Markt + Trends | World Wide Web | iX

EU will staatliche Root-Zertifikate durchsetzen

Trotz erneuter Proteste der Securitycommunity und von NGOs hält die EU an der Einführung staatlich kontrollierter Root-CAs fest.

Das EU-Vertrauenssiegel suggeriert Sicherheit. Doch die ist trügerisch.

Vertreter des EU-Parlaments, der Kommission und des Ministerrates haben sich darauf geeinigt, an der umstrittenen Einführung staatlicher Root-Zertifikate bei der geplanten Neufassung der eIDAS-Verordnung festzuhalten. Zahlreiche Bürgerrechtsorganisationen und Hunderte Sicherheitsforscher hatten in einem offenen Brief im Vorfeld davor gewarnt. Da vor der endgültigen Verabschiedung der Verordnung keine grundsätzlichen inhaltlichen Änderungen mehr geplant sind, gilt die Einführung als ausgemacht.

eIDAS (Electronic Identification, Authentication and Trust Services) regelt seit 2014 EU-weit die elektronische Identifizierung und wird seit 2021 umfassend überarbeitet. Der geplante Artikel 45 soll künftig Browserhersteller zwingen, „Qualifizierte Website-Authentifizierungszertifikate“ (QWACS) als vertrauenswürdige Root-Zertifikate zu akzeptieren. Herausgeber der Zertifikate sollen von einzelnen EU-Staaten kontrollierte „Qualified Trust Service Providers“ sein. Browserhersteller sollen verpflichtet werden, diese Zertifikate ohne weitere Auflagen und Überprüfungen als vertrauenswürdig einzustufen. Damit werden staatlich orchestrierte Man-in-the-Middle-Angriffe möglich, um den Datenverkehr zu beliebigen Websites zu überwachen. Da die Zertifikate jedes einzelnen Mitgliedsstaates EU-weit gelten sollen, wären alle EU-Bürger potenziell betroffen, sollte ein einzelnes Land solche Überwachungsmaßnahmen durchführen. Browserherstellern wäre es selbst dann nicht erlaubt, ohne behördliche Zustimmung ein derartiges Zertifikat zu invalidieren.