Apple blockiert seit dem 19. Oktober 2026 kompromittierte TLS-Zertifikate des Anbieters eMudhra in seinen Betriebssystemen. Die Maßnahme greift automatisch in Programmen wie Safari und Mail sowie in Anwendungen, die Apples eigene Netzwerk- und Sicherheitsframeworks nutzen.
Nutzer müssen dafür weder manuelle Einstellungen anpassen noch ein Software-Update einspielen. Nach Angaben von Apple liegen keine Hinweise darauf vor, dass die betroffenen Zertifikate böswillig ausgenutzt wurden.
Ausmaß der Zertifikatsperren bei Apple
Die am 19. Oktober 2026 eingeleitete Sperre umfasst zwölf mit eMudhra verknüpfte TLS-Zertifikate von sechs kompromittierten Zwischenzertifizierungsstellen (Intermediate-CAs). Davon stammt jeweils ein Zertifikat von emSign Root TLS CA – G3, während ein weiteres von Sectigo cross-signiert wurde. Am 23. Oktober 2026 dehnte Apple die Schutzmaßnahmen aus und blockiert zusätzlich emSign ECC Root CA – G3.
Eine Sicherheitslücke verbleibt vorerst auf Systemebene von macOS: Bestimmte Kommandozeilenwerkzeuge wie curl, git, python3, ruby, perl und openssl beziehen ihre Vertrauensdaten aus der Datei /etc/ssl/cert.pem.
Viele iPhone-Nutzer übersehen nach dem Update diese gefährliche Einstellung. Apple-Chefredakteur Detlef Meyer verrät in diesem kostenlosen Ratgeber, welche Einstellungen Sie nach jedem Update sofort überprüfen sollten, um Ihre Privatsphäre wirksam zu schützen. iPhone Kompakt-Guide kostenlos sichern
Diese Werkzeuge sowie die Xcode Command Line Tools können die betroffenen Zertifikate daher bis zu einem Software-Update weiterhin als gültig einstufen. Apple bereitet ein entsprechendes macOS-Update vor, um diese Lücke zu schließen; ein konkretes Veröffentlichungsdatum steht noch nicht fest.
Für Systemadministratoren besteht die Möglichkeit, die fraglichen Root-CA-Zertifikate vorübergehend manuell aus /etc/ssl/cert.pem zu entfernen, optional ergänzt um AAA Certificate Services Root. Dieser Eingriff kann allerdings die Überprüfung legitimer Websites stören und wird bei künftigen Systemupdates wieder überschrieben.
Schwachstelle bei privaten Schlüsseln entdeckt
Auslöser der Maßnahmen war der Hinweis eines Sicherheitsforschers vom 17. Oktober 2026. Dieser hatte schwache private Schlüssel bei acht Intermediate-CA-Zertifikaten von eMudhra gemeldet, was potenziellen Angreifern das Fälschen legitimer Webauftritte ermöglicht hätte. Nach Angaben von eMudhra dienten zwei dieser acht Zwischeninstanzen der Ausstellung von Code-Signing-Zertifikaten, während sechs auf TLS-Zertifikate entfielen.
Am 18. Oktober 2026 widerrief eMudhra alle acht betroffenen Intermediate-CAs. Das Unternehmen betonte, dass keine öffentlich vertrauenswürdigen Endnutzer-Zertifikate ausgestellt worden seien und kein Hinweis auf ein Datenleck bestehe. Auch andere Branchengrößen reagierten umgehend: Google blockierte die Zertifikate bereits am 17. Oktober 2026 über ein CRLSet-Update, während Mozilla die Sperrung über sein OneCRL-System umsetzte.
Wer sich mit dem Thema IT-Sicherheit befasst, sollte auch die grundlegenden Schutzmechanismen für seine mobilen Geräte nicht vernachlässigen. Dieser gratis PDF-Ratgeber zeigt Ihnen die einfache Schritt-für-Schritt-Methode, um iOS-Updates künftig sicher und ohne Stress zu installieren. Kostenlosen Sicherheits-Ratgeber herunterladen
Behördenkoordination und Rückzug von eMudhra
Die indische IT-Sicherheitsbehörde CERT-In stellte in einer Mitteilung vom 21. Oktober 2026 klar, dass sich der Vorfall ausschließlich auf das internationale Geschäft von eMudhra mit Website-Zertifikaten bezieht.
Die nationale Infrastruktur für digitale Signaturen (DSC und eSign), die der Aufsicht des Controller of Certifying Authorities unterliegt, sei nicht betroffen. Die Koordination der weiteren Schritte übernahm das indische Ministerium für Elektronik und Informationstechnik (MeitY).
Infolge der Kompromittierung gab eMudhra am 22. Oktober 2026 bekannt, einen Ausstiegsplan aus dem weltweiten Markt für Website-Sicherheitszertifikate umzusetzen.