Microsoft entfernt eMudhra-Zertifikate aus Windows 11 und Windows 10 – das sollten Nutzer wissen
Microsoft bereitet eine weitere Sicherheitsänderung für Windows 11 und Windows 10 vor. Ab dem 16. November 2026 sollen mehrere bisher als vertrauenswürdig eingestufte Stammzertifikate des Anbieters eMudhra aus den Windows-Vertrauenslisten entfernt werden.
Hintergrund sind Sicherheitsprobleme bei Zertifikatsschlüsseln, die unter bestimmten Voraussetzungen von Angreifern missbraucht werden könnten.
Interessant ist dabei vor allem, wie Microsoft die Änderung verteilt. Denn anders als bei einem gewöhnlichen Windows-Update müssen die meisten Nutzer dafür keine zusätzliche Aktualisierung herunterladen.
Microsoft setzt stattdessen auf die automatische Aktualisierung der Windows-Zertifikatslisten.
Für Unternehmen und Geräte ohne Internetverbindung gibt es allerdings einige Besonderheiten zu beachten.
Was ist bei eMudhra passiert?
eMudhra ist ein Anbieter digitaler Zertifikate. Solche Zertifikate spielen eine wichtige Rolle bei der sicheren Kommunikation im Internet und bei der Überprüfung digital signierter Software.
Sie helfen beispielsweise dabei, die Identität einer Website zu bestätigen oder zu überprüfen, ob eine Anwendung tatsächlich von einem bestimmten Herausgeber stammt.
Damit das funktioniert, verwenden Betriebssysteme und Browser sogenannte Vertrauenslisten.
Darin sind Zertifizierungsstellen hinterlegt, deren ausgestellten Zertifikaten grundsätzlich vertraut werden kann.
Genau bei diesem Vertrauensmodell ist nun ein Sicherheitsproblem aufgetreten.
Microsoft hatte bereits im Oktober 2026 bekannt gegeben, dass acht private Schlüssel von eMudhra-Zwischenzertifizierungsstellen betroffen sind.
Sechs dieser Schlüssel wurden für TLS-Zertifikate verwendet, zwei weitere für die Signierung von Software.
Nach Angaben von Microsoft waren die Schlüssel so schwach erzeugt worden, dass sie sich rekonstruieren ließen.
Das ist ein erhebliches Sicherheitsproblem.
Denn wer einen solchen privaten Schlüssel besitzt, könnte unter bestimmten Bedingungen Zertifikate missbrauchen, um sich beispielsweise als legitime Website oder vertrauenswürdiger Softwareherausgeber auszugeben.
Wichtig: Der Vorfall betrifft die Zertifikatsinfrastruktur von eMudhra. Es handelt sich nicht um einen Einbruch in die Systeme von Microsoft.
Microsoft hatte bereits im Oktober reagiert
Die jetzt angekündigten Änderungen sind nicht die erste Maßnahme gegen das Problem.
Bereits am 20. Oktober 2026 veröffentlichte Microsoft eine Aktualisierung seiner Liste nicht vertrauenswürdiger Zertifikate.
Dadurch wurden die acht betroffenen Zertifizierungsschlüssel gezielt blockiert.
Am 26. Oktober folgten zusätzliche außerplanmäßige Windows-Updates.
Mit diesen entfernte Microsoft insgesamt sieben Zertifikate aus der Windows-Vertrauensliste.
Dabei handelte es sich um sechs eMudhra-G3-Stammzertifikate sowie ein zusätzliches, über AAA Certificate Services gegengezeichnetes Zertifikat.
Auch Microsoft Edge erhielt entsprechende Anpassungen.
Für Windows 11 wurde unter anderem das Update KB5134133 veröffentlicht, während Windows 10 mit KB5134125 eine entsprechende Aktualisierung erhielt.
Diese Updates waren besonders für Computer gedacht, die keine automatischen Aktualisierungen ihrer Zertifikatslisten erhalten.
Die Änderungen wurden außerdem in die regulären Windows-Sicherheitsupdates vom 10. November 2026 übernommen.
Damit hat Microsoft bereits einen wichtigen Teil der Schutzmaßnahmen umgesetzt.
Am 16. November werden weitere eMudhra-Zertifikate entfernt
Nun folgt der nächste Schritt.
Microsoft hat seine ursprüngliche Sicherheitsmeldung am 11. November aktualisiert und einen genaueren Zeitplan veröffentlicht.
Demnach sollen am 16. November 2026 die verbleibenden zehn eMudhra-Stammzertifikate aus dem Microsoft Trusted Root Program entfernt werden.
Das bedeutet, dass Windows diesen Zertifizierungsstellen anschließend standardmäßig nicht mehr vertraut.
Zertifikate, die ausschließlich über eine der entfernten Stammzertifizierungsstellen als vertrauenswürdig gelten, können dadurch ihre Gültigkeit innerhalb der entsprechenden Windows-Vertrauensprüfung verlieren.
Betroffene Anwendungen oder Websites könnten dann beispielsweise Zertifikatswarnungen anzeigen oder bestimmte Verbindungen ablehnen.
Das ist allerdings kein generelles Problem mit sämtlichen SSL- oder TLS-Zertifikaten.
Betroffen sind nur Zertifikate, deren Vertrauenskette von den entfernten eMudhra-Stammzertifikaten abhängt und für die keine alternative vertrauenswürdige Zertifikatskette existiert.
Windows verteilt die Änderung automatisch
Besonders interessant finde ich die Art der Verteilung.
Microsoft plant für die Änderung am 16. November nicht einfach ein weiteres klassisches kumulatives Windows-Update.
Stattdessen erfolgt die Anpassung über den Dienst, den Windows bereits für die automatische Verwaltung vertrauenswürdiger Stammzertifikate verwendet.
Windows kann entsprechende Zertifikatsinformationen über einen Microsoft-Endpunkt abrufen und seine Vertrauenslisten aktualisieren.
Das geschieht unabhängig vom gewöhnlichen monatlichen Patchday.
Für die meisten privaten Windows-11- und Windows-10-Nutzer ist deshalb keine zusätzliche manuelle Installation notwendig.
Voraussetzung ist allerdings, dass der Computer den entsprechenden Microsoft-Dienst erreichen kann und die automatische Aktualisierung der Zertifikatslisten nicht deaktiviert wurde.
Auch Windows-Geräte in Microsoft Azure sollen die Änderung auf diesem Weg erhalten können.
Das ist aus meiner Sicht eine sinnvolle Lösung.
Schließlich müssen Sicherheitsprobleme mit Zertifikaten möglichst schnell behoben werden können, ohne dass dafür jedes Mal ein vollständiges Windows-Update erforderlich ist.
Microsoft Edge und WebView2 werden ebenfalls angepasst
Die Änderungen betreffen nicht nur Windows selbst.
Auch Microsoft Edge und WebView2 sollen ab dem 16. November aktualisiert werden.
WebView2 wird von verschiedenen Windows-Anwendungen verwendet, um Webinhalte innerhalb eines Programms darzustellen.
Microsoft verteilt die notwendigen Anpassungen hier über die sogenannte PKI-Metadata-Komponente.
Dadurch wird das standardmäßige Vertrauen in die verbleibenden eMudhra-Stammzertifikate entfernt.
Dazu gehören unter anderem:
emSign Root CA – G1
emSign Root CA – C1
emSign ECC Root CA
emSign Root TLS CA – G1
Laut Microsoft prüfen Edge und WebView2 etwa alle zehn Stunden sowie kurz nach einem neuen Programmstart auf entsprechende Aktualisierungen.
Eine vollständig neue Browserversion ist für diese spezielle Änderung daher nicht zwingend erforderlich.
Auch hier läuft die Anpassung normalerweise automatisch ab.
Schwieriger wird es bei Computern ohne Internetverbindung
Während die Aktualisierung bei normalen Windows-Rechnern weitgehend automatisch erfolgt, sieht es in abgeschotteten Unternehmensnetzwerken anders aus.
Dort gibt es häufig Computer, die bewusst keine direkte Internetverbindung besitzen.
Das können beispielsweise Produktionsanlagen, spezielle Verwaltungsrechner oder besonders geschützte Systeme sein.
Wenn solche Geräte die Microsoft-Dienste für Zertifikatsaktualisierungen nicht erreichen können, erhalten sie die Änderungen möglicherweise nicht automatisch.
Deshalb müssen Administratoren prüfen, wie die aktuellen Vertrauenslisten in ihrer Umgebung verteilt werden.
Microsoft empfiehlt ausdrücklich, auch getrennte oder abgeschottete Geräte zu berücksichtigen.
Für die bereits im Oktober entfernten Zertifikate stehen entsprechende außerplanmäßige Windows-Updates über den Microsoft Update Catalog zur Verfügung.
Diese Korrekturen sind inzwischen auch Bestandteil der regulären November-Sicherheitsupdates.
Für die am 16. November anstehende Entfernung der übrigen Stammzertifikate ist dagegen die Aktualisierung der Windows-Vertrauensliste über den vorgesehenen Zertifikatsdienst entscheidend.
Unternehmen sollten deshalb sicherstellen, dass ihre Verwaltungs- und Updateprozesse auch diese Änderungen berücksichtigen.
Können durch das Update Programme oder Webseiten nicht mehr funktionieren?
Grundsätzlich ist das möglich.
Wenn eine Anwendung oder ein Dienst ein Zertifikat verwendet, das auf einer der entfernten eMudhra-Zertifizierungsstellen basiert, kann die Vertrauensprüfung anschließend fehlschlagen.
Das kann beispielsweise zu Zertifikatswarnungen bei HTTPS-Verbindungen führen.
Auch bestimmte automatisierte Verbindungen zwischen Anwendungen könnten betroffen sein.
Microsoft empfiehlt Unternehmen deshalb, vorhandene Zertifikate und deren Vertrauensketten zu überprüfen.
Wer entsprechende Abhängigkeiten findet, sollte die betroffenen Zertifikate rechtzeitig austauschen oder auf eine andere vertrauenswürdige Zertifikatskette umstellen.
Theoretisch können Administratoren bestimmten Zertifikaten lokal weiterhin vertrauen.
Microsoft warnt allerdings davor, solche Ausnahmen ohne vorherige Sicherheitsbewertung einzurichten.
Denn damit könnte genau das Risiko wieder entstehen, gegen das die neuen Schutzmaßnahmen eigentlich gerichtet sind.
Ich würde deshalb grundsätzlich davon abraten, Zertifikatswarnungen einfach zu ignorieren oder entfernte Zertifizierungsstellen ohne genaue Prüfung wieder als vertrauenswürdig einzustufen.
Eine funktionierende Verbindung ist schließlich wenig wert, wenn dabei wichtige Sicherheitsprüfungen ausgehebelt werden.
Auch andere Microsoft-Produkte sind betroffen
Microsoft beschränkt die Maßnahmen nicht auf Windows und Edge.
Auch verschiedene Cloud- und Entwicklungsprodukte werden angepasst.
Dazu gehören unter anderem Azure Linux, Azure CLI, .NET und der Microsoft Build of OpenJDK.
Die Aktualisierungen erfolgen allerdings nicht überall gleichzeitig.
Während Windows und Edge die Änderungen ab dem 16. November 2026 erhalten sollen, hängen andere Produkte teilweise von zusätzlichen Paketaktualisierungen ab.
Bei .NET beispielsweise werden bestimmte Container-Images angepasst, sobald die notwendigen Aktualisierungen der zugrunde liegenden Zertifikatspakete verfügbar sind.
Für das .NET SDK sind weitere Änderungen im Dezember 2026 vorgesehen.
Unternehmen, die eigene Anwendungen, Container oder Softwarepakete bereitstellen, sollten deshalb auch diese Abhängigkeiten berücksichtigen.
Was sollten Windows-Nutzer jetzt tun?
Für die meisten Privatanwender besteht zunächst kein besonderer Handlungsbedarf.
Wer Windows 11 oder eine weiterhin unterstützte Windows-10-Installation verwendet und die automatischen Sicherheits- und Zertifikatsaktualisierungen nicht deaktiviert hat, sollte die Änderungen normalerweise automatisch erhalten.
Trotzdem würde ich empfehlen, die regulären Windows-Updates weiterhin zu installieren.
Außerdem sollten unerwartete Zertifikatswarnungen nicht einfach weggeklickt werden.
Wenn eine Website oder Anwendung nach dem 16. November plötzlich eine entsprechende Warnung anzeigt, könnte eine nicht mehr vertrauenswürdige Zertifikatskette die Ursache sein.
In Unternehmen ist dagegen eine gezieltere Prüfung sinnvoll.
Besonders wichtig sind dabei Geräte ohne direkten Internetzugang, ältere Anwendungen mit fest hinterlegten Zertifikaten und selbst verwaltete Serverdienste.
Administratoren sollten sicherstellen, dass diese Systeme rechtzeitig die aktualisierten Vertrauensinformationen erhalten.
Fazit: Unauffällige Änderung mit wichtiger Sicherheitswirkung
Microsoft reagiert mit der Entfernung weiterer eMudhra-Zertifikate auf ein ernst zu nehmendes Sicherheitsproblem.
Durch die betroffenen privaten Schlüssel bestand die Gefahr, dass Zertifikate missbraucht werden könnten, um Websites oder Software als vertrauenswürdig erscheinen zu lassen.
Bereits im Oktober hatte Microsoft erste Schutzmaßnahmen eingeführt.
Am 16. November 2026 folgt nun die Entfernung der verbliebenen zehn eMudhra-Stammzertifikate aus den entsprechenden Vertrauenslisten.
Für normale Windows-Nutzer dürfte die Änderung weitgehend unbemerkt ablaufen.
Interessanter ist die Situation für Unternehmen, insbesondere wenn ältere Anwendungen oder Computer ohne Internetverbindung verwendet werden.
Hier sollte rechtzeitig geprüft werden, ob Abhängigkeiten von den betroffenen Zertifikaten bestehen.
Ich finde die automatische Verteilung über die Windows-Zertifikatslisten grundsätzlich sinnvoll.
Denn Sicherheitsprobleme dieser Art sollten möglichst schnell und unabhängig vom normalen monatlichen Updatezyklus behoben werden können.
Am Ende ist es genau die Art von Sicherheitsverbesserung, die man als Nutzer möglichst gar nicht bemerken möchte.
Solange im Hintergrund alles funktioniert und gefährdete Zertifikate nicht länger als vertrauenswürdig gelten, hat Microsoft an dieser Stelle das Richtige getan.
Quellen
Neowin – November 2026
Microsoft shares how upcoming eMudhra patch for Windows 11/10 will be delivered
https://www.neowin.net/news/microsoft-shares-how-upcoming-emudhra-patch-for-windows-1110-will-be-delivered/
Microsoft Security Response Center – aktualisiert am 11. November 2026
Microsoft’s response to compromised eMudhra certificate authority keys
https://www.microsoft.com/en-us/msrc/blog/2026/10/microsoft-response-to-compromised-emudhra-certificate-authority-keys
Microsoft Trusted Root Certificate Program – 10. November 2026
Microsoft Removes Remaining eMudhra Root Certificates from Trusted Root Program
https://github.com/TrustedRootProgram/Program-Requirements/blob/main/Announcements.md
Microsoft Support – Windows 11 KB5134133
https://support.microsoft.com/de-de/servicing/os/windows-11/2026/10/kb5134133-windows-11-24h2-25h2-26h2-update
Microsoft Support – Windows 10 KB5134125
https://support.microsoft.com/de-de/servicing/os/windows-10/2026/10/kb5134125-windows-10-21h2-22h2-update
