<![CDATA[**Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH**]]>**Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH**

Die D-Trust GmbH tauscht kurzfristig TLS-Website-Zertifikate aus, die zwischen dem 15.03.2025 und dem 02.04.2026, 10:45 Uhr, ausgestellt wurden. Diese Zertifikate verlieren bereits am Montag, 06.04.2026, 17:00 Uhr, ihre Gültigkeit und sind ab diesem Zeitpunkt nicht mehr einsetzbar! [1/x]

Link Preview Image
]]>https://board.circlewithadot.net/topic/87fcd749-67a3-41c8-9716-013bd48596c7/kurzfristige-maßnahmen-erforderlich-austausch-von-tls-zertifikaten-der-d-trust-gmbhRSS for NodeFri, 17 Apr 2026 17:09:44 GMTSat, 04 Apr 2026 15:02:02 GMT60<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Tue, 07 Apr 2026 06:49:05 GMT]]>@satmd @bsi Ja. Ich sag mal so, die Wahrscheinlichkeit dass bei D-Trust auch ein EJBCA läuft, ist nicht gering.
Die klassische Antwort wären detaillierte Change-Anweisungen und -Protokolle. Nicht schön, aber kann man für eine public CA schon mal machen.

]]>https://board.circlewithadot.net/post/https://chaos.social/users/F30/statuses/116362087312920976https://board.circlewithadot.net/post/https://chaos.social/users/F30/statuses/116362087312920976Tue, 07 Apr 2026 06:49:05 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Mon, 06 Apr 2026 15:11:13 GMT]]>@benchmark @byggvir @bsi Wie einst ein sagte "Ein Teil dieser Antworten würde die Bevölkerung verunsichern" passt hier gut der war ja auch mal Chef von dem zuständigen Ressort. Nicht Information scheint sich als Prinzip im Bereich Inneres durchgesetzt zu haben.

]]>https://board.circlewithadot.net/post/https://sueden.social/users/EvilBob/statuses/116358399492803566https://board.circlewithadot.net/post/https://sueden.social/users/EvilBob/statuses/116358399492803566Mon, 06 Apr 2026 15:11:13 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Mon, 06 Apr 2026 11:36:41 GMT]]>@sfuertinger Aye, aye! 🫡 @bsi

]]>https://board.circlewithadot.net/post/https://social.heise.de/users/syt/statuses/116357555888088152https://board.circlewithadot.net/post/https://social.heise.de/users/syt/statuses/116357555888088152Mon, 06 Apr 2026 11:36:41 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Mon, 06 Apr 2026 11:01:02 GMT]]>@twallutis @tbchlh @byggvir @bsi In diesem global gültigen Kontext ist "Work days" nicht klar genug definiert. Nicht in allen Gegenden der Welt werden Feiertage und Werktage so verstanden wie in Deutschland.

]]>https://board.circlewithadot.net/post/https://wien.rocks/users/benchmark/statuses/116357415714684252https://board.circlewithadot.net/post/https://wien.rocks/users/benchmark/statuses/116357415714684252Mon, 06 Apr 2026 11:01:02 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Mon, 06 Apr 2026 09:22:52 GMT]]>@Marco @isf @miller @bsi Hilft hier halt nur bedingt. Also die Toolchain zu haben erleichtert die Arbeit, aber die Zertifikate wären ja eigentlich noch länger gultig.

]]>https://board.circlewithadot.net/post/https://chaos.social/users/F30/statuses/116357029756633072https://board.circlewithadot.net/post/https://chaos.social/users/F30/statuses/116357029756633072Mon, 06 Apr 2026 09:22:52 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Mon, 06 Apr 2026 09:13:16 GMT]]>@tbchlh @benchmark @bsi

Operative Hektik ersetzt geistige Windstille. Schon Jesus wusste, dass der Sabath für den Menschen da ist und nicht umgekehrt. 200 Tage oder 5 Tage sind kein Naturgesetz.

]]>https://board.circlewithadot.net/post/https://nrw.social/users/byggvir/statuses/116356991971501358https://board.circlewithadot.net/post/https://nrw.social/users/byggvir/statuses/116356991971501358Mon, 06 Apr 2026 09:13:16 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Mon, 06 Apr 2026 08:45:06 GMT]]>@tbchlh @byggvir @benchmark @bsi dann sollte aber mal "days" durch "Work days" ersetzt werden. So versaut man vielen Leuten (IMHO) die Feiertage und Phishing dazu gibt es vermutlich auch schon.

]]>https://board.circlewithadot.net/post/https://ruhr.social/users/twallutis/statuses/116356881207874033https://board.circlewithadot.net/post/https://ruhr.social/users/twallutis/statuses/116356881207874033Mon, 06 Apr 2026 08:45:06 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Mon, 06 Apr 2026 08:34:28 GMT]]>@bsi wie kann man denn Ostermontag 17 Uhr für eine frühzeitige Revocation wählen?! Das schreit doch nach Massenweise Problemen die frühstens Dienstag 9 Uhr anslysiert werden. Wer hat denn hier die Risikoabwägung getätigt und wie kann man das begründen?

]]>https://board.circlewithadot.net/post/https://hessen.social/users/morl99/statuses/116356839407550795https://board.circlewithadot.net/post/https://hessen.social/users/morl99/statuses/116356839407550795Mon, 06 Apr 2026 08:34:28 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Mon, 06 Apr 2026 08:08:04 GMT]]>@bsi @syt BSI + Web PKI = Podcast News Item! 😉

]]>https://board.circlewithadot.net/post/https://mast.hpc.social/users/sfuertinger/statuses/116356735590340683https://board.circlewithadot.net/post/https://mast.hpc.social/users/sfuertinger/statuses/116356735590340683Mon, 06 Apr 2026 08:08:04 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Mon, 06 Apr 2026 07:52:04 GMT]]>@F30 @isf @miller @bsi Vielleicht werden ja auch Admins mal endlich dazu erzogen, den Austausch von Zertifikaten weitestgehend zu automatisieren. 🙈

]]>https://board.circlewithadot.net/post/https://ruhr.social/users/Marco/statuses/116356672664453368https://board.circlewithadot.net/post/https://ruhr.social/users/Marco/statuses/116356672664453368Mon, 06 Apr 2026 07:52:04 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Mon, 06 Apr 2026 07:38:29 GMT]]>Da weder D-Trust noch @bsi den effektiven Grund für die Revocations nennen sind beide offensichtlich nicht vertrauenswürdig.

]]>https://board.circlewithadot.net/post/https://mastodon.savvy.ch/users/exception/statuses/116356619264394933https://board.circlewithadot.net/post/https://mastodon.savvy.ch/users/exception/statuses/116356619264394933Mon, 06 Apr 2026 07:38:29 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Mon, 06 Apr 2026 07:23:38 GMT]]>@byggvir @benchmark @bsi Die CA hat max. 5 Tage Zeit ab Kenntnis die Zertifikate zu widerrufen. Da bleibt dann wenig Handlungsspielraum. Dass das nun am Gründonnerstag auffällt, ist halt dumm gelaufen.

CAB BR 4.9.1.1:

"With the exception of Short-lived Subscriber Certificates, the CA SHOULD revoke a certificate within 24 hours and MUST revoke a Certificate within 5 days and use the corresponding CRLReason (see Section 7.2.2) if one or more of the following occurs:"

]]>https://board.circlewithadot.net/post/https://mastodon.social/users/tbchlh/statuses/116356560881623811https://board.circlewithadot.net/post/https://mastodon.social/users/tbchlh/statuses/116356560881623811Mon, 06 Apr 2026 07:23:38 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Sun, 05 Apr 2026 17:40:12 GMT]]>@bsi Die Schulungen scheinen bislang nicht die erforderliche Qualität erzeugt zu haben. Schon blöd wenn man die "Laufzeit" übersieht, aber noch doofer ist es die Arbeit den Kunden aufzuhalsen. 🤢

]]>https://board.circlewithadot.net/post/https://digitalhub.social/ap/users/116166386328763819/statuses/116353323018480805https://board.circlewithadot.net/post/https://digitalhub.social/ap/users/116166386328763819/statuses/116353323018480805Sun, 05 Apr 2026 17:40:12 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Sun, 05 Apr 2026 14:30:37 GMT]]>@benchmark @bsi

Und das fällt ihnen Gründonnerstag auf und muss so schnell behoben werden, dass nicht bis Mittwoch oder Freitag der Woche Zeit ist?

]]>https://board.circlewithadot.net/post/https://nrw.social/users/byggvir/statuses/116352577552283018https://board.circlewithadot.net/post/https://nrw.social/users/byggvir/statuses/116352577552283018Sun, 05 Apr 2026 14:30:37 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Sun, 05 Apr 2026 14:25:38 GMT]]>@byggvir @bsi Im Bericht zum Vorfall steht ja: "D-Trust identified that 19 TLS precertificates were issued with a validity period exceeding the maximum allowed validity of 200 days as defined in the TLS Baseline Requirements. The affected precertificates were issued with a validity period greater than permitted under Section 6.3.2. All affected certificates have been revoked after the issue was identified"

D-Trust hat zwar die 19 zu lang ausgestellten Zertifikate widerrufen und es gibt kein Risiko für die Bevölkerung. Insofern brauchen sie keine weiteren Erklärungen zu liefern.

Sie haben aber eine Verpflichtung als Zertifikatsaustellende Stelle (CA) verletzt und befürchten jetzt, aus den Wurzelspeichern (root stores) zu fliegen, was ihnen die Geschäftsgrundlage entziehen könnte. Dieses Risiko ist es wert, in vorauseilendem Gehorsam zu zeigen, dass D-Trust das Vertrauen der Internet-Gemeinde verdient. Das ist nur meine Interpretation und meine Vermutung, bitte nicht für bare Münze nehmen. Ich halte die Vorgangsweise für richtig. Es wäre ein unvergleichlich größeres Debakel, wenn D-Trust als CA rausfliegt.

Es wäre interessant herauszufinden, wer ihnen die manipulierten/präparierten Anträge (signing request) untergejubelt hat.

]]>https://board.circlewithadot.net/post/https://wien.rocks/users/benchmark/statuses/116352557964371656https://board.circlewithadot.net/post/https://wien.rocks/users/benchmark/statuses/116352557964371656Sun, 05 Apr 2026 14:25:38 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Sat, 04 Apr 2026 21:49:09 GMT]]>@plaste @bsi Genau, und auch die Clients mit AIA Fetching sollten es nur als letztes Mittel verwenden.
Das Cross-signed Root mit als Intermediate in der Kette auszuliefern, müsste eigentlich in jedem Fall funktionieren.

]]>https://board.circlewithadot.net/post/https://chaos.social/users/F30/statuses/116348639596227144https://board.circlewithadot.net/post/https://chaos.social/users/F30/statuses/116348639596227144Sat, 04 Apr 2026 21:49:09 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Sat, 04 Apr 2026 21:01:30 GMT]]>@F30 @bsi Kommt auf die Perspektive an. Die AIA des finalen Zertifikates der Issuing CA verweist auf die nicht Cross- Signed Root CA.

IMHO braucht es hier, zumindest temporär eine Trust Chain mit verweisen auf die Cross- Signed CA. Das OS / der Browser folgen stumpf der Kette und kennen die Cross-Signed CA nicht.

Dazu kommt das nicht jeder Client die AIA Informationen nutzt.

]]>https://board.circlewithadot.net/post/https://chaos.social/users/plaste/statuses/116348452210295619https://board.circlewithadot.net/post/https://chaos.social/users/plaste/statuses/116348452210295619Sat, 04 Apr 2026 21:01:30 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Sat, 04 Apr 2026 20:29:15 GMT]]>@bsi oh no, dann für alle die jetzt über die Feiertage D-Trust Zertifikate tauschen müssen, oder am Dienstag sehr viele Anrufe bekommen

]]>https://board.circlewithadot.net/post/https://mastodon.social/users/sco_tty/statuses/116348325417249061https://board.circlewithadot.net/post/https://mastodon.social/users/sco_tty/statuses/116348325417249061Sat, 04 Apr 2026 20:29:15 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Sat, 04 Apr 2026 19:42:31 GMT]]>@bsi@social.bund.de ist D-Trust nicht ein bundeseigenes Unternehmen?

]]>https://board.circlewithadot.net/post/https://toot.pouyan.net/objects/ae5a38c3-8b40-48dd-90f4-434cf135bcc9https://board.circlewithadot.net/post/https://toot.pouyan.net/objects/ae5a38c3-8b40-48dd-90f4-434cf135bcc9Sat, 04 Apr 2026 19:42:31 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Sat, 04 Apr 2026 19:12:32 GMT]]>@plaste @bsi Es scheint mir suboptimal konfiguriert zu sein, Details hier: https://chaos.social/@F30/116348001721376200

]]>https://board.circlewithadot.net/post/https://chaos.social/users/F30/statuses/116348023775289701https://board.circlewithadot.net/post/https://chaos.social/users/F30/statuses/116348023775289701Sat, 04 Apr 2026 19:12:32 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Sat, 04 Apr 2026 19:11:04 GMT]]>@isf @miller @bsi Es ist eine Compliance-Maßnahme.
Für öffentliche CAs in Browsern gelten heutzutage strenge Regeln, deren strikte Einhaltung erwartet wird. Dazu gehört das Zurückrufen fehlerhaft ausgestellter Zertifikate.
Andererseits werden User durch die jetzigen Auswirkungen mal wieder erzogen, Zertifikatsfehler wegzuklicken. Und Admins müssen über Ostern eilig Zertifikate tauschen.
Ob das unterm Strich nicht der größere Schaden für die Sicherheit ist? 🤷‍♂️

]]>https://board.circlewithadot.net/post/https://chaos.social/users/F30/statuses/116348018030703599https://board.circlewithadot.net/post/https://chaos.social/users/F30/statuses/116348018030703599Sat, 04 Apr 2026 19:11:04 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Sat, 04 Apr 2026 18:21:01 GMT]]>@bsi

Das klingt nach einem sehr schweren Sicherheitsvorfall. Dass das nicht der Fall ist, ist unglaubwürdig. Zwei Tage alte Zertifikate macht man nicht aus Jux und Dollerei über Osterfeiertage ungültig.

Auf jeden Fall sollte man sich nach so einer Oster-Aktion einen anderen Anbieter für Zertifikate suchen.

]]>https://board.circlewithadot.net/post/https://nrw.social/users/byggvir/statuses/116347821216266731https://board.circlewithadot.net/post/https://nrw.social/users/byggvir/statuses/116347821216266731Sat, 04 Apr 2026 18:21:01 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Sat, 04 Apr 2026 18:04:22 GMT]]>@miller @bsi
Also entweder ist die Sicherheit der betroffenen Zertifikate sehr wohl tangiert, oder diese Blitzaktion mit all ihren absehbar gravierenden Folgen ist nicht gerechtfertigt. Sollte Letzteres zutreffen, dürfte über Schadenersatz noch zu reden sein.
Sollte Ersteres zutreffen, so verbreitet D-Trust auf der eigenen Website eine gefährliche Desinformation.
Beides ist nicht akzeptabel.
Bin bisher kein D-Trust-Kunde, und möglicherweise werde ich es auch nicht...

]]>https://board.circlewithadot.net/post/https://muenchen.social/users/isf/statuses/116347755721130345https://board.circlewithadot.net/post/https://muenchen.social/users/isf/statuses/116347755721130345Sat, 04 Apr 2026 18:04:22 GMT<![CDATA[Reply to **Kurzfristige Maßnahmen erforderlich: Austausch von TLS-Zertifikaten der D-Trust GmbH** on Sat, 04 Apr 2026 17:53:25 GMT]]>@isf @bsi https://heise.de/-11245930
Kurzfassung: Sie haben Dinge anders interpretiert, als es üblich ist. Deutsche Behörde eben..

]]>https://board.circlewithadot.net/post/https://ruhr.social/users/miller/statuses/116347712699935955https://board.circlewithadot.net/post/https://ruhr.social/users/miller/statuses/116347712699935955Sat, 04 Apr 2026 17:53:25 GMT