Was ist passiert?
SwissSign wurde im Rahmen eines externen Audits auf eine Abweichung in der eigenen Zertifikatsrichtlinie (CPR) hingewiesen. Dabei stellte sich heraus, dass die betroffenen Zertifikate zwar den Anforderungen der S/MIME Baseline Requirements entsprechen, insbesondere hinsichtlich der Belegung des Feldes commonName mit der E‑Mail‑Adresse (Mailbox Address). Die Abweichung betrifft ausschliesslich eine abweichende Formulierung in der CPR, die für S/MIME-Silver-Zertifikate zusätzlich Vor‑ und Nachnamen vorsah.
Der Fehler betrifft also nur die Dokumentation, nicht die Zertifikate selbst. Dennoch verpflichten die Vorgaben des CA/Browser-Forums SwissSign dazu, alle betroffenen Zertifikate innerhalb von 120 Stunden zu widerrufen.
Wichtig: Es besteht kein Sicherheitsrisiko für E-Mails oder verschlüsselte Inhalte. Der Widerruf ist eine reine formale Compliance-Maßnahme; es handelt sich nicht um einen Angriff oder eine Kompromittierung.
Welche Zertifikate sind betroffen?
Alle DV-E-Mail-Zertifikate “SwissSign Personal S/MIME E-Mail ID Silver”, die zwischen dem 15. Juli 2025 (00:00 Uhr) und dem 17. April 2026 (17:00 Uhr) ausgestellt wurden.
Was passiert, wenn Sie nichts unternehmen?
SwissSign widerruft alle betroffenen Zertifikate automatisch am 22. April 2026 um 15:00 Uhr MEZ. Danach können damit signierte E-Mails von Empfängern als ungültig oder nicht vertrauenswürdig eingestuft werden. E-Mail-Verschlüsselung auf Basis dieser Zertifikate wäre ebenfalls nicht mehr möglich.
Was müssen NoSpamProxy-Kunden tun?
- Prüfen Sie, ob in Ihrer NoSpamProxy-Konfiguration eine Anbindung an die SwissSign Managed PKI besteht.
- Identifizieren Sie alle betroffenen S/MIME-Zertifikate anhand des Ausstellungszeitraums (15. Juli 2025 bis 17. April 2026).
- Fordern Sie über die SwissSign MPKI Ersatzzertifikate an. Das Produkt selbst bleibt unverändert verfügbar, der Fehler in der Dokumentation wurde bereits behoben.
- Installieren und aktivieren Sie die neuen Zertifikate in NoSpamProxy vor dem 22. April 2026, 15:00 Uhr MEZ.
- Informieren Sie gegebenenfalls Kommunikationspartner, deren Systeme die alten Zertifikate im Truststore hinterlegt haben.
Weitere Informationen
SwissSign hat betroffene Kunden per E-Mail informiert. Den offiziellen Compliance-Bericht finden Sie im Mozilla Bugtracker Bugzilla.
