Die X.509-Zertifikate für die Domain „ausweisapp.bund.de“ und „www.ausweisapp.de“ wurden von der zuständigen Vergabestelle (CA - Certificate Authority) am frühen Freitagnachmittag zurückgezogen (revoked). Die konkreten Gründe sind unklar, Browser vertrauen dem Zertifikat nun nicht mehr.

Als Grund gab die CA in ihrer Zertifikatssperrliste „Privilege Withdrawn“ an. Formal bedeutet das, dass der zum Zertifikat gehörige private Schlüssel nicht kompromittiert wurde, aber der Zertifikatsinhaber – hier die Betreiber der AusweisApp – das Zertifikat nicht bestimmungsgemäß genutzt haben. Es kann auch bedeuten, dass sich wesentliche Informationen, die im Zertifikat festgeschrieben waren, geändert haben, etwa dass der Inhaber nicht mehr existiert oder umfirmiert hat. Und auch wenn ein Zertifikat gar nicht erst hätte ausgestellt werden dürfen, wird der Zurückziehungsgrund „Privilege Withdrawn“ gewählt. Informationen dazu finden sich etwa im Wiki von Mozilla oder in den gültigen „Baseline Requirements“ des CA/Browser Forums.

Konkret sieht das dann so aus:

Serial Number: 7D0D9F5C1471C81F53BFFF2626EF925918217A35

Revocation Date: Sep 25 13:55:06 2026 GMT

CRL entry extensions: X509v3

CRL Reason Code: Privilege Withdrawn

Warum die Zertifikate zurückgezogen wurden, ist unklar. Eine entsprechende Anfrage an die Zuständigen bei der Bundesdruckerei, Betreiberin der D-Trust-CA, wurde am Samstagnachmittag kurzfristig nicht beantwortet. Wir sind in Kontakt mit den Verantwortlichen und werden diese Meldung weiter aktualisieren, sowie belastbare Informationen vorliegen.

In den frühen Abendstunden des 26. September hat die Governikus Service GmbH ein offenbar in aller Eile um 17:48 MESZ (15:48 GMT) neu ausgestelltes Zertifikat für ausweisapp.bund.de eingespielt. Damit sind die Webseiten auch in denjenigen Browsern wieder ordnungsgemäß verfügbar, die eine korrekte CRL-Prüfung von TLS-Verbindungen durchführen – wie etwa Firefox.

Neues Zertifikat für ausweisapp.bund.de - noch etwas feucht hinter den Signaturen.

(Bild: Screenshot / heise medien)

(cku)