Windows entzieht weiteren eMudhra-Zertifikaten das Vertrauen

Beim nächsten Sicherheitsupdate müssen Windows-Nutzer nicht unbedingt ein großes Datenpaket herunterladen. Microsoft will am 16. November 2026 weitere digitale Zertifikate des Anbieters eMudhra aus seinen Vertrauenslisten entfernen.

Zehn weitere Stammzertifikate betroffen

Die Änderungen für Windows, Edge und WebView2 sollen weitgehend automatisch im Hintergrund ankommen. Ein zusätzliches kumulatives Windows-Update ist dafür auf unterstützten Geräten mit Verbindung zum zuständigen Microsoft-Server nicht erforderlich, berichtet Neowin unter Berufung auf eine aktualisierte Microsoft-Mitteilung.

Der Schritt ist eine weitere Folge des eMudhra-Zertifikatsvorfalls. Bereits am 28. Oktober hatte Microsoft mit den außerplanmäßigen Windows-Updates KB5134133 und KB5134134 sieben Zertifikaten das Vertrauen entzogen. Darunter waren sechs G3-Stammzertifikate und eine Kreuzsignatur von AAA Certificate Services. Einen Tag später folgte eine entsprechende Änderung für Edge. Nun sollen die verbleibenden zehn eMudhra-Stammzertifikate aus der Windows-Vertrauensliste entfernt werden.


Das indische Unternehmen eMudhra stellt unter anderem Zertifikate für digitale Signaturen und sichere Online-Transaktionen aus. Zu seinem internationalen Geschäft gehören außerdem SSL/TLS-Zertifikate. Sie helfen Browsern dabei, die Identität von Websites zu überprüfen und verschlüsselte Verbindungen zu Webservern aufzubauen.

Welche Zertifizierungsstellen Windows dabei grundsätzlich vertraut, hält das Betriebssystem in einer Vertrauensliste fest. Genau dort setzt die angekündigte Änderung an.

Aktualisierung mit eigenen Mechanismus

Für Windows nutzt Microsoft die automatische Aktualisierung der Stammzertifikate. Dieser Mechanismus prüft regelmäßig, ob eine neuere Fassung der sogenannten Certificate Trust List vorliegt. Ist das der Fall, lädt Windows sie herunter und aktualisiert die lokal gespeicherten Vertrauensinformationen. Als Anlaufstelle dient der Server ctldl.windowsupdate.com. Die Funktion ist standardmäßig eingeschaltet.

Für die meisten Nutzer bedeutet das: Sie müssen kein separates Installationspaket suchen und herunterladen. Voraussetzung ist allerdings, dass ihr unterstütztes Gerät den Microsoft-Server erreichen kann und die automatische Aktualisierung der Zertifikatslisten nicht deaktiviert wurde. Die Verteilung ist damit nicht an die Installation eines weiteren kumulativen Windows-Updates gebunden.

Edge und WebView2 erhalten die Änderungen auf einem anderen Weg. Hier verteilt Microsoft die neuen Vertrauensinformationen über die Komponente "PKI Metadata". Sie sucht alle zehn Stunden sowie kurz nach einem neuen App-Start nach Aktualisierungen. Auch dafür ist laut dem Bericht kein Download einer neuen Edge-Version nötig.

In abgeschotteten Firmennetzen ist Vorbereitung nötig

Mehr Aufmerksamkeit verlangt die Umstellung in Unternehmen, deren Rechner keinen direkten Zugang zu den Microsoft-Servern haben. Administratoren können die Zertifikatsaktualisierung per Gruppenrichtlinie auf einen internen Datei- oder Webserver umleiten. Die dort bereitgestellten Vertrauenslisten lassen sich mit dem Befehl `certutil -syncWithWU` mit Microsofts Datenbestand abgleichen und anschließend im Unternehmensnetz verteilen.

Wer eigene Zertifikatsrichtlinien oder eine eingeschränkte Internetanbindung nutzt, muss deshalb prüfen, ob dieser interne Verteilungsweg funktioniert. Bleibt die automatische Aktualisierung vollständig abgeschaltet, können Rechner weiterhin Zertifikaten vertrauen, denen Microsoft das Vertrauen bereits entzogen hat. Die zugehörige Mitteilung finden berechtigte Administratoren im Microsoft 365 Admin Center unter der Kennung MC1529467.

Siehe auch: