AusweisApp Zertifikat zurückgezogen: D-Trust widerruft, Governikus ersetzt

Das AusweisApp Zertifikat für ausweisapp.bund.de war am Freitag plötzlich nichts mehr wert: Die Zertifizierungsstelle D-Trust, ein Unternehmen der Bundesdruckerei, hat es widerrufen. Ein Angriff war das nach aktuellem Kenntnisstand nicht – aber ein Lehrstück darüber, wie schnell eine Vertrauenskette reißt, die niemand überwacht.

Was mit dem AusweisApp Zertifikat passiert ist

heise online berichtete am 26. September 2026, dass D-Trust das TLS-Zertifikat von ausweisapp.bund.de zurückgezogen hat. Der Widerruf ist in der Sperrliste auf den 25. September 2026 datiert. Sichtbar wurde er dort, wo die Sperrliste tatsächlich ausgewertet wird – Firefox etwa prüft sie konsequent und warnte entsprechend. Browser, die den Widerrufsstatus nicht oder nur lückenhaft abfragen, zeigten die Seite dagegen weiter an.

Eine Begründung gab es nicht: Eine Presseanfrage von heise bei der Bundesdruckerei blieb bis Samstagnachmittag unbeantwortet. Warum das Zertifikat zurückgezogen wurde, ist damit öffentlich unbekannt.

Behoben war die Sache noch am 26. September. Die Governikus Service GmbH, die den Dienst betreibt, rollte laut heise um 17:48 Uhr MESZ ein neu ausgestelltes Zertifikat aus. Zusätzlich blieben zwei weitere gültige TLS-Zertifikate für die Domain aktiv, jeweils mit einjähriger Laufzeit. Die Nutzung der App selbst war nicht betroffen.

Ein Hinweis zur Quellenlage, weil er für die Bewertung wichtig ist: Die Meldung geht auf heise online zurück. Weitere Fundstellen zitieren im Kern dieselbe Recherche. Eine zweite, unabhängig recherchierte Bestätigung lag zum Zeitpunkt dieses Beitrags nicht vor; die technischen Details des Widerrufs sind aber in der Sperrliste nachvollziehbar.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

„Privilege Withdrawn“ – was dieser Widerrufsgrund aussagt

Als Grund ist in der Sperrliste „Privilege Withdrawn“ hinterlegt. Die Widerrufsgründe sind in RFC 5280, Abschnitt 5.3.1, als Reason Code definiert; dort steht privilegeWithdrawn(9) neben keyCompromise(1). Für eine kompromittierte Schlüsseldatei gibt es also einen eigenen Code, der hier nicht verwendet wurde.

Welche Anlässe hinter „Privilege Withdrawn“ stehen, regelt der RFC allerdings nicht. Die Praxisbeschreibungen der CA-Programme – etwa im Mozilla-Wiki zu Widerrufsgründen – nennen typischerweise eine nicht regelkonforme Nutzung, geänderte Angaben zum Zertifikatsinhaber oder eine fehlerhafte Ausstellung. Wichtig: Der gewählte Code ist ein Indiz, kein Beweis. Aus „Privilege Withdrawn“ folgt nicht, dass kein Schlüsselproblem vorlag – es folgt nur, dass die CA diesen Code gesetzt hat.

Für den Betrieb ändert die Nuance ohnehin nichts. Ein widerrufenes Zertifikat ist für einen prüfenden Browser genauso tot wie ein abgelaufenes.

Was das AusweisApp Zertifikat für dich bedeutet

Aus CISO-Sicht ist das der unangenehme Teil: Über die Gültigkeit deines Zertifikats entscheidet nicht du, sondern eine fremde Organisation. Eine CA kann dir die Vertrauensbasis ohne Vorwarnung entziehen – wegen einer Compliance-Auflage, eines Ausstellungsfehlers oder einer Audit-Feststellung. Das ist ein Verfügbarkeitsrisiko, das in kaum einer Risikoanalyse auftaucht, weil dort unter „Zertifikat“ meist nur „läuft ab“ steht.

In 25 Jahren IT habe ich deutlich mehr Ausfälle durch kaputte Zertifikate gesehen als durch echte Angriffe: das vergessene Zertifikat am Reverse Proxy, das Client-Zertifikat einer Schnittstelle, das nur ein längst ausgeschiedener Kollege kannte. Dass die Laufzeiten öffentlicher TLS-Zertifikate seit Jahren sinken, verschärft das, weil manuelle Prozesse damit nicht mitskalieren. Und dieser Fall zeigt die zweite Hälfte des Problems: Ein perfekt gepflegtes Ablaufdatum hilft nichts, wenn das Zertifikat mitten in der Laufzeit widerrufen wird.

Praxis: vier Dinge, die du jetzt prüfen solltest

• Widerrufsstatus überwachen, nicht nur das Ablaufdatum. Ein Monitoring, das ausschließlich „valid until“ abfragt, hätte diesen Vorfall nicht gesehen. Frage zusätzlich OCSP beziehungsweise die CRL der ausstellenden CA ab und alarmiere, wenn ein produktives Zertifikat als revoked zurückkommt.
• Zweitpfad vorbereiten. Für jeden kritischen Dienst ein zweites, einsatzfähiges Zertifikat einer anderen CA vorhalten – Schlüssel und Kette bereits auf dem System, nur nicht aktiv. Der Tausch dauert dann Minuten statt Stunden.
• Den Austausch einmal üben und die Zeit messen. Von „Zertifikat ist tot“ bis „neues Zertifikat aktiv“: Wer diese Zahl nicht kennt, hat kein Notfallverfahren, sondern eine Hoffnung.
• Certificate Transparency auswerten. CT-Logs zeigen, welche Zertifikate für deine Domains überhaupt existieren. Das deckt auch die unangenehme Variante auf: ein Zertifikat, das jemand anders für deine Domain ausstellen ließ.

Wer seine Anmeldeverfahren ohnehin gerade überarbeitet: Die Diskussion um digitale Identitäten endet immer bei der Frage, wie stark der Login selbst geschützt ist. Die Hardware-Seite davon habe ich im Überblick zu Hardware-Security-Keys nach FIDO2 zusammengefasst. Wie schnell Identitätsthemen inzwischen auch Maschinen betreffen, zeigt der Beitrag zu Identitäten für KI-Agenten.

Quellen

• heise online: AusweisApp – Zertifikate von der Bundesdruckerei überraschend zurückgezogen (26.09.2026)
• Mallory: AusweisApp TLS Certificate Revoked by D-Trust
• RFC 5280, Abschnitt 5.3.1: Reason Code (privilegeWithdrawn, keyCompromise)
• Mozilla-Wiki: CA/Revocation Reasons
• AusweisApp (offizielle Seite)