Wurde Ihr SSL-Zertifikat widerrufen?
Am 21. Oktober 2026 hat GoDaddy 404.607 TLS-Zertifikate aus den Hierarchien GoDaddy und Starfield widerrufen. Eine Website mit widerrufenem Zertifikat lädt unter Umständen nicht mehr, bis das Ersatzzertifikat installiert ist.
Wir prüfen, wer Ihre Zertifikate ausgestellt hat, stellen die betroffenen neu aus und installieren sie überall dort, wo sie liegen (Load Balancer, CDN, Mail, Apps). Danach läuft die Verlängerung automatisch, damit der nächste Widerruf Routine wird.
# Wer hat das Zertifikat ausgestellt und wann läuft es ab?$ openssl s_client -connect domain.de:443 -servername domain.de </dev/null 2>/dev/null | openssl x509 -noout -issuer -datesissuer=C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", CN = Go Daddy Secure Certificate Authority - G2notBefore=Jun 2 00:00:00 2026 GMTnotAfter=Dec 19 23:59:59 2026 GMT# Aussteller GoDaddy, Starfield oder eMudhra: Status im Kundenportal des Anbieters prüfen# Beispielausgabe: Ihre Domain zeigt andere DatenZwei Zertifizierungsstellen, zwei verschiedene Probleme
In derselben Woche kamen ein Massenwiderruf wegen formaler Fehler und ein Vertrauensentzug wegen schwacher Schlüssel zusammen. In beiden Fällen muss das Zertifikat getauscht werden, und in beiden Fällen liegt es meist an mehr Stellen, als irgendwo dokumentiert ist.
GoDaddy: 404.607 Zertifikate widerrufen
Am 21. Oktober hat GoDaddy Zertifikate der Hierarchien GoDaddy und Starfield widerrufen, weil die enthaltenen Policy-OIDs und die CPS-URI nicht mit dem eigenen CPS übereinstimmten. Es ist ein Compliance-Vorfall, keine Schlüsselkompromittierung (Mozilla Bug 2082703).
Die Folge ist praktisch: Ohne installiertes Ersatzzertifikat kann die Website unerreichbar werden. Quelle: Cyberpress.
eMudhra: acht Zwischen-CAs mit schwachen Schlüsseln
Acht Zwischen-CA-Zertifikate von eMudhra, erstellt im April 2025, hatten wegen eines Fehlers in der Schlüsselerzeugungszeremonie schwache Schlüssel. Die Schlüssel ließen sich aus den öffentlichen Zertifikaten selbst zurückgewinnen.
Chrome hat sie blockiert, Apple am 19. Oktober und Microsoft am 20.; Go und Node.js haben einen ausdrücklichen Vertrauensentzug veröffentlicht. Bestätigte Angriffe auf Nutzer gibt es nicht. Quelle: The Hacker News.
Aussteller und Ablaufdatum jedes Zertifikats
Der Befehl oben auf der Seite liefert zwei Werte: issuer, wer das Zertifikat signiert hat, und notAfter, wann es abläuft. Enthält der Aussteller GoDaddy, Starfield oder eMudhra, prüfen Sie den Status im Kundenportal des Anbieters.
Wiederholen Sie die Prüfung für den Mailserver und jede Subdomain mit eigenem Zertifikat (api., app., mail.). Häufig ist die Website aktuell, während der Mailserver noch ein Zertifikat von vor zwei Verlängerungen nutzt.
# Das Mail-Zertifikat ist oft eine andere Datei auf einer anderen Maschine$ openssl s_client -starttls smtp -connect mail.domain.de:587 </dev/null 2>/dev/null | openssl x509 -noout -issuer -dates# IMAP mit direktem TLS$ openssl s_client -connect mail.domain.de:993 </dev/null 2>/dev/null | openssl x509 -noout -issuer -datesEin Zertifikat, vier Stellen zum Tauschen
Bevor wir neu ausstellen, erfassen wir, wo es installiert ist. Dieser Schritt wird am häufigsten vergessen, und er ist der Grund für die zweite „Geht nicht“-Meldung zwei Tage später.
Load Balancer oder Proxy
Bei AWS ALB, NGINX oder HAProxy wird das Zertifikat getrennt vom Anwendungsserver geladen. Endet TLS dort, sehen Browser genau dieses Zertifikat.
CDN
Haben Sie ein eigenes Zertifikat ins CDN hochgeladen, statt das vom Anbieter verwaltete zu nutzen, muss das neue von Hand hochgeladen oder über die API automatisiert werden.
Mailserver
SMTP und IMAP haben oft ein eigenes Zertifikat. Ist es widerrufen, lehnen manche Mail-Clients und entfernte Server die Verbindung ab.
Apps mit Pinning
Pinnt die App den Schlüssel des Zertifikats oder der Zwischen-CA, kann ein neues Zertifikat sie von der API abschneiden, bis eine neue Version erscheint.
Vom Widerruf zur automatischen Verlängerung
Die Reihenfolge zählt: Erst muss alles wieder laufen, dann darf es nicht mehr davon abhängen, dass jemand an das Datum denkt.
- 01
Aussteller und Umfang
Wir listen Domains und Subdomains auf, lesen Aussteller und Ablaufdatum jedes Zertifikats aus und markieren die, die von GoDaddy, Starfield oder eMudhra abhängen.
- 02
Neu ausstellen und installieren
Wir beantragen das Ersatzzertifikat (oder ein neues bei einer anderen CA, wenn ein Wechsel sinnvoll ist) und installieren die vollständige Kette mit dem richtigen Zwischenzertifikat.
- 03
Alle Endpunkte
Load Balancer, CDN, Mail, Staging-Umgebungen und Apps mit Pinning. Wir prüfen jeden von außen mit openssl, nicht nur im Portal.
- 04
Automatische Verlängerung
Wir richten ACME mit Let's Encrypt oder Ihrer CA ein, sodass Verlängerung und Verteilung auf alle Endpunkte ohne manuellen Eingriff laufen.
- 05
Ablaufwarnung
Eine regelmäßige Prüfung warnt, wenn ein Zertifikat bald abläuft oder sich der Aussteller ändert, ohne dass es jemand beantragt hat.
Zertifikate, die sich selbst verlängern
2025 hat das CA/Browser Forum das Ballot SC-081 verabschiedet: Seit dem 15. März 2026 beträgt die Höchstlaufzeit 200 Tage, im März 2027 sinkt sie auf 100 Tage und im März 2029 auf 47 Tage. Mit diesen Fristen wird die manuelle Verlängerung von einer jährlichen zu einer fast monatlichen Aufgabe.
- Jemand denkt an das Datum, erzeugt den Antrag und lädt ihn im Portal hoch
- Die neue Datei landet auf dem Server, aber nicht im CDN und nicht auf dem Mailserver
- Seit dem 15. März 2026 gilt ein Zertifikat höchstens 200 Tage: zwei Verlängerungen pro Jahr und Domain
- Widerruft die CA, muss der ganze Ablauf unter Zeitdruck wiederholt werden
- Ein ACME-Client (certbot, der Ihres Load Balancers oder Ihres CDN) beantragt und verlängert selbstständig
- Jede Stelle, an der das Zertifikat liegt, ist erfasst und wird im selben Schritt aktualisiert
- Sinkt das Maximum auf 100 Tage (2027) und 47 Tage (2029), ändert sich an Ihren Abläufen nichts
- Schlägt eine Verlängerung fehl, kommt ein Alarm, bevor das Zertifikat abläuft
Verbinden sich Website, Mail oder App nicht mehr?
Schreiben Sie uns →Häufige Fragen zu widerrufenen SSL-Zertifikaten
Woran erkenne ich, ob mein Zertifikat zu den 404.607 von GoDaddy widerrufenen gehört?
Wurden Daten gestohlen, wenn mein Zertifikat widerrufen wurde?
Reicht es, das Zertifikat auf dem Webserver neu auszustellen?
Was passiert mit einer mobilen App, die Certificate Pinning nutzt?
Taugt Let's Encrypt für ein Unternehmen?
Schicken Sie uns Ihre Domainliste
Anhand Ihrer Domains und Subdomains sagen wir Ihnen, welche Zertifikate von einer betroffenen CA abhängen und wo jedes installiert ist. Danach entscheiden Sie, ob wir den Tausch übernehmen.
Erzählen Sie uns Ihre Herausforderung. Wir schlagen die Lösung vor.
Unverbindlich. Innerhalb von 24 Stunden erhalten Sie ein Angebot mit Umfang, Zeitplan und Budget. Ohne Kleingedrucktes.