schon das mal nicht gebacken bekommen!
Vielleicht sind die mit zu wenig Steuergeld ausgestattet🤔
Der erste Aufruf hat das Fehlerbild bestätigt – danach ging es direkt. Aber auch keine Ahnung warum man nicht einfach elster.de aufruft und von dort weiter macht…
Bei mir alles OKay keine Warnungen oder blockierungen beim einloggen. Zertifikats datum ist von 2025.
Ich selbst habe keine Probleme beim Aufruf von portal.elster.de sowie elster.de.
Hardenize meint, dass das TLS-Zertifikat passt ( https://www.hardenize.com/report/elster.de/1785499530#www_tls ) und es mit dem E-Mail-Zertifikat Probleme gibt ( https://www.hardenize.com/report/elster.de/1785499530#email_certs ).
Laut Internet.nl ist der HTTPS Redirect fehlerhaft ( https://internet.nl/site/elster.de/4205916/ ).
Etwas OT: https://help.heylogin.com/37a8872c7eda8032ba83dd867742db02 & https://discussion.enpass.io/topic/27376-germany-login-mit-zertifikatsdatei-elster-online-finanzamt/
Bei portal.elster.de liefert mir Hardenize ebenfalls den Hinweis, dass das SSL-Zertifikat für elster.de nicht zur Sub-Domain portal passt.
Ok, nun stellt sich für mich nur die Frage: Was hat bei der Geschichte das Detail „Ungoogled Chromium" zu sagen? Wäre es mit Google Chrome anders gelaufen (was bedeuten würde, dass Big Brother G. Nutzereingaben stillschweigend säubert)? Ansonsten sorgt die Angabe eines Browsernamens, der nichts zur Sache tut, nämlich für Verwirrung.
"Ansonsten sorgt die Angabe eines Browsernamens, der nichts zur Sache tut, nämlich für Verwirrung."
Vorher mal schlau machen:
"Ungoogled Chromium (stilisiert als ungoogled-chromium) ist ein freier und quelloffener Fork des Chromium-Webbrowsers, bei dem alle Google-spezifischen Webdienste entfernt wurden.Dies wird durch eine Reihe von Patches erreicht, die während des Kompilierungsprozesses auf den Chromium-Quellcode angewendet werden. Das Ergebnis ist funktional mit dem regulären Chromium vergleichbar."
https://en.wikipedia.org/wiki/Ungoogled_Chromium
https://github.com/ungoogled-software/ungoogled-chromium-windows
Der Vorposter hat es ja bereits erläutert – ich verwende kein Google Chrome auf meinem Desktop, sondern den Ungoogled Chromium. Da der Browser nicht automatisch aktualisiert wird, habe ich dann den Firefox zum Kreuztest verwendet.
Vielleicht hängt es damit zusammen, dass für Privatleute zum 31.7 Schluss mit Steuererklärung 2025 sein sollte? Wer es jetzt noch nicht geschafft, hat, seine Steuererklärung zu machen…? Prima Zeitpunkt für Zertifikatswechsel!
Das ist jetzt wohl eher als Satire gemeint – oder …?
Besser, als manche andere Leserkommentare hier, steckt Wahrheit drin, Chapeau!
Noch ist der 31.7. nicht rum, ich habe Zeit bis 23:59 ;-)
Mal sehen, was mein Steuerprogramm nachher veranstaltet, wenn ich senden möchte.
Steuererklärung am 27.07.26 abgegeben.
Anmeldung via https:// http://www.elster.de/eportal/start.
Dann Login in mein Konto via Zertifikatsdatei,welche auf einem externen Stick
gespeichert ist.
Passwort
Zugang Konto
Ich finde Elster sehr gut,weil meine Daten eh schon gespeichert sind,meine Finanzdaten
schon VORAUSGEFÜLLT in der jeweiligen Anlage übernommen sind.
DIESE MÜSSEN ABER UNTER BESCHEINIGUNGEN VERWALTEN angefordert
werden!!!
Alles da,und noch einige absetzbare Posten eingeben,PRÜFUNG DER ANGABEN,
absenden.Der Steuerbescheid dauert immer ca.2-3 Wochen.
Es muss andere Ursachen haben,und bei http:// Seiten anmelden birgt immer ein
gewisses Rest-Risiko.Und eine Verlinkung von Elster.de nach http:// bisher noch nicht
erlebt!???
Wie Ihr oben im unterlegten Link seht,steht trotzdem http:// ???
Korrigiert ist da gar nichts. Das Zertifikat, das für portal.elster.de verwendet wird, ist für elster.de und weitere DNS-Namen ausgestellt aber eben nicht für portal.elster.de. Das Ergebnis von SSLLabs finde ich irreführend. Wenn schon der Hostname nicht passt, interessiert alles andere nicht. Trivialer Fehler mit trivialer Lösung, aber ziemlich peinlich für die IT der Behörde.
P.S.: Finde ich nicht gut, dass aus www Punkt irgendwas hier automatisch ein HTTP-Link entsteht. LG Hamburg ick hör dir trapsen.
Hoffentlich genauso schwer zu erneuern, wie deren Gefrickel 🤣
Das Problem (falscher Domänenname) besteht übrigens nach wie vor… Gut, dass ich meine Steuererklärung schon letzte Woche abgegeben habe ;)
Ich empfehle dem Blogger noch ein wenig das Wissen über Zertifikate und deren Handling in Browsern anzueignen.
Allen Lesern die Laien sind, empfehle ich ebenfalls sich vorher Wissen anzueignen, bevor man etwas bewertet, von dem man vielleicht nur die Hälfte versteht.
Wenn ein Zertifikat abgelaufen ist, ist nicht die Verbindung gleich ungesichert oder unverschlüsselt. Es handelt sich lediglich um eine Meldung, dass das Zertifikat nicht den Anforderungen entspricht und dementsprechend als unsicher deklariert wird.
Jeder Nutzer muss man dann selbst entscheiden, ob er auf solch eine Website geht.
Da dies außerhalb des Verständnis der meisten Leute liegt, lasst es im Zweifel einfach.
Des Weiteren finde ich es krass wie negativ hier alle reagieren. Aber wir sind ja im deutschen Internet. Da ist es ja normal, dass sich jeder über jeden kleinen Pups aufregt.
Fehler machen ist okay. Fehler machen ist normal. Jeder der was anderes sagt, erzählt einfach Quatsch.
Viel Blabla und dann nicht einmal verstanden, dass es nicht um ein abgelaufenes Zertifikat geht. Bitte erst einmal an die eigene Nase fassen. Pfuscher mit gefährlichem Halbwissen braucht niemand.
Der direkte Aufruf per https://Blabla schlägt am 01.08.2026 um 9:45 immer noch fehl.
Ein Hinweis an alle, die vorschlagen, "einfach" die "richtige" Adresse einzugeben:
1) es ist peinlich, wenn schon zu Beginn des Prozesses geplatzt wird
2) in nicht wenigen Fällen mag die Adresse hartcodiert sein. Da hilft der achso tolle Vorschlag gar nichts.