Eine kleine Änderung in zehn Monaten könnte große Wirkung entfalten. Schon ab 11. Jänner drohen nach aktuellem Stand jedem dritten Gerät mit Android Einschränkungen beim Zugriff auf Webseiten. Zahlreiche Netzauftritte könnten mit den betroffenen Tablets dann nicht mehr aufrufbar sein oder nicht mehr ordnungsgemäß funktionieren.

Das ergibt sich aus einer Aussendung von Let’s Encrypt, einer Zertifizierungsstelle, die kostenlos SSL-Zertifikate für abgesicherten Zugriff auf Webseiten bereitstellt. Im kommenden September wird man die Zusammenarbeit mit Identrust einstellen und ausschließlich auf eigene Zertifikate setzen. Dann läuft auch das lange genutzte DST-Root-X3-Zertifikat aus.

Zertifikat erst ab Android 7.1.1 dabei

Schon im Jänner leitet man diesen Wechsel auf technischer Seite ein und stellt ab dann nur noch das eigene ISG-Root-X1-Zertifikat aus. Dieses ist allerdings vieler älterer Software nicht bekannt. Darunter fallen auch alle Android-Versionen bis 7.1.0 "Nougat", die laut Stand September auf 33,8 Prozent aller Geräte laufen. Erst ab Android 7.1.1, veröffentlicht im Dezember 2016, wird es unterstützt.

Wenn die betroffenen Geräte mit dem Android-Standardbrowser Seiten öffnen, werden sie künftig Fehlermeldungen ob des unbekannten Zertifikats erhalten. Seitenbetreiber können durch den Umstieg auf das Root-X3-Zertifikat das Problem bis September umschiffen. Jedoch regt Let’s Encrypt an, dass man Besucher mit betroffenen Geräten auf das Problem aufmerksam macht – etwa in Form von Bannern.

Let's Encrypt hat nach eigenen Angaben vom vergangenen Februar bereits mehr als eine Milliarde Zertifikate ausgestellt.

Firefox hilft

Betroffene Nutzer können sich aber mit einem Browserumstieg behelfen – zumindest auf absehbare Zeit. Let’s Encrypt rät hierfür zur Installation des mobilen Firefox. Im Gegensatz zu anderen Surftools verlässt sich dieser nicht auf die Stammzertifikate des Android-Systems, sondern bringt eine eigene Liste mit, die regelmäßig aktualisiert wird. Derzeit steht Firefox auf Android für alle Geräte ab Version 5.0 "Lollipop" zur Verfügung.

Zumindest der Aufruf von Webseiten ist dann kein Problem mehr. Ganz von den Folgen des auslaufenden alten Let’s-Encrypt-Zertifikats kann man sich damit aber nicht befreien. Bei Apps, die Webseiten einbinden, wird es weiterhin zu Problemen kommen. (gpi, 9.11.2020)