Wegen eines einzelnen Servers in Armenien stellt der CDN-Anbieter Bunny.net die TLS-Zertifikate aller Kundendomains neu aus. Der Server gehörte einem Infrastrukturanbieter, der vergangene Woche einen unbefugten Zugriff über die Serververwaltungssoftware eines Drittanbieters gemeldet hatte.[1]
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Spuren eines Zugriffs auf den eigenen Rechner hat Bunny nicht gefunden, ausschließen kann das Unternehmen ihn aber nicht. Kunden mit selbst verwalteten Zertifikaten sollen diese widerrufen und mit neuen Schlüsseln ausstellen lassen.
Das Wichtigste in Kürze
- Ein Bunny-Knoten in Armenien lief auf dem Server eines Anbieters, bei dem Angreifer über Verwaltungssoftware eingedrungen waren.
- Möglicherweise betroffen: zwischengespeicherte Inhalte, CDN-Einstellungen der Kunden und TLS-Zertifikate.
- Bunny stellt alle verwalteten Zertifikate mit neuen Schlüsseln aus, Abschluss bis zum Ablauf des 31. Oktober geplant.
- Kunden mit eigenen Zertifikaten müssen selbst handeln.
Was ist bei Bunny.net passiert?
Das slowenische Unternehmen liefert Inhalte von Websites über Server in aller Welt aus. Nach eigenen Angaben nutzen mehr als 100.000 Kunden das Netz für 1,5 Millionen Websites.[2] Nach der Warnung des Serveranbieters nahm Bunny den armenischen Knoten binnen 20 Minuten vom Netz, sicherte die Protokolle, löschte den Server und entzog ihm die Zugänge zu anderen Systemen.[1]
Welchen Anbieter es traf, nennt Bunny nicht. Laut der Mitteilung vom 28. Oktober fanden weder Bunny noch der Anbieter Hinweise auf einen Zugriff auf den Server. Kontodaten der Kunden lagen dort nicht, interne Systeme seien nicht betroffen.[1]
Warum tauscht Bunny trotzdem alle Zertifikate?
Ein CDN-Knoten braucht die privaten Schlüssel der Zertifikate, um Verbindungen für die Domains seiner Kunden zu verschlüsseln. Mit einem kopierten Schlüssel könnte sich ein Angreifer, der Datenverkehr umleitet, gegenüber Besuchern als die echte Website ausgeben. Ohne Widerruf bleibt ein Zertifikat bis zum Ablauf gültig, nach den Vorgaben des CA/Browser Forums seit dem 15. März 2026 bis zu 200 Tage.[3]
Die Zertifikate der eigenen Domains b-cdn.net und bunny.run hat Bunny bereits ersetzt. Die verwalteten Zertifikate der Kundendomains folgen schrittweise, jedes mit einem neuen Schlüssel. Das dauert länger als geplant: Statt binnen 24 Stunden soll der Austausch nun bis zum Ablauf des 31. Oktober abgeschlossen sein.[1]
Die Zahlen
Der Ablauf
Was müssen Bunny-Kunden jetzt tun?
Kunden mit von Bunny verwalteten Zertifikaten müssen nichts tun, die alten Zertifikate laufen bis zum Austausch ohne Unterbrechung weiter.[1]
Ein CDN verteilt mit den Inhalten auch die Schlüssel. Jeder gemietete Server gehört deshalb in die eigene Risikobewertung.
Markus Seyfferth, Chefredakteur Dr. Web
Für alle anderen gilt:
- Eigene Zertifikate widerrufen: Haben Sie eigene Zertifikate bei Bunny hinterlegt, lassen Sie diese bei Ihrer Zertifizierungsstelle widerrufen und mit einem neuen privaten Schlüssel ausstellen.[1] Ist ein Schlüssel nachweislich in fremde Hände gelangt, muss die Stelle binnen 24 Stunden widerrufen.[3]
- Signaturschlüssel für geschützte Links erneuern: Schützen Sie Downloads mit signierten Links, erzeugen Sie den Schlüssel dafür vorsorglich neu. Mit ihm lassen sich laut Bunny gültige Links für beliebige Dateien bilden.[4] Ob er zu den möglicherweise betroffenen Einstellungen gehört, sagt Bunny nicht.
- Statusseite verfolgen: Neue Erkenntnisse will Bunny dort und per E-Mail melden.[1]
Quellen
4 Quellen anzeigenQuellen ausblenden
- Bunny.netSecurity update regarding one of our infrastructure providers, Statusseite, 28. und
- Bunny.netAbout us, Unternehmensangaben, abgerufen am 31. Oktober 2026
- CA/Browser ForumBaseline Requirements for the Issuance and Management of Publicly-Trusted TLS Server Certificates, Version 2.3.1, Abschnitte 4.9.1.1 und 6.3.2
- Bunny.netToken Authentication, Dokumentation, abgerufen am 31. Oktober 2026
Mehr Newshunger?
- Einbruch bei Northflank: Kunden sollen alle gespeicherten Zugangsdaten austauschen
- Mit dem geknackten eMudhra-Schlüssel stellt mitmproxy Zertifikate für jede Website aus
- Zwischenzertifikate von eMudhra kompromittiert: Jeder konnte die privaten Schlüssel berechnen
- Europas Firmenwebsites laufen überwiegend über US-Anbieter
- Railway: Angreifer lasen entschlüsselte Umgebungsvariablen von Kunden aus
- Cloudflare-Container: Wiederverwendete Speicherblöcke verrieten Datenreste fremder Kunden
