Übernahme von Domain-Registern führt zu unautorisierten HTTPS-Zertifikaten für Google-Domains

Am 6. Oktober 2026 gab Google bekannt, dass Angreifer die Register von drei länderspezifischen Top-Level-Domains (ccTLDs) – Ghana (.gh), Sierra Leone (.sl) und Amerikanisch-Samoa (.as) – kompromittiert haben. Dadurch konnten unautorisierte HTTPS-Zertifikate für regionale Domain-Namen von Google und YouTube ausgestellt werden. Laut Google wurde die eigene interne Infrastruktur nicht gehackt; stattdessen änderten die Angreifer die autoritativen DNS-Einträge bei den Registrierungsstellen, um die öffentlichen Domain-Validierungsprüfungen zu bestehen.

Ausmaß der Übernahmen von Registrierungsstellen

In den Protokollen von Certificate Transparency wurden zwischen dem 22. September und dem 27. September mindestens 12 unautorisierte, domain-validierte Zertifikate identifiziert, die für sieben regionale Domains ausgestellt wurden. Let's Encrypt stellte 11 dieser Zertifikate aus, während ZeroSSL eines vergab. Zu den betroffenen Endpunkten gehörten regionale Webadressen wie google.com.gh, google.sl und google.as, die historisch gesehen Zertifikate ausschließlich von Google Trust Services bezogen hatten. Google wies darauf hin, dass die Störungen bei den Registrierungsstellen neben den eigenen Diensten auch weitere internationale Organisationen und Online-Angebote betrafen.

Gegenmaßnahmen und Schutzmechanismen im Browser

Um potenzielle Risiken einer Datenabfangung zu neutralisieren, setzte Google in Chrome Notfall-CRLSets ein, um die unautorisierten Zertifikate direkt im Browser zu blockieren. Zudem arbeitete das Unternehmen mit den ausstellenden Zertifizierungsstellen zusammen, um die Nachweise auch für Nutzer anderer Plattformen zu widerrufen. Bis zum 7. Oktober zeigten die Aufzeichnungen, dass alle 12 identifizierten Zertifikate widerrufen wurden. Google warnte jedoch, dass die internen Sperren von Chrome Nutzer alternativer Webbrowser oder Client-Anwendungen nicht automatisch schützen.

Schutzmaßnahmen für Domain-Betreiber

Google riet Domain-Administratoren, die Protokolle von Certificate Transparency fortlaufend auf unautorisierte Anfragen zu überwachen und strenge CAA-DNS-Einträge (Certification Authority Authorization) zu veröffentlichen. Ein CAA-Eintrag kann zwar die betrügerische Ausstellung während einer aktiven DNS-Übernahme nicht verhindern, er hindert Angreifer jedoch daran, zwischengespeicherte Prüfungen der Domain-Validierung nach der Rückerlangung der DNS-Kontrolle zu missbrauchen. Nach den aktuellen Mindestanforderungen der Branche dürfen Zertifizierungsstellen eine abgeschlossene Validierungsprüfung bis zu 200 Tage lang wiederverwenden, weshalb die Durchsetzung von CAA-Einträgen entscheidend ist, um nachfolgende Zertifikatsanforderungen zu unterbinden.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: Attackers Hijack .gh, .sl, and .as Registries to Obtain Certificates for Google Domains