AusweisApp-Zertifikat widerrufen: Was Nutzer jetzt wissen müssen

Die offizielle Website der AusweisApp hat seit Freitagnachmittag ein Zertifikatsproblem: Die Zertifizierungsstelle D-Trust, eine Tochter der Bundesdruckerei, hat am 25. September 2026 um 15:55 Uhr MESZ (16:55 Uhr in der Türkei) ein TLS-Zertifikat für ausweisapp.bund.de gesperrt. Mehrere Browser stuften die Verbindung danach als nicht vertrauenswürdig ein. Warum das Zertifikat zurückgezogen wurde, ist bislang offen – eine Stellungnahme der Bundesdruckerei gab es bis Samstagnachmittag nicht, wie heise online berichtet.

Brisant ist der Fall, weil ausgerechnet ein staatlicher Zertifikatsaussteller ein Zertifikat für eine staatliche Anwendung sperrt – und weil die AusweisApp für viele Behördengänge im Netz die zentrale Software ist.

Was genau ist passiert?

Ein TLS-Zertifikat sorgt dafür, dass der Browser eine verschlüsselte Verbindung aufbaut und prüfen kann, ob er wirklich mit dem richtigen Server spricht. Wird ein Zertifikat widerrufen, landet seine Seriennummer auf einer Sperrliste. Browser, die diese Liste abgleichen, verweigern dann die Verbindung oder zeigen eine Warnung.

Die bekannten Eckdaten:

Der Sperrgrund ist aufschlussreich. „Privilege Withdrawn“ wird in der Regel nicht verwendet, wenn ein privater Schlüssel gestohlen wurde – dafür gibt es den eigenen Grund „Key Compromise“. Er deutet eher darauf hin, dass der Aussteller dem Inhaber das Recht entzogen hat, das Zertifikat zu nutzen, etwa weil es aus Sicht der Zertifizierungsstelle nicht regelkonform verwendet oder ausgestellt wurde. Was das im konkreten Fall bedeutet, lässt sich von außen nicht sagen.

Funktioniert die Online-Ausweisfunktion noch?

Hinweise auf Störungen beim eigentlichen Ausweisen mit Personalausweis, eID-Karte oder elektronischem Aufenthaltstitel gibt es bislang nicht. Das ist technisch plausibel: Die Kommunikation zwischen Ausweis, App und Online-Dienst läuft über eine eigene Zertifikatsinfrastruktur mit sogenannten Berechtigungszertifikaten, nicht über das Website-Zertifikat. Offiziell bestätigt ist das für diesen Vorfall aber nicht.

Betroffen ist nach heutigem Stand vor allem die Website, über die viele Menschen die App herunterladen, Kartenleser-Listen abrufen oder Hilfe suchen. Laut den öffentlichen Zertifikatstransparenz-Logs hat D-Trust für ausweisapp.bund.de mehrere Zertifikate ausgestellt, darunter solche mit Laufzeit bis Februar 2027. heise zufolge sind zwei davon weiterhin gültig. Sobald der Server eines davon ausliefert, verschwindet die Warnung.

Was sollten Sie jetzt tun?

• Warnungen nicht wegklicken. Wenn Ihr Browser bei ausweisapp.bund.de eine Zertifikatswarnung zeigt, brechen Sie ab und versuchen Sie es später erneut. Eine Ausnahme dauerhaft zu speichern ist keine gute Idee.
• App nur aus offiziellen Quellen laden. Die AusweisApp gibt es im Google Play Store, im Apple App Store und über die offizielle Website. Downloads von Drittseiten sollten Sie gerade jetzt meiden.
• PIN nie auf Webseiten eingeben. Die sechsstellige PIN gehört ausschließlich in die AusweisApp selbst.
• Vorsicht vor Phishing. Solche Vorfälle nutzen Betrüger gern für gefälschte „Sicherheitsmails“. Weder Bundesdruckerei noch BSI fordern Sie per E-Mail auf, Ihre Ausweisdaten zu bestätigen.

Wer sein Konto generell besser absichern möchte, findet in unserem Beitrag zu Microsofts Umstellung von SMS-Codes auf Passkeys Hintergründe zu modernen Anmeldeverfahren.

Hintergrund: schon der zweite D-Trust-Fall in diesem Jahr

Für D-Trust ist es nicht der erste Zertifikatsärger 2026. Anfang April warnte das BSI, dass D-Trust alle TLS-Zertifikate zurückziehen müsse, die zwischen dem 15. März 2025 und dem 2. April 2026 ausgestellt worden waren. Kunden – darunter Bundesbehörden – hatten über Ostern nur bis zum 6. April, 17 Uhr, Zeit, neue Zertifikate einzuspielen. Einen Cyberangriff gab es damals nach Angaben des BSI nicht; es handelte sich um ein Austauschprogramm des Anbieters.

Die Zertifikatslogs passen zu diesem Ablauf: Für ausweisapp.bund.de tauchen Anfang April 2026 neue D-Trust-Zertifikate auf. Ob der aktuelle Widerruf damit zusammenhängt, ist offen.

Die AusweisApp selbst wird im Auftrag des BSI von der Bremer Firma Governikus entwickelt. Sie ist Voraussetzung für die Online-Ausweisfunktion, die etwa bei der BundID, Rentenversicherung, Elster oder beim Kfz-Service genutzt wird. Auch private Anbieter setzen auf die eID – von Banken bis zu Plattformen, die ihr Alter nachweisen lassen, wie zuletzt bei der Altersprüfung von Discord diskutiert.

Häufige Fragen

Ist meine Ausweis-PIN in Gefahr?

Nach allem, was bekannt ist, nein. Der Sperrgrund „Privilege Withdrawn“ spricht nicht für einen gestohlenen Schlüssel, und die PIN wird nie an die Website übertragen.

Kann ich mich weiter online ausweisen?

Störungen der Ausweisfunktion sind bislang nicht bekannt. Die Verbindung zwischen App und Online-Dienst nutzt eigene Zertifikate. Eine offizielle Bestätigung steht aber aus.

Warum zieht eine Behörde ihr eigenes Zertifikat zurück?

Das ist unklar. D-Trust ist zwar Teil der Bundesdruckerei, muss sich als öffentliche Zertifizierungsstelle aber an die Regeln der Browserhersteller halten. Verstöße können zu Widerrufen führen – auch bei staatlichen Kunden.

Wir aktualisieren diesen Beitrag, sobald Bundesdruckerei, D-Trust oder BSI eine Erklärung veröffentlichen.