10 Fälle von Zertifikatsausfällen aufgrund menschlicher Fehler

Zu Beginn des neuen Jahres und bei der Überprüfung unserer Datenschutzstrategie für die kommenden Monate ist es entscheidend, eine der Hauptursachen für Zertifikatsausfälle nicht zu übersehen : menschliches Versagen. Unternehmen sehen sich zunehmenden Sicherheits- und Compliance-Herausforderungen ausgesetzt und können sich keine Fehler erlauben. Jedes abgelaufene Zertifikat öffnet Hackern eine Hintertür, um kritische Daten zu stehlen und hohe finanzielle Verluste zu verursachen. Allein der Ausfall eines einzigen Zertifikats kann Unternehmen durchschnittlich 15 Millionen Dollar kosten. Diese unentdeckten, abgelaufenen Zertifikate führen zu Sicherheitslücken und massiven Ausfällen bei einigen der weltweit bekanntesten Unternehmen. Rund 81 % der Unternehmen haben in den letzten zwei Jahren einen zertifikatsbedingten Ausfall erlebt – diese Fälle bestätigen diese Aussage.

CISCO

Cisco ist der neueste Anbieter auf der Liste und warnte seine Kunden kürzlich via Twitter vor einem abgelaufenen Hardware-Zertifikat in seinen SD-WAN-Geräten, das ein Risiko für die angeschlossenen SD-WAN-Umgebungen darstellt. In einer Stellungnahme bestätigte Cisco, dass das Team aktiv an der Behebung des Geräteausfalls arbeitet, der mehrere Router, darunter die Modelle VEdge 100, 1000 und 2000, betraf. Diese Router sind für die Sicherheit und die Multi-Cloud-Konnektivität des Unternehmens verantwortlich. Cisco rät seinen Kunden dringend davon ab, die Geräte neu zu starten, da dies zu einem vollständigen Ausfall des Dienstes führt. Während Cisco mit Hochdruck an der Lösung des Problems arbeitet, veranlasst dieser Vorfall Unternehmen dazu, den Status ihrer digitalen Zertifikate genauer zu überprüfen.

MICROSOFT

Der WinGet-Paketfehler aufgrund abgelaufener SSL-Zertifikate bei Microsoft löste zahlreiche Bedenken hinsichtlich der potenziellen Risiken von Zertifikatsausfällen aus. Nutzer des Open-Source-Paketmanagers Windows meldeten Probleme bei der Installation oder Aktualisierung von Apps über WinGet, da sie die Fehlermeldung „InternetOpenUrl() failed“ erhielten. Obwohl der Technologieriese schnell einen Workaround veröffentlichte, um seinen Nutzern eine Lösung zu bieten, teilten die Nutzer weiterhin Screenshots des Fehlers auf GitHub und stellten die Glaubwürdigkeit der Marke in Frage, da sie die Erneuerung ihres SSL/TLS-Zertifikats verpasst hatten.

SPOTIFIZIEREN

Der Ablauf eines Zertifikats legte den bekannten Streaming-Dienst Spotify für über eine Stunde lahm und löste einen Sturm der Entrüstung auf Twitter unter den Nutzern aus, die auf ihre Musik verzichten mussten. Obwohl das Unternehmen keine offizielle Stellungnahme zur Ursache des Ausfalls abgab, wiesen Experten schnell darauf hin, dass abgelaufene Zertifikate der Grund waren. Zwei Jahre später verursachten dieselben Zertifikate eine weitere Störung, die neun Stunden andauerte und die größten Produzenten der Plattform betraf. Hörer konnten aufgrund eines abgelaufenen SSL-Zertifikats keine Podcasts von Anbietern, die über Megaphone gehostet wurden, abrufen oder herunterladen.

ERICSSON

Der Zertifikatsablauf bei Middlebury Ericsson hat gezeigt, wie ein einziger Zertifikatsausfall in über elf Ländern massive Störungen verursachen und Millionen von Menschen, darunter alle Stakeholder des Unternehmens, betreffen kann. Durch das abgelaufene Zertifikat verloren über 32 Millionen Menschen in Großbritannien ihren 4G- und SMS-Empfang. Nach einer öffentlichen Entschuldigung stellte das Unternehmen die für die Verwaltung seiner Zertifikate zuständige Software umgehend außer Betrieb. Dieser Vorfall zählt bis heute zu den größten Zertifikatsausfällen weltweit und unterstreicht die Notwendigkeit einer robusten Lösung für das Zertifikatsmanagement.

LINKEDIN

LinkedIn, unsere bevorzugte Plattform für Business-Networking, war innerhalb von zwei Jahren zweimal von Zertifikatsausfällen aufgrund abgelaufener SSL-Zertifikate betroffen. Der erste Vorfall betraf Millionen von Nutzern, die sich nicht in ihre Konten einloggen konnten. Der zweite Vorfall betraf ausschließlich Desktop-Nutzer, nachdem einige von ihnen eine SSL-Verbindungsfehlermeldung aufgrund des LinkedIn-Link-Shorteners lnkd.in erhielten. Das LinkedIn-Team installierte zwar umgehend ein neues Zertifikat, doch diese beiden Vorfälle verdeutlichen das Problem der Zertifikatstransparenz, mit dem viele große Unternehmen konfrontiert sind. Dies unterstreicht die Notwendigkeit einer zentralen Verwaltung aller digitalen Zertifikate in einer Zertifikatsmanagementlösung.

GOOGLE VOICE

Google Voice war vom 15. bis 16. Februar 2021 aufgrund eines abgelaufenen TLS-Zertifikats weltweit über vier Stunden ausgefallen. Die Ursachenanalyse von Google ergab, dass das Problem auf eine fehlerhafte Aktualisierung der Zertifikatskonfigurationen zurückzuführen war, wodurch das aktive Zertifikat unbeabsichtigt ablief. Während des Ausfalls konnten Nutzer weder VoIP-Anrufe tätigen noch empfangen. Der Vorfall verdeutlicht das wiederkehrende Problem von Unternehmen, selbst Giganten wie Google, die mit dem Ablauf von Zertifikaten zu kämpfen haben, oft aufgrund fehlerhafter Warnsysteme oder manueller Erneuerungsprozesse. Abgelaufene Zertifikate waren bereits für mehrere spektakuläre Ausfälle und Datenschutzverletzungen verantwortlich.

MICROSOFT-TEAMS

Am 3. Februar 2019 kam es aufgrund eines abgelaufenen Authentifizierungszertifikats zu einem dreistündigen Ausfall von Microsoft Teams. Dadurch konnten die 20 Millionen täglichen Nutzer nicht mehr auf wichtige Kollaborationstools zugreifen. Microsoft bestätigte das Problem auf Twitter und sicherte eine schnelle Zertifikatserneuerung zu. Nutzer äußerten jedoch ihre Frustration; einige erwogen sogar einen Wechsel zu Slack. Der Vorfall warf Bedenken hinsichtlich Microsofts Aufsicht über das Zertifikatsmanagement auf, insbesondere angesichts der wichtigen Rolle von Teams in modernen Arbeitsumgebungen. Kritiker fragten, warum ein Unternehmen wie Microsoft keine automatisierten Lösungen zur Vermeidung solcher zertifikatsbezogener Probleme habe.

EQUIFAX

Der Datendiebstahl bei Equifax, der 9,000 Abfragen auf 48 Datenbanken und 265 Fälle unberechtigten Datenzugriffs aufdeckte, wurde auf einen unbemerkten Zertifikatsablauf auf dem Überwachungsgerät von Equifax zurückgeführt. Da das Sicherheitszertifikat seit 19 Monaten nicht mehr gültig war, konnten Angreifer über das inaktive Gerät unbemerkt personenbezogene Daten übertragen. Ähnlich wie der jüngste Ausfall bei Ericsson, der die Notwendigkeit eines automatisierten unternehmensweiten Zertifikatsmanagements verdeutlicht, unterstreichen diese Vorfälle die Risiken, die von abgelaufenen Zertifikaten ausgehen. Während des Datendiebstahls waren bei Equifax 324 SSL-Zertifikate abgelaufen, darunter 79 kritische Domänenüberwachungsgeräte. Die proaktive Identifizierung und Erneuerung von Zertifikaten ist entscheidend, um potenziell katastrophale Ausfälle zu verhindern.

AMAZON WEB SERVICE

Am 7. Dezember 2021 kam es zu einem erheblichen Ausfall von Amazon Web Services (AWS), der verschiedene Online-Dienste, darunter Amazons Lieferbetrieb und Drittanbieter, beeinträchtigte. Hochschulen mussten Prüfungen verschieben, da sie auf AWS-Software angewiesen waren. Der Ausfall, der seinen Ursprung in der Region US-Ost 1 hatte, betraf Logistikzentren und Lieferbetriebe, was zu Paketen und verspäteten Bestellungen während der Hauptferienzeit führte. Der Vorfall offenbarte, wie anfällig die Abhängigkeit von wenigen großen Cloud-Dienstanbietern ist. Insbesondere Whole Foods, Amazon Flex-Fahrer und Drittanbieter erlitten Störungen, die für Unternehmen finanzielle Verluste und für Kunden Unannehmlichkeiten verursachten.

APPLE

Im April 2023 kam es zu einem großflächigen Ausfall, der Apple-Dienste wie den App Store, Apple Music und Apple News betraf. Nutzer stießen beim Herunterladen oder Aktualisieren von Apps auf Fehler; als Ursache wurden Probleme mit SSL-Zertifikaten identifiziert. Apple hat das Problem inzwischen behoben, doch in den zwei Wochen zuvor traten bei verschiedenen Apple-Diensten, beispielsweise der Wetter-App und der Apple-Entwicklerwebsite, Zuverlässigkeitsprobleme auf, was Anlass zur Sorge gab.

Welche Schritte können Sie unternehmen, um Ihr Unternehmen vor Zertifikatsausfällen im Jahr 2024 zu schützen? 

• Weg von der traditionellen Verwendung eines Flickenteppichs aus Tabellenkalkulationen und einem internen PKI Schnittstelle zu einem sicheren Zertifikatsverwaltungslösung Das bietet eine verbesserte Sichtbarkeit aller Ihrer Zertifikate und automatisiert die komplette Lebenszyklus von Zertifikaten.
• Führen Sie regelmäßig Umfragen zu Einschätzungen um Sicherheitslücken zu identifizieren und das Ablaufdatum Ihrer Zertifikate zu überwachen.
• Überprüfen der Zertifikatstransparenzprotokolle, um betrügerische Zertifikate aufzuspüren und Sicherheitsrisiken zu mindern.
• Implementieren Sie automatisierte Warn- und Berichtssysteme, um rechtzeitig benachrichtigt zu werden, wenn ein Zertifikat das Ende seiner Lebensdauer erreicht.
• Sicherstellung des Eigentums, um die Verantwortung für die Verfolgung und Überwachung von Zertifikaten zuzuweisen, die Rechenschaftspflicht zu gewährleisten und Verwirrung zu vermeiden.

Wie kann CertSecure Manager von Encryption Consulting helfen?

Die Zertifikatsmanagementlösung von Encryption Consulting spielt eine entscheidende Rolle bei der Bewältigung und Minderung der Risiken im Zusammenhang mit dem Ablauf von Zertifikaten. CertSecure Manager bietet eine Reihe umfassender Funktionen zur proaktiven Verwaltung von Zertifikaten während ihres gesamten Lebenszyklus. So profitieren Sie davon:

• Zertifikatsüberwachung und -warnung

  Kontinuierliche Überwachung der Ablaufdaten digitaler Zertifikate in der gesamten Infrastruktur eines Unternehmens. Administratoren werden umgehend benachrichtigt, sodass ausreichend Zeit für notwendige Erneuerungsmaßnahmen bleibt.

• Automatische Verlängerung

  Die rechtzeitige Erneuerung von Zertifikaten kann eine Herausforderung sein, insbesondere bei einer großen Anzahl von Zertifikaten. CertSecure Manager automatisiert den Erneuerungsprozess, reduziert das Risiko von Versehen und gewährleistet die rechtzeitige Erneuerung kritischer Zertifikate.

• Zentrales Management

  Die Verwaltung von Zertifikaten über verschiedene Systeme und Anwendungen hinweg kann komplex sein. CertSecure Manager bietet eine zentrale Plattform, die es Administratoren ermöglicht, alle Zertifikate über eine einheitliche Oberfläche anzuzeigen, zu verfolgen und zu verwalten. Das verbessert die Effizienz und Kontrolle.

• Richtliniendurchsetzung

  Mit CertSecure Manager können Unternehmen Zertifikatsrichtlinien definieren und durchsetzen . Dadurch wird sichergestellt, dass Zertifikate mit den richtigen Konfigurationen erstellt werden und den Best Practices für Sicherheit entsprechen . So wird das Risiko von Fehlkonfigurationen, die zu Sicherheitslücken führen könnten, minimiert.

• Risikobewertung

  CertSecure Manager führt regelmäßige Bewertungen der Zertifikatslandschaft durch und identifiziert potenzielle Schwachstellen, die durch abgelaufene oder falsch konfigurierte Zertifikate entstehen. Dies ermöglicht eine proaktive Behebung, bevor böswillige Akteure diese ausnutzen können.

• Berichterstattung und Prüfung

  Es werden detaillierte Berichte erstellt, die Einblicke in den Zertifikatsstatus, Erneuerungen und potenzielle Risiken bieten. Diese Berichte sind wertvoll für Compliance-Anforderungen, Audits und den Nachweis einer robusten Sicherheitslage.

• Integration mit bestehenden Systemen

  CertSecure Manager integriert sich nahtlos in verschiedene Zertifizierungsstellen und gewährleistet so eine reibungslose Einbindung in bestehende Zertifikatsausstellungsprozesse.

• Reduzierte Ausfallzeiten

  Durch die Verhinderung von Störungen durch den Ablauf von Zertifikaten gewährleistet CertSecure Manager unterbrechungsfreie Dienste, reduziert Ausfallzeiten und stärkt das Vertrauen und die Zufriedenheit der Kunden.

• Verbesserter Sicherheitsstatus

  CertSecure Manager trägt zur allgemeinen Sicherheitslage eines Unternehmens bei, indem es sicherstellt, dass die Zertifikate immer auf dem neuesten Stand sind, und so Sicherheitslücken verhindert, die Angreifer ausnutzen könnten.

Fazit

Die digitalen Zertifikate, die 64 Milliarden Nutzer über Kontinentalgrenzen hinweg verbinden, stehen unter enormem Druck, reibungslos zu funktionieren. Diese Fälle von Zertifikatsausfällen verursachen massive Störungen und beeinträchtigen die Integrität und das Vertrauen der Nutzer in das Unternehmen.

Durch die Automatisierung des gesamten Zertifikatsverwaltungszyklus vermeiden Sie nicht nur Zertifikatsausfälle, sondern schaffen auch eine zusätzliche Sicherheitsebene und erfüllen alle Compliance-Anforderungen, um die Sicherheitslage Ihres Unternehmens zu verbessern. Unsere weltweit erste native Microsoft PKI-Zertifikatsverwaltungslösung automatisiert den gesamten Zertifikatslebenszyklus und gewährleistet durch automatische Zertifikatserneuerung einen unterbrechungsfreien Betrieb.