{"id":327998,"date":"2026-07-31T12:52:13","date_gmt":"2026-07-31T10:52:13","guid":{"rendered":"https:\/\/borncity.com\/blog\/?p=327998"},"modified":"2026-07-31T14:07:32","modified_gmt":"2026-07-31T12:07:32","slug":"ssl-zertifikat-des-elster-portals-ausgelaufen","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2026\/07\/31\/ssl-zertifikat-des-elster-portals-ausgelaufen\/","title":{"rendered":"SSL-Zertifikat des Elster-Portals ausgelaufen (zum 31.7.2026 korrigiert)"},"content":{"rendered":"

\"SicherheitKurze Information zum Elster-Portal der Finanz\u00e4mter. Ein Blog-Leser hat mich gestern darauf hingewiesen, dass deren SSL-Zertifikat abgelaufen sei bzw. ein Problem hat. Damit k\u00f6nnen bei einer Eingabe keine https-Verbindungen mehr aufgebaut werden. Ich habe mir das selbst heute nochmals angesehen – eine Umleitung scheint unsauber zu sein. Erg\u00e4nzung: Das Problem wurde am heutigen 31.7.2026 gegen Nachmittag wohl korrigiert.<\/p>\n

<\/p>\n

Ein erster Leserhinweis auf Elster-Problem<\/h2>\n

\"\"Blog-Leser Tobias hatte mich zum 30. Juli 2026 \u00fcber folgenden Post auf BlueSky<\/a> auf den Sachverhalt, der ihm aufgefallen ist, hingewiesen.<\/p>\n

\"Elster-Problem<\/a><\/p>\n

Die Aussage lautet, dass das Elster-Portal nicht per https erreichbar sei. In obigem Tweet war der nachfolgende Screenshot eingebettet.<\/p>\n

\"Elster<\/p>\n

Dieser belegt, dass die aufgerufene URL nicht per https-Protokoll<\/em> aufgel\u00f6st werden kann. Vertrauliche Daten \u00fcber eine solche http-Verbindung zu \u00fcbermitteln w\u00e4re ein nogo. Tobias hat dann noch die Qualsys-Seite die URL des Elster-Portals auf ein g\u00fcltiges SSL-Zertifikat \u00fcberpr\u00fcfen lassen und erhielt die nachfolgende Information.<\/p>\n

\"Elster-Portal-SSL-Zertifikat<\/a>
\nQualsys-Scan Elster-Portal SSL-Zertifikat, zum Vergr\u00f6\u00dfern klicken<\/a><\/em><\/p>\n

Die Qualsys SSL-Zertifikatsanalyse ergab zum 30. Juli 2026, dass das Zertifikat f\u00fcr die Domain ung\u00fcltig sei. Auch am 31. Juli 2026 wird mir bei einer Pr\u00fcfung der Hinweis:<\/p>\n

185.176.165.75<\/b><\/span>
\nwww.elster.de<\/span>
\nCertificate not valid for domain name<\/span><\/p><\/blockquote>\n

eingeblendet (das Gleiche gilt f\u00fcr die IPv6-Adresse). Da ist also etwas \"kaputt\". Tobias hat in obigem Tweet dann einige \"K\u00f6pfe aus den Finanzministerien und der bayerischen Finanzverwaltung\" auf \"CC\" gesetzt – was aber keine Reaktion ausl\u00f6ste. Aber das Problem liegt \"etwas tiefer\", wie ich festgestellt zu haben glaube.<\/p>\n

Mein Test l\u00e4uft in den Wald …<\/h2>\n

Als mir gestern der obige Tweet von Tobias unterkam, habe ich nat\u00fcrlich schnell mal die Webseite\u00a0elster.de<\/em> aufgerufen und wurde mit einer sauberen, per https<\/em> erreichbaren Webseite begr\u00fc\u00dft. Dann habe ich mal die URL portal.elster.de<\/em> im Browser aufgerufen und wurde auf die nachfolgende Elster-Seite umgeleitet.<\/p>\n

\"Elster-Portal\"<\/p>\n

Alles, wie es sein soll, sauber per https erreichbar, kein Grund zur Beanstandung. Das war f\u00fcr mich der Grund auf \"gehen sie weiter, hier gibt es nichts zu sehen\" zu schlie\u00dfen. Ich vermutete, dass das Problem gefixt sei und habe hier im Blog nichts erw\u00e4hnt.<\/p>\n

…\u00a0und die Falle doch noch gefunden<\/h2>\n

Gleichzeitig habe ich Tobias die Nachricht geschickt \"hier funktioniert es mit Elster\". Heute kam die Antwort, dass es um die URL portal.elster.de\u00a0<\/em>gehe. Nachfolgend die Diskussion auf BlueSky und auch den typischen WhatAboutism-Kommentar eines \"Mitlesenden\", der allerdings wenig beizutragen wei\u00df. Hab das mal als Beispiel f\u00fcr \"besch\u00e4ftigen mit Nebenkriegsschaupl\u00e4tzen\" mit \"eingefangen\".<\/p>\n

\"Elster-Portal<\/a><\/p>\n

F\u00fcr mich stellte sich die Frage: \"Konnte da was dran sein?\"\u00a0Also nochmals die URL portal.elster.de\u00a0<\/em>im Browser eingetippt, und flugs auf die oben gezeigte Elster-Seite umgeleitet worden. Da wir Monatswechsel haben, wurde auch noch eine Elster-Anmeldung mit meiner Zertifikatsdatei von mir als Test nachgeschoben.<\/p>\n

\"Elster-Portal<\/p>\n

Obiger Screenshot zeigt, dass ich mich erfolgreich am Elster-Portal anmelden kann, wobei aber eine andere URL als portal.elster.de<\/em> verwendet wird. Mir war dann klar, dass beim Elster-Portal eine Umleitung von portal.elster.de\u00a0<\/em>auf www.elster.de\/eportal\/ <\/em>eingerichtet worden war.<\/p>\n

Aber warum stolpert Tobias \u00fcber einen SSL-Fehler im Browser und bei mir wird das Ganze sauber per Umleitung aufgel\u00f6st? So als pl\u00f6tzlicher Gedankenblitz habe ich dann die URL in der Form\u00a0https:\/\/portal.elster.de<\/a> im URL-Feld des Ungoogled Chromium eingetippt.<\/p>\n

\"Elster-Portal<\/p>\n

Bam, schon meldete sich der Ungoogled Chromium-Browser mit obiger Warnung und signalisierte, dass der CERT_COMMON_NAME-INVALID-Netzwerkfehler aufgetreten sei. Sprich: Der Browser findet kein SSL-Zertifikat mehr, das zu portal.elster.de passt. Ich kann im Browser auf\u00a0Erweitert<\/em> klicken und erhalte die M\u00f6glichkeit, auf die http-URL des Elster-Portals zu gehen. Dann greift die oben erw\u00e4hnte Umleitung auf die korrekte https-Seite,<\/em> die zum SSL-Zertifikat passt, wieder.<\/p>\n

\"Elster-Portal:<\/p>\n

Ich habe zur Sicherheit noch einen zweiten Test mit dem aktuellen Firefox-Browser durchgef\u00fchrt, der mit bei der betreffenden URL die obige Warnung zeigt. Auch hier kann ich den Zugriff auf die Portalseite mittels http erzwingen und werde dann auf die Elster-Portalseite mit g\u00fcltigem SSL-Zertifikat umgeleitet.<\/p>\n

Umleitung der URL imho verungl\u00fcckt<\/h2>\n

\"My take\" wie der Amerikaner zu sagen pflegt: Ich gehe davon aus, dass die IT der bayerischen Finanzverwaltung, die f\u00fcr das Elster-Portal zust\u00e4ndig ist, die Subdomain portal.elster.de<\/em> abgeschaltet und das SSL-Zertifikat bei seiner Erneuerung f\u00fcr elster.de<\/em> ausstellen lie\u00df.<\/p>\n

Intern wurde eine Weiterleitung von portal.elster.de\u00a0<\/em>auf die URL elster.de<\/em> eingerichtet. Aber die Umleitung in der .htaccess<\/em> oder in den DNS-Eintr\u00e4gen des Elster-Webauftritts ist falsch oder unvollst\u00e4ndig.<\/p>\n