Angreifer erlangten vertrauenswürdige HTTPS-Zertifikate für Google-Domains, ohne in Googles Systeme einzudringen. Stattdessen kompromittierten sie die Infrastruktur externer Domain-Registries und nutzten eine Schwachstelle bei der Verifizierung von Website-Identitäten aus.
In einer Mitteilung vom 6. Oktober 2026 erklärte Google, dass Angreifer die Infrastruktur für drei länderspezifische Domains kompromittiert hatten: .gh (Ghana), .sl (Sierra Leone) und .as (Amerikanisch-Samoa). Durch die Manipulation autoritativer DNS-Einträge erlangten sie unautorisierte Zertifikate für Google-Dienste und andere Organisationen. Google blockierte die identifizierten Zertifikate in Chrome und arbeitete mit den ausstellenden Zertifizierungsstellen zusammen, um sie zu widerrufen.
Der Vorfall offenbarte ein Risiko für Unternehmen, die regionale Websites betreiben. Eine kompromittierte Registry-Infrastruktur kann die Zertifikatsvalidierung untergraben, ohne dass Angreifer in die Systeme der betroffenen Organisation eindringen müssen.
Wie Angreifer unautorisierte HTTPS-Zertifikate erlangten
Zertifizierungsstellen (CAs) stellen öffentlich vertrauenswürdige HTTPS-Zertifikate aus, nachdem sie überprüft haben, dass Antragsteller die Kontrolle über die betreffenden Domains besitzen. Angreifer, die autoritative DNS-Einträge manipulieren, können diese Prüfungen ohne die Genehmigung der rechtmäßigen Domaininhaber bestehen.
Laut Googles Sicherheitsmitteilung wurden die Zertifikate über etablierte Validierungsprozesse ausgestellt, jedoch ohne Genehmigung der rechtmäßigen Domaininhaber. Google erklärte, es gebe keinen Grund zu der Annahme, dass die ausstellenden CAs unrechtmäßig gehandelt hätten.
Eine Untersuchung von The Hacker News identifizierte zwischen dem 22. und 27. September 12 Zertifikate für sieben Google- und YouTube-Domainnamen. Elf stammten von Let's Encrypt und eines von ZeroSSL. Zu den betroffenen Domains gehörten google.com.gh, google.sl und google.as.
Alle 12 waren bis zum 7. Oktober widerrufen worden. Ein Vertreter von Let's Encrypt bestätigte , dass Zertifikate für Google- und YouTube-Domains ausgestellt und widerrufen worden waren.
Google nutzte den CRLSet-Mechanismus von Chrome, um die von ihm identifizierten unautorisierten Zertifikate zu blockieren. Certificate-Transparency-(CT-)Protokolle offenbarten weitere möglicherweise betroffene Organisationen und führten zu zusätzlichen Blockierungen und Benachrichtigungen.
Google erklärte, Chrome-Nutzer müssten nichts weiter unternehmen, warnte jedoch, dass der Browserschutz möglicherweise nicht alle betroffenen Domains erkennen und Nutzer anderer Browser nicht zuverlässig schützen könne.
Die Zertifikate hätten eine Nachahmung von Websites ermöglicht, wenn die Angreifer den Datenverkehr zusätzlich umgeleitet hätten. Google bestätigte nicht, dass sie zum Abfangen von Kommunikation oder zum Diebstahl von Daten verwendet wurden.
Die Erkenntnisse von eWeek: Registry-Hijacking legt Grenzen der Zertifikatskontrollen offen
Die Beschränkung von Zertifikatsausstellern kann keinen Schutz garantieren, wenn Angreifer die autoritativen DNS-Server kontrollieren. Die Erkenntnisse von Google legen eine Lücke zwischen den Zertifikatsrichtlinien von Unternehmen und der externen Infrastruktur offen, die zur Verifizierung der Domainkontrolle eingesetzt wird.
CAA-Einträge (Certificate Authority Authorization) schränken ein, welche CAs Zertifikate ausstellen dürfen. Sie können die Ausstellung während eines aktiven DNS-Hijackings jedoch nicht verhindern. Die technische Dokumentation von Let's Encrypt beschreibt kontospezifische Einschränkungen, die – sofern unterstützt – zusätzlichen Schutz bieten können, sobald die rechtmäßige DNS-Kontrolle wiederhergestellt ist.
CT-Überwachung erfüllt eine andere Funktion: Sie erkennt unerwartete Ausstellungen, nachdem diese erfolgt sind. Die 12 in öffentlichen Protokollen identifizierten Zertifikate belegen ihren Untersuchungswert, auch wenn das vollständige Ausmaß der Kompromittierungen weiterhin ungeklärt ist.
Die Überwachung von Zertifikaten erstreckt sich auch auf Infrastrukturen, die von Cloud-Anbietern verwaltet werden. Googles Roadmap für Quantensicherheit in der Cloud untersucht, wie die Verantwortlichkeiten für die kryptografische Umstellung zwischen Anbietern und Kunden aufgeteilt sind.
Unternehmen sollten die Zertifikatsausstellung für regionale und geparkte Domains überwachen, restriktive CAA-Richtlinien durchsetzen und Verfahren zur Untersuchung unerwarteter Zertifikate einrichten. Aktuelle Red-Team-Tests der CISA offenbarten separate Schwachstellen bei Erkennung und Reaktion in kritischen Infrastrukturen. Ebenso adressieren die Defender-Updates von Microsoft für lokale KI-Agenten die besondere Herausforderung, Ressourcen außerhalb etablierter Sicherheitsinventare aufzuspüren.
Google blockierte die von ihm identifizierten Zertifikate, konnte jedoch nicht garantieren, dass jede betroffene Domain entdeckt worden war. Die Zertifikatsüberwachung in Unternehmen muss sich daher über die intern verwaltete Infrastruktur hinaus erstrecken.
Mehr lesen: Da sich die Anforderungen an die kryptografische Sicherheit weiterentwickeln, müssen Organisationen auch quantenreife Hardware und ihre behaupteten Sicherheitsfunktionen prüfen, bevor sie Zusicherungen von Anbietern als verifizierte Schutzmaßnahmen betrachten.