8 schwache private Schlüssel machen Website-Zertifikate zum Finanzrisiko

eMudhra hatte ein Problem, das viel größer war als acht interne Schlüssel. Laut CoinDesk meldete ein Forscher am 17. Oktober den Browser-Herstellern, dass acht private Schlüssel der indischen Zertifizierungsstelle kompromittiert waren. Diese Firma steht nicht am Rand des Netzes. Sie bestätigt, dass Websites echt sind. Wenn ausgerechnet eine solche Stelle schwache Schlüssel nutzt, wackelt ein Stück der digitalen Vertrauenskette, an der auch Banken, Broker und Zahlungsdienste hängen.

Sie müssen dafür kein Kryptograf sein. Wenn Sie eine Banking-Seite öffnen, prüft Ihr Browser ein digitales Zertifikat. Dieses Zertifikat sagt: Die Seite gehört wirklich zu dem Anbieter, den Sie aufrufen wollen. Eine Zertifizierungsstelle wie eMudhra unterschreibt diese Bestätigung mit einem privaten Schlüssel. Dieser private Schlüssel ist der geheime Stempel. Wer ihn knackt oder stiehlt, kann eine täuschend echte Bestätigung erzeugen.

Ein schwacher Masterstempel reicht für eine falsche Website

Der Vorwurf wiegt schwer, weil es nicht um einen raffinierten Angriff auf Hochsicherheitsmathematik ging. Laut CoinDesk sagten Forscher, eMudhra habe leicht zu erratende ganze Zahlen als private Schlüssel verwendet. Alle acht Schlüssel seien aus öffentlichen Zertifikaten in weniger als einer Sekunde wiederhergestellt worden. Das ist der Satz, bei dem Produktbroschüren über „bankübliche Sicherheit“ sehr leise werden.

Der Forscher Wayne belegte den Fehler auf eine Art, die jeder Sicherheitschef versteht. Laut CoinDesk signierte er seine Warnung mit allen acht kompromittierten Schlüsseln. Die Nachricht lautete: „We have a problem here – Wayne.“ Das war keine theoretische Fußnote. Es war der Nachweis, dass ein Angreifer mit den Schlüsseln Nachrichten oder Zertifikate so aussehen lassen konnte, als kämen sie aus einer vertrauenswürdigen Quelle.

Browser reagieren schnell, aber nicht jede Software hört zu

Die gute Nachricht steht ebenfalls in der Meldung. Laut CoinDesk blockierten große Browser-Hersteller die betroffenen Zertifikate schnell. Außerdem seien bisher keine Angriffe gemeldet worden. Für den Alltag vieler Nutzer ist das wichtig, weil moderne Browser solche Sperren meist zügig übernehmen.

Die schlechte Nachricht liegt in der zweiten Hälfte dieses Satzes. Manche Programme verlassen sich nicht sauber auf Widerrufsprüfungen. Widerruf heißt: Ein Zertifikat wurde nachträglich für ungültig erklärt. Laut CoinDesk kann besonders Nicht-Browser-Software anfällig bleiben, wenn sie solche Sperrlisten nicht abfragt. Genau dort wird aus einem Internetfehler ein Finanzmarktthema.

Viele Finanzprozesse laufen nicht nur im Browser. Zahlungsdienste, Schnittstellen, Apps, Handelssysteme und interne Tools sprechen miteinander. Nutzer sehen davon oft nur eine grüne Oberfläche und eine erfolgreiche Anmeldung. Im Hintergrund entscheidet aber dieselbe Logik, ob ein Gegenüber echt ist. Wenn diese Prüfung versagt, entsteht Raum für Umleitungen, gefälschte Logins oder manipulierte Verbindungen.

Die Finanzwelt unterschätzt gern die langweiligen Risiken

Der Markt reagiert meist erst, wenn Geld sichtbar verloren geht. Das ist menschlich. Der Rückschaufehler sagt Ihnen später, dass das Problem „offensichtlich“ war. Vorher klingt es wie ein Randthema für Administratoren. Der Herdentrieb macht den Rest: Wenn niemand nervös wirkt, fühlt sich Nichtstun vernünftig an.

Genau diese Ruhe kann trügen. Laut CoinDesk hat eMudhra mehr als 60 Millionen Zertifikate ausgegeben, wobei CoinDesk sich dabei auf The Register beruft. Diese Zahl bedeutet nicht, dass 60 Millionen Seiten gefährdet sind. Sie zeigt aber die Größenordnung der Institution. Wer Vertrauen in großem Stil ausstellt, darf sich bei seinen eigenen Schlüsseln keine Bastellösung leisten.

Das historische Muster ist nicht neu. 2011 geriet der niederländische Zertifikatsanbieter DigiNotar nach gefälschten Zertifikaten in eine Krise und verlor das Vertrauen der Browser-Hersteller. Der Name ist heute vor allem Fachleuten geläufig. Die Lehre ist dennoch einfach: Eine Zertifizierungsstelle lebt nicht von ihrer Marke, sondern davon, dass andere ihre Signaturen akzeptieren. Wenn dieses Vertrauen fällt, fällt das Geschäftsmodell mit.

Was Sie bei Sicherheitsmeldungen anders lesen sollten

Sie werden in solchen Fällen zwei überzogene Reaktionen hören. Die eine sagt: Alles halb so wild, die Browser haben doch reagiert. Die andere sagt: Das gesamte Netz sei unsicher. Beide Reflexe sparen sich die wichtigste Frage: Welche Systeme verlassen sich noch auf die betroffenen Zertifikate, obwohl sie gesperrt wurden?

Für Finanzdienste ist diese Frage handfest. Ein Broker kann seine öffentliche Website sauber schützen und trotzdem über ein Drittprogramm, eine App oder eine Schnittstelle angreifbarer sein. Ein Zahlungsdienst kann moderne Sicherheit versprechen und zugleich von Zulieferern abhängen, deren Prüfungen veraltet sind. Verlustaversion verschärft das Problem. Niemand will der Erste sein, der öffentlich über mögliche Schwächen spricht, weil schon der Verdacht Kunden kosten kann.

Für Beobachter heißt das: Nicht die dramatischste Schlagzeile zählt, sondern die technische Nacharbeit. Welche Zertifikate wurden gesperrt? Welche Anbieter bestätigen Updates? Welche Software prüft Widerrufe zuverlässig? Wenn ein Finanzanbieter nur sagt, es gebe „keine Hinweise auf Missbrauch“, ist das weniger wert als eine klare Aussage zu den betroffenen Systemen.

In den nächsten Tagen entscheidet sich diese These an einer nüchternen Zahl: null gemeldete Angriffe. Bleibt es bei der von CoinDesk genannten Null und ziehen auch Nicht-Browser-Systeme nach, bleibt der Fall ein Warnschuss. Tauchen bestätigte Missbrauchsfälle auf, war es ein Blick auf ein Risiko, das in Finanzmärkten meist erst dann ernst genommen wird, wenn es schon Geld kostet.