GoDaddy Zertifikate: 404.607 Widerrufe, Frist gerissen

Der Widerruf betrifft 404.607 GoDaddy Zertifikate: Sie müssen zurück, weil die darin ausgewiesenen Policy-Angaben nicht zum eigenen, im CP/CPS dokumentierten Profil passten. Betroffen sind Zertifikate der Marken GoDaddy und Starfield Technologies, im DACH-Raum ausdrücklich auch Kunden von Host Europe und DomainFactory, die beide zu GoDaddy gehören. Eine CVE existiert für den Vorfall nicht, einen CVSS-Score gibt es ebenfalls nicht – kompromittiert ist kein Schlüssel, sondern die Dokumentation einer Zertifizierungsstelle.

GoDaddy Zertifikate: Profilfehler statt Schlüssel-Leak

Auf die Abweichung hingewiesen hat ein Dritter; bei der eigenen Prüfung fand GoDaddy weitere Diskrepanzen. Der Anbieter hat den Hergang in einem Preliminary Incident Report festgehalten: Betroffen war die Certificate Policy Information – CA-spezifische Policy-OIDs und CPS-URI-Policy-Qualifier, die im Public TLS CP/CPS anders beschrieben waren als in den tatsächlich ausgestellten Zertifikaten (Preliminary Incident Report #2082703). Nach GoDaddys Darstellung waren die Angaben in den ausgelieferten Zertifikaten in sich stimmig; abweichend und damit falsch war die Beschreibung im CP/CPS.

GoDaddy stoppte nach Bestätigung des Reports die Ausstellung, korrigierte das CP/CPS und nahm die Ausstellung wieder auf; in der G2-Hierarchie lief zum Zeitpunkt des Fehlers keine aktive Ausstellung, dort war kein Stopp nötig. Für alle betroffenen Zertifikate aktivierte der Anbieter sein Mass-Revocation-Verfahren. Die Verteilung nach Populationen:

Starfield R1 DV: 208.896
Starfield G2 DV: 187.159
Starfield G2 OV: 2.134
Starfield G2 EV: 199
Starfield R1 OV: 928
Starfield R1 EV: 109
GoDaddy R1 OV: 4.041
GoDaddy R1 EV: 1.141

Der weitaus größte Block sind domainvalidierte Starfield-Zertifikate, also DV-Zertifikate für Webseiten ohne Organisationsprüfung. Wer hier ein Angriffsszenario sucht, wird nicht fündig: Die Zertifikate banden gültige Schlüssel an die richtigen Domains, falsch war die Dokumentation, nicht die Zuordnung.

Fristverstoß: fünf Tage waren vorgeschrieben, GoDaddy brauchte länger

Die Baseline Requirements des CA/Browser-Forum verlangen in §4.9.1.1 einen Widerruf binnen 24 Stunden (SHOULD), spätestens aber binnen fünf Tagen (MUST), mit CRLReason #4 „superseded". Die Frist endete am 18. Oktober 2026, 23:45 UTC. Bis dahin waren 170.566 Zertifikate widerrufen, am 19. Oktober 2026, 05:29 UTC lag die Zahl bei 227.422 von 404.607 (Incident Report zum verzögerten Widerruf).

GoDaddy hat den Fristverstoß in einem separaten Incident Report dokumentiert, angelegt am 16. Oktober 2026 – also noch vor Ablauf der Frist. In diesem Report ist ein nächster Zwischenstand für Donnerstag, 22. Oktober 2026 angekündigt. Für Admins sind damit zwei Vorgänge getrennt zu bewerten: die Profilabweichung als Dokumentationsfehler und der verspätete Widerruf als Prozessversagen. Ohne den Massenwiderruf wäre der Profilfehler ein Aktenvermerk geblieben; erst der Widerruf macht daraus ein Operationsproblem.

Host Europe und DomainFactory: prüfen, ob das neue Zertifikat wirklich ausgeliefert wird

Kunden von Host Europe und DomainFactory hatten bis 21. Oktober 2026, 21:00 Uhr MESZ Zeit, ihre Zertifikate zu ersetzen. GoDaddy hat nach eigener Darstellung für alle betroffenen Kunden der beiden Marken bereits neue Zertifikate ausgestellt und die alten, wo möglich, automatisch ersetzt; der Widerruf der fehlerhaften Zertifikate erfolgte laut GoDaddy-Kundenhinweis am 21. Oktober 2026.

Entscheidend ist ein Punkt, den GoDaddy selbst betont: Der Erhalt eines Ersatzzertifikats belegt nicht, dass die Website es bereits einsetzt. Die Prüfung läuft im Produktbereich unter „SSL Certificates" über vier Statusmeldungen – „Action required: Install your new certificate", „We couldn’t check your website", „This certificate needs your attention" und „No action needed". Wer sich nicht auf das Portal verlassen will, vergleicht die Kette, die der Server tatsächlich ausliefert: Seriennummer, Aussteller und Gültigkeitsbeginn müssen zum neuen Zertifikat passen. Das geht über die Zertifikatsanzeige im Browser oder per openssl s_client gegen den eigenen Host.

Da die Frist am 21. Oktober abgelaufen ist, hilft nur noch die sofortige Nachprüfung. Ein nicht ersetztes Zertifikat führt je nach Browser zu einer Warnseite oder dazu, dass die Seite gar nicht mehr lädt.

Gibraltar: sichtbare Warnungen, keine Kompromittierung

Extern dokumentiert sind die Folgen bislang für die Regierung von Gibraltar: Einige Regierungswebsites sind betroffen, Besucher sehen Sicherheitswarnungen oder können die Seite nicht öffnen; das dortige ITLD installiert Ersatzzertifikate. Die Regierung stellt in ihrer Mitteilung 818/2026 zugleich klar: „This is an error by GoDaddy, not a security breach."

Einordnung: Compliance-Fehler mit Ausfallrisiko

Unterm Strich steht kein Leak, sondern ein Prozessfehler bei einer der größten Zertifizierungsstellen – mit zwei Konsequenzen. Erstens ist das Vertrauen in die Zertifikatsinventare betroffen: Ein Widerruf dieser Größenordnung zeigt, dass Ersetzungsprozesse nicht auf Hunderttausende Zertifikate in fünf Tagen ausgelegt sind. Zweitens trifft der Imageschaden nicht GoDaddy, sondern die Betreiber der Websites, die Warnseiten erklären müssen.

Für den DACH-Raum gilt die Einschränkung, dass keine unabhängigen Ausfallberichte für Host-Europe- oder DomainFactory-Kunden vorliegen. Die Zahl der zum Redaktionsschluss noch nicht ersetzten Zertifikate ist unbekannt. Wer Zertifikate über diese Anbieter bezieht, sollte die ausgelieferte Kette jetzt selbst prüfen und die Ersetzung künftig nicht allein dem Portal-Status überlassen – eine Browser-Warnung ist der schlechteste Monitoring-Kanal.

Quellen