DigiCert: Unbefugter Zugriff auf Kundendaten und Ausweiskopien, Zertifikate sicher
DigiCert hat am 7. November 2026 bestätigt, betroffene Kunden über einen unbefugten Zugriff auf ein internes Archivsystem informiert zu haben. Gelesen wurden zwischen dem 27. Juni und 2. Juli 2026 Kontaktdaten, in wenigen Fällen auch Ausweiskopien. Zertifikate und Logins sind laut DigiCert sicher.
Die Zertifizierungsstelle DigiCert hat am 7. November 2026 im Mozilla-Bugtracker bestätigt, dass sie betroffene Kunden über einen unbefugten Zugriff auf ein internes Archivsystem informiert und den Fall den Strafverfolgungsbehörden gemeldet hat. Der Angreifer hatte lesenden Zugriff auf Kontaktdaten von Kundenvertretern, in einem kleinen Teil der Fälle auch auf Kopien von Ausweisen, Führerscheinen oder Versorgerrechnungen, die Kunden zur Identitätsprüfung eingereicht hatten.
Betroffen ist ein kleiner Teil der Firmen, deren Vertreter DigiCert Angaben zur Identitätsprüfung gemacht haben. Zertifikate, CertCentral, DigiCert ONE und Kunden-Logins sind laut DigiCert nicht betroffen, an ausgestellten Zertifikaten müssen Admins nichts ändern. Aus Sicht von S-EDV eignen sich die eingesehenen Daten aber für gezieltes Phishing, deshalb sollten Admins zeitnah handeln.
Was ist passiert?
Laut dem vollständigen Vorfallsbericht im Bugtracker zog DigiCert am 4. Februar 2025 ein internes Geschäftssystem aus einem nur per VPN erreichbaren Netzsegment in eine andere Verfügbarkeitszone. Dabei wurde es versehentlich aus dem Internet erreichbar. Über eine Selbstregistrierung des Kontoverwaltungssystems, die für dieses System gar nicht vorgesehen war, konnten Außenstehende Konten ohne Mehrfaktor-Anmeldung anlegen. Diese Konten waren nur lesend, hatten aber Zugriff auf archivierte Kundendaten.
DigiCert bemerkte fremde Konten am 18. Juni 2026, hielt sie aber zunächst für harmlos. Nach einem Hinweis aus einem Sicherheitsforschungsprogramm schloss der Anbieter die Lücke am 2. Juli. Erst ab dem 12. Oktober ging DigiCert dem Verdacht nach, dass tatsächlich Daten gelesen wurden, und bestätigte das am 19. Oktober. Der Zugriff fand demnach zwischen dem 27. Juni und dem 2. Juli 2026 statt. Fachmedien wie SecurityWeek und The Register berichteten am 6. November.
Wer ist betroffen?
Laut DigiCert betraf der Zugriff einen kleinen Teil der Archivdaten. Meist handelt es sich um Namen, geschäftliche E-Mail-Adressen, Telefonnummern und Geschäftsadressen. Bei einer kleinen Minderheit der Kundenkonten lagen zusätzlich Dokumente mit Name und Anschrift, etwa Führerschein, Reisepass oder Versorgerrechnung. Wie viele Kunden und Personen betroffen sind, hat DigiCert auch auf Nachfrage im Bugtracker nicht genannt. Laut The Register prüft DigiCert die Ausweisdokumente noch und will die einzelnen Personen nach Abschluss benachrichtigen.
Wie kritisch ist das?
Für die Vertrauenskette im Web ist der Vorfall nach den bisherigen Angaben unkritisch. Der Zugriff konnte laut DigiCert keine Datensätze schreiben, keine Validierungen freigeben und keine Zertifikate ausstellen. Die Systeme der Zertifizierungsstelle liegen in eigenen Netzsegmenten, und die Protokollauswertung zeigte keine Ausstellung, Sperrung oder Validierung durch das fremde Konto.
Das Risiko liegt woanders. Wer weiß, wer in einer Firma Zertifikate betreut, kann täuschend echte Mails zu Verlängerung, Neuvalidierung oder angeblichen Sperrungen schreiben. Mit Ausweiskopien steigt zudem die Gefahr von Identitätsmissbrauch für die betroffenen Personen. Diese Einschätzung stammt von S-EDV, DigiCert selbst nennt keine konkreten Folgeangriffe.
Was sollten Admins jetzt tun?
- Inventar: klären, ob die eigene Firma DigiCert-Kunde ist, auch über Marken oder Wiederverkäufer, und welche Mitarbeiter dort als Kontakt oder Validierungsansprechpartner hinterlegt sind.
- Benachrichtigung prüfen: Postfächer dieser Personen und allgemeine Adressen nach einer Mitteilung von DigiCert durchsuchen und sie gegen die Angaben im Bugtracker abgleichen.
- Ausweiskopien: ermitteln, ob Mitarbeiter bei DigiCert Ausweis, Führerschein oder Rechnungen eingereicht haben, und Betroffene informieren.
- Phishing-Warnung: Zertifikatsverantwortliche und Einkauf auf Mails mit Bezug zu DigiCert, Zertifikatsverlängerung oder Validierung hinweisen. Links aus solchen Mails nicht öffnen, sondern das Kundenportal direkt aufrufen.
- Mehrfaktor-Anmeldung: für alle Konten bei Zertifizierungsstellen und Domain-Registraren einschalten, falls noch nicht geschehen.
Einordnung für Unternehmen
Der Vorfall zeigt, wie eine Netzwerkänderung ohne Sicherheitsprüfung ein internes System über 16 Monate offen stehen lassen kann. DigiCert nennt im Bericht die fehlende Prüfung der Angriffsfläche nach dem Umzug als ersten von drei Faktoren, neben Lücken bei Überwachung und Rechtemodell, und hat die Regeln dafür nach eigenen Angaben verschärft. Für Kunden bleibt eine unangenehme Lücke: Ohne Zahlen lässt sich das eigene Risiko nur über die Benachrichtigung einschätzen.
Passende Anleitungen auf S-EDV
- Phishing erkennen und melden: Kurzleitfaden fürs Team
- Microsoft Defender for Office 365: Phishing-Schutz einrichten
