Russische Online-Dienste stehen unter Druck: Abgezogene Sicherheitszertifikate machen viele Angebote schwer erreichbar und potenziell angreifbarer. Betroffen sind auch Banken, E-Mails und staatliche Systeme.
Sanktionen treffen internationale Zertifikate
Russische Unternehmen geraten zunehmend in Schwierigkeiten, weil Sanktionen des US-Finanzministeriums (OFAC) und der EU inzwischen auch internationale Sicherheitszertifikate betreffen, die von Drittanbietern ausgestellt werden. Laut einer Mitteilung des ukrainischen Auslandsgeheimdienstes vom 12. August existieren für zahlreiche russische Domains keine international anerkannten Zertifikate mehr, was interne Systeme, E-Mail-Dienste und Bankensysteme Angreifer:innen gegenüber stärker öffnet.
Der Dienst erklärt, dass staatliche russische Angebote wie der Föderale Steuerdienst immer häufiger in gängigen Browsern wie Chrome, Firefox und Safari nicht mehr geladen werden. Gleichzeitig werde geschätzt, dass rund 90 Prozent des russischen Marktes weiterhin auf im Ausland ausgestellte Zertifikate angewiesen seien. Eine breite Umsetzung der Sanktionen könne es Nutzer:innen daher deutlich erschweren, auf betroffene Websites zuzugreifen.
GlobalSign widerruft tausende TLS-Zertifikate
Der aktuelle Schritt begann am 13. Juni 2026, als die japanische Zertifizierungsstelle GlobalSign, die einen großen Teil des kommerziellen russischen Marktes für ausländische Zertifikate kontrolliert, TLS-Zertifikate für russische Unternehmen zwangsweise widerrief. Die örtliche Niederlassung erklärte, sie könne die Entscheidung der Muttergesellschaft nicht beeinflussen. Hintergrund seien neue Regeln des CA/Browser-Forums, die seit dem 4. Mai gelten.
Diese Vorgaben machen es für Zertifizierungsstellen verpflichtend, Antragsteller:innen systematisch mit den Sanktionslisten des US-Finanzministeriums (OFAC), des US-Handelsministeriums (BIS) sowie europäischen Sanktionslisten abzugleichen. Was zuvor optional war, wurde damit zur Pflicht und schränkte den Handlungsspielraum der Anbieter deutlich ein.
Die Umsetzung erfolgte in zwei Wellen: Zunächst waren schätzungsweise 15.000 bis 20.000 Domains betroffen, anschließend noch einmal gezielt 310 Domains von 44 Unternehmen. Dazu zählen große russische Namen wie Rosneft, Gazprombank, Alrosa und Positive Technologies. Der ukrainische Geheimdienst spricht davon, dass interne Systeme, Messenger, E-Mails und Programmierschnittstellen (APIs) des Bankensektors zu „idealen Zielen für Hackerangriffe“ geworden seien. Gleichzeitig wird eingeräumt, dass auf russischer Seite bereits Gegenmaßnahmen laufen.
Die Neukonfiguration der Infrastruktur könne große Unternehmen allerdings bis zu 10 bis 50 Millionen Rubel kosten und bis zu sechs Monate dauern, so die ukrainische Seite. Zudem sei der Prozess fehleranfällig.
Staatliche Zertifikate und alternative Browser
Viele russische Domaininhaber:innen, darunter Banken und Steuerbehörden, wichen inzwischen auf andere Anbieter aus. Zunächst wandten sie sich an die griechische akademische Zertifizierungsstelle HARICA, bevor sie verstärkt auf das chinesische Unternehmen TrustAsia setzten, das derzeit staatlichen Einrichtungen Zertifikate bereitstellt.
Komplexer ist der Ansatz einer eigenen Lösung: Die russische Regierung drängt auf staatliche Stammzertifikate, die Nutzer:innen manuell installieren müssen. Das Ministerium für digitale Entwicklung bezeichnet die manuelle Installation als „sicher“ und behauptet, sie habe keinen Einfluss auf die Funktionsweise der Geräte. Sicherheitsforscher:innen warnten jedoch bereits 2022 und erneut 2026, ein staatlich kontrolliertes Stammzertifikat könne für das Abfangen von HTTPS-Verkehr und Man-in-the-Middle-Angriffe missbraucht werden.
Eine weitere Empfehlung aus Moskau lautet, auf den Yandex-Browser umzusteigen, der den inländischen Vertrauensanker bereits integriert. Die ukrainische Darstellung weist dies zurück und bezeichnet den Browser als fehleranfällig, mit Einfrieren, Cache-Problemen und ohne nennenswerten Datenschutz. Diese Einschätzung soll von „Expert:innen innerhalb Russlands“ stammen.
Unabhängig vom unmittelbaren Ausgang könnte dieser Kurs Russland weiter vom Rest der Welt abkoppeln. Russische Online-Dienste würden dann zuverlässig nur noch für Nutzer:innen funktionieren, die russische Software verwenden und das staatliche Stammzertifikat installiert haben. In einem Land, das bereits von Cyberangriffen und Sanktionen getroffen ist, dürften die Zertifikatswiderrufe diesen Prozess eher beschleunigen – ob beabsichtigt oder als unbeabsichtigte Folge.
Via: https://www.techradar.com Titelbild: Unsplash
