Firefox und eMudhra: Zertifikatsschutz auf Android und Desktop richtig prüfen
Stand: 27.10.2026. Nach kompromittierten eMudhra-Zwischenzertifikaten hat Mozilla mehrere Schutzwege bereitgestellt. Entscheidend ist die Unterscheidung zwischen automatisch verteilter Sperrliste, mitgelieferter Liste und Android-Startkorrektur – nicht das pauschale Abschalten der Zertifikatsprüfung.
Welche Installation ist gemeint?
Dieser Ratgeber richtet sich an Firefox-Nutzer und betreute Arbeitsplätze. Die Desktop-Release-Notiz zu 158.0.1 vom 20.10. nennt eine gebündelte OneCRL-Liste für Geräte, bei denen Remote Settings per Richtlinie deaktiviert oder im Netzwerk nicht erreichbar ist [1]. Firefox für Android 158.0.2 vom 21.10. korrigiert zusätzlich die Installation der vorverteilten Liste beim Start [2]. Die Sicherheitsmeldung führt CVE-2026-113470 mit hoher Auswirkung [3]. Die Android-Versionsnummer darf nicht auf Desktop oder iOS übertragen werden. Mozilla datiert den Vorfall auf den 17.10.; der Sicherheitsblog vom 20.10. mit Nachtrag vom 21.10. unterscheidet die reguläre OneCRL-Verteilung und zusätzliche Browserupdates. Er nennt auch ESR 115.43.1 und 153.5.1 als damalige Korrekturstände. Bei ESR nicht zu Release wechseln, sondern den zur eigenen Plattform passenden, aktuell unterstützten Kanal mit der IT prüfen [5].
Vorbereitung ohne Datenverlust
Voraussetzungen: Zugriff auf die Versionsanzeige und den freigegebenen Updateweg, bei verwalteten Geräten Unterstützung der IT. Vor einem Update wichtige offene Arbeit speichern und vorhandene Wiederherstellung beziehungsweise Profilsicherung prüfen. Keine Neuinstallation, kein Profilreset und kein Zertifikatimport sind für diese Erstprüfung erforderlich.
Fünf sichere Prüfschritte
- Installation zuordnen: Betriebssystem, Firefox-Kanal und angezeigte Version notieren. Auf Desktop die Information unter Hilfe → Über Firefox prüfen; auf Android die Versionsinformation der App verwenden. ESR, Release, Beta und andere Mozilla-basierte Anwendungen getrennt erfassen.
- Passenden Updateweg verwenden: Desktop über die offizielle Updatefunktion oder bei Paket-/Unternehmensinstallationen den zuständigen Paketverwalter beziehungsweise die IT. Für Android den vertrauenswürdigen Store oder den bestehenden verwalteten Verteiler nutzen. 158.0.1 und Android 158.0.2 sind die hier belegten Korrekturstände, keine Empfehlung, spätere freigegebene Sicherheitsupdates zu überspringen [1][2].
- Update abschließen und Firefox regulär neu starten. Offene Arbeit vorher sichern. Auf Android ist gerade das Anwenden der gebündelten OneCRL-Liste beim Start Gegenstand der Korrektur; eine bloße Store-Anzeige ersetzt die Prüfung der tatsächlich gestarteten App-Version nicht [2].
- Schutzgrenzen beachten: Remote Settings, Zertifikatsprüfung und Unternehmensrichtlinien nicht versuchsweise abschalten. Bei verwalteten Geräten die Erreichbarkeit des normalen Updatewegs mit der IT klären. Keine unbekannten Stammzertifikate importieren und keine Warnung durch eine Ausnahme übergehen.
- Ergebnis dokumentieren: Nach Neustart Version und Updateabschluss erneut prüfen; eine bekannte vertrauenswürdige HTTPS-Seite normal öffnen. Bei fortbestehender Zertifikatswarnung abbrechen, Hostname, Zeitpunkt und exakten Fehlercode ohne vertrauliche URL-Parameter an die IT geben. Keine Zugangsdaten eingeben, solange die Warnung besteht.
Erfolgskontrolle und Rückweg
Erfolg bedeutet hier: die beabsichtigte freigegebene Version läuft und der Updateweg meldet keinen offenen Abschluss. Eine fehlerfrei geladene Website beweist nicht, dass jeder kompromittierte Zertifikatspfad blockiert wird. Ein echter Sperrlistentest würde eine kontrollierte Testumgebung benötigen; er wurde für diesen Artikel nicht durchgeführt. Nicht zu einem alten unsicheren Browser zurückrollen. Bei Updateproblemen Daten erhalten, produktive Nutzung gegebenenfalls pausieren und einen unterstützten Wiederherstellungsweg mit der IT abstimmen.
Grenzen der Aussage
OneCRL kann Zertifikatsperren unabhängig von einem kompletten Browserupdate verteilen [4]. Die gebündelte Liste schließt einen anderen Auslieferungsweg ab, ersetzt aber weder alle späteren Sicherheitsupdates noch die Prüfung anderer Browser, TLS-Bibliotheken oder Server. Ein angezeigtes Schloss ist kein vollständiger Sicherheitsnachweis. Dies ist eine quellenbasierte Anleitung, kein eigener Firefox-/Android-Test. Keine Kaufempfehlung und keine Affiliate-Links.
