Sicherheitszertifikat von datev-community.de abgelaufen?

[#1]

Moin!

Ich kann mich mit "üblichen" Browsereinstellungen nicht mehr anmelden, weil die Sicherheitseinstellungen dann ein ungültiges Zertifikat melden:

Chrome:

...der olle IE:

gleiches Bild bei Edge, Firefox und auch bei Safari auf dem iPad.

Es ist natürlich etwas schade, wenn man die Sicherheitseinstellungen auf ein Minimum runterschrauben muss, um sich anzumelden.

Wird das Zertifikat in Kürze erneuert?

NACHTRAG: Das Problem tritt bei mir seit gestern Abend auf.

[#2]

Bei mir passt es. Und das Zertifikat hat eine Gültigkeit vom 28.06. bis 21.12.2021. Ich dachte soetwas ist einheitlich?

Edit:

Browser: Edge

Version: 91.0.864.64

[#3]

Ja, das ist total schräg! Sogar Kaspersky meckert, obwohl das Zertifikat gültig ist:

Bei mir hat das Zertifikat aber eine ganz andere Laufzeit... mysteriös!

Wenn es jetzt nur am Rechner wäre, würde ich sagen, da ist irgendetwas im argen, aber das Problem habe ich auch auf dem iPad und im PartnerASP.

[#4]

Moin,

keine Probleme...

 

Wie schaut denn der Inhalt des vermeintlich ungültigen Zertifikates aus? Evtl. ein "Zwischen-Zertifikat" von Kaspersky & Co.?

Beste Grüße
Christian Ockenfels

[#5]

Gestern Abend und heute Morgen auf Zertifikatsfehler im Safari und Edge Chromium.

Jetzt gehts.

[#6]

Seltsam, das ist ein völlig anderes Zertifikat als bei Euch:

Das kuriose dabei ist: Ich versuche, www.datev-community.de zu öffnen. Dann erhalte ich die oben stehenden Fehler. Dann öffne ich die URL erneut und komme auf die Startseite, bin aber abgemeldet. Wenn ich dann versuche, auf "Anmelden" zu klicken, erhalte ich permanent die oben stehenden Fehler und kann mich nicht einloggen.

Gerade mal getestet: Selbst auf dem Telefon tritt das Problem auf:

[#7]

Hallo zusammen,

danke für die Hinweise, ich versuche zu klären was da aktuell schief läuft.

Vorweg:

login.datev-community.de und (www.)datev-community.de besitzen verschiedene Zertifikate, welche aber allesamt noch längere Zeit gültig sind und auch rechtzeitig verlängert werden.

[#8]

Jetzt und gestern keinerlei Probleme.

[#9]

@Dirk_Jendritzki : Danke!

Ebenfalls seltsam: Ich poste gerade vom Laptop über Chrome. Dort habe ich die Sicherheitseinstellungen deaktiviert, um mich anmelden zu können. Nun kann ich die Einstellung wieder aktivieren und bleibe ganz normal eingeloggt und habe keine Funktionseinschränkungen.

[#10]

Ich habe den Hinweis nur erhalten, als ich versucht habe mich mit FireFox anzumelden.  Mit Edge funktionierts

[#11]

Wenn in in DATEVasp gezielt die Domain login.datev-community.de aufrufe, kommt es zu dem Zertifikatsfehler.

Chrome geht davon aus, dass das Zertifikat widerrufen wurde!

Beste Grüße
Christian Ockenfels

[#12]

Hier habe ich auch das Problem.

Auf Firefox 78.11.0esr - Fehlermeldung 'SEC_ERROR_REVOKED_CERTIFICATE', bei www.datev-community.de w/ redirect auf login...

Beim 2. Aufruf (manuelle Eingabe) www.datev-community.de klappt der Aufruf der Startseite, Anmeldelink führt zum fehlenden Zertifikat. Aufruf über den Link von datev.de führt zum gleichen Fehlerbild.

Anderer Rechner mit Firefox 89.0.2 mit Aufruf aus Verlauf - klappt wie es soll.

MSEdge auf dem selben Rechner - wie Firefox 78.11.0esr

Rechner mit Ubuntu 20.04. und Firefox 89.0.2 und anderer Internetverbindung - wie 78.11.0esr.

Laptop mit Firefox 89.0.2 - wie 78.11.0esr, mit Edge keine Änderung.

Auf Ubuntu noch einen Linux Browser installiert und getestet - wie 78.11.0esr.

Caches, Verlauf und Historie geleert - keine Änderung.

Warum dieser eine Rechner die Verbindung sauber aufbaut? Keine Ahnung.

[#13]

Als Ergänzung zu meinem obigen Beitrag: ich benutze Chrome - und da gibt es keinerlei Probleme (bei mir).

[#14]

Android 10 mit Chrome ausprobiert. Aufruf über Google Suche. Klappt wie es soll. 🤔

[#15]

Klappt bei mir sowohl mit Safari vom Laptop aus, also auch mit Edge ( Chrome) keine Funktionseinschränkungen. 

[#16 · Accepted solution]

Hallo zusammen,

die Ursache ist gefunden, das betroffene Zertifikat (login.datev-community.de) wurde irrtümlich in einer größeren Sperraktion ebenfalls gesperrt. 😩

Ein neues Zertifikat ist bereits ausgestellt und wird asap eingespielt.

Anscheinend braucht es bei manchen Browsern länger als bei anderen, bis sich eine derartige Sperrung "rumspricht", weshalb man sich damit noch anmelden kann / konnte.

[#17]

Danke für die schnelle Klärung und vor allem Aufklärung hier.

LG

WF,

der heute morgen von zu Hause mit Firefox auch Probleme hatte und dabei aber schnell aufgegeben hat in der jetzt bestätigten Hoffnung, es wird sich klären.

[#18]

---

@Dirk_Jendritzki  schrieb:

Hallo zusammen,

die Ursache ist gefunden, das betroffene Zertifikat (login.datev-community.de) wurde irrtümlich in einer größeren Sperraktion ebenfalls gesperrt. 😩

Ein neues Zertifikat ist bereits ausgestellt und wird asap eingespielt.

Anscheinend braucht es bei manchen Browsern länger als bei anderen, bis sich eine derartige Sperrung "rumspricht", weshalb man sich damit noch anmelden kann / konnte.

---

Man sieht exemplarisch, dass die interne Kommunikation bei DATEV noch ausbaufähig zu sein scheint.....

[#19]

---

@andreashofmeister  schrieb:

---

@Dirk_Jendritzki  schrieb:

Ein neues Zertifikat ist bereits ausgestellt und wird asap eingespielt.

---

Man sieht exemplarisch, dass die interne Kommunikation bei DATEV noch ausbaufähig zu sein scheint.....

---

Das liegt wohl eher an Khoros*

(* bei so einem Namen denke ich eher immer an einen Superschurken oder Endgegner aus wasweissich )

[#20]

@andrereissig: Du vertraust Kaperzeck, ähhh, Kaspersky sowas an 😂? Unsicherer Kaspersky Passwort-Manager, Passwörter erratbar

Gut, dass ich gestern groggy um 22 Uhr im Bett lag; heute bis 9 Uhr geschlafen habe und der ganzen Aktion aus dem Weg ging 😎. Hatte mich aber schon über den Logout gewundert. DATEV will wohl, dass man sich immer schön ausloggt 😋.

Trotzdem ein bisschen müde von der ganzen Patcherei wegen so einem Relikt wie drucken 🖨🙄.

www.computerbase.de setzt ja auf Let's Encrypt und auch unser Standort in Attendorn ist mit der Sophos auf Let's Encrypt. Läuft. Zuverlässig. Seit min. 24M. Dauerhaft. Nice 👍. Und wird automatisch verlängert. 

[#21]

---

@metalposaunist  schrieb:

@andrereissig: Du vertraust Kaperzeck, ähhh, Kaspersky sowas an 😂? Unsicherer Kaspersky Passwort-Manager, Passwörter erratbar

---

Um Gottes willen! Nein! Meine Kennworte bekommt der nicht. Da ist tatsächlich nur der Scanner angesprungen.

Nachtrag: Jau, nachdem die Seite ein paar Sekunden nicht erreichbar war, funktioniert es jetzt wieder! Danke @Dirk_Jendritzki 

[#22]

Danke, läuft hier wieder.

[#23]

---

Ein neues Zertifikat ist bereits ausgestellt und wird asap eingespielt.

Das neue Zertifikat ist eingespielt und die Zertifikatskette ist damit wieder intakt.

Falls es vereinzelt doch noch zu einem Zertifizierungsfehler kommt, hilft es sicher den Cache zu löschen.

Und zu

Man sieht exemplarisch, dass die interne Kommunikation bei DATEV noch ausbaufähig zu sein scheint.....

Das will ich gar nicht leugnen, aber die Sperraktion war lang und eigentlich gut vorbereitet, aber wo Menschen arbeiten passieren nun mal Fehler.

Das liegt wohl eher an Khoros

Nein, wie gesagt handelt es sich um verschiedene Zertifikate, in Ihrem Screen ist es das von www.datev-community.de, irrtümlich gesperrt wurde aber das von login.datev-community.de. 

Ich entschuldige mich für die entstandene Aufregung und hole mir jetzt erst Mal einen Kaffee 🍵

[#24]

Warum macht DATEV sich nicht ein Wildcard Zertifikat *.datev.de und nutzt es für alle Webseiten? Dann hieße es nur https://community.datev.de 😉. 

[#25]

---

@metalposaunist  schrieb:

Warum macht DATEV sich nicht ein Wildcard Zertifikat *.datev.de und nutzt es für alle Webseiten? Dann hieße es nur https://community.datev.de 😉. 

---

Weil ich immer noch glaube das die Seite von Khoros bei Amazon betrieben wird.

[#26]

---

@siro schrieb:

Weil ich immer noch glaube das die Seite von Khoros bei Amazon betrieben wird.

---

So? Dann würde ja alles laufen und sowas nicht passieren 😜 . Ich glaube, die läuft eher auf den Servern von Sky, die ein ähnlich tolles Benutzererlebnis bieten 🤐. SkyGo, SkyQ und SkyTicket und Apple TV und so ... NEUES Apple TV 2021 und SKY Q gibt auf. - Sky Community

[#27]

nslookup

> www.datev-community.de

Nicht autorisierende Antwort:
Name: d1xeejcml2wbcn.cloudfront.net
Addresses: 2600:9000:2204:1e00:1d:2ec5:ddc0:93a1
2600:9000:2204:8400:1d:2ec5:ddc0:93a1
2600:9000:2204:da00:1d:2ec5:ddc0:93a1
2600:9000:2204:6e00:1d:2ec5:ddc0:93a1
2600:9000:2204:4000:1d:2ec5:ddc0:93a1
2600:9000:2204:aa00:1d:2ec5:ddc0:93a1
2600:9000:2204:ec00:1d:2ec5:ddc0:93a1
2600:9000:2204:cc00:1d:2ec5:ddc0:93a1
52.222.139.16
52.222.139.86
52.222.139.68
52.222.139.118
Aliases: www.datev-community.de
ocurf25565.lithium.com

 und dann

Certificate  

	Primary Common Name: *.cloudfront.net Issuer: Amazon Expires: 8 months Valid From: 3/18/2021 Valid To: 3/17/2022 Serial: 05E8D184BB5123C7049914899E8204E6 Algorithm: sha256RSA	Remind Me
	Common Name: Amazon Issuer: Amazon Root CA 1 Expires: 4 years Valid From: 10/21/2015 Valid To: 10/18/2025 Serial: 067F94578587E8AC77DEB253325BBC998B560D Algorithm: sha256RSA Organization: Amazon Location: US
	Common Name: Amazon Root CA 1 Issuer: Starfield Services Root Certificate Authority - G2 Expires: Never Valid From: 5/25/2015 Valid To: 12/30/2037 Serial: 067F944A2A27CDF3FAC2AE2B01F908EEB9C4C6 Algorithm: sha256RSA Organization: Amazon Location: US
	Common Name: Starfield Services Root Certificate Authority - G2 Issuer: Expires: Never Valid From: 9/1/2009 Valid To: 6/28/2034 Serial: 00A70E4A4C3482B77F Algorithm: sha256RSA Organization: Starfield Technologies, Inc. Location: Scottsdale,Arizona,US
	Common Name: Issuer: Expires: Never Valid From: 6/29/2004 Valid To: 6/29/2034 Serial: 00 Algorithm: sha1RSA Organization: Starfield Technologies, Inc. Location: US
	Primary Common Name: secure04.lithium.com Issuer: DigiCert TLS RSA SHA256 2020 CA1 Expires: 6 months Valid From: 6/27/2021 Valid To: 12/20/2021 Serial: 0DB9FA835D89664EA04ED4AEBE001526 Algorithm: sha256RSA Organization: Khoros, LLC Location: San Francisco,California,US	Remind Me
	Common Name: DigiCert TLS RSA SHA256 2020 CA1 Issuer: DigiCert Global Root CA Expires: 9 years Valid From: 9/23/2020 Valid To: 9/23/2030 Serial: 0A3508D55C292B017DF8AD65C00FF7E4 Algorithm: sha256RSA Organization: DigiCert Inc Location: US
	Common Name: DigiCert Global Root CA Issuer: DigiCert Global Root CA Expires: Never Valid From: 11/9/2006 Valid To: 11/9/2031 Serial: 083BE056904246B1A1756AC95991C74A Algorithm: sha1RSA Organization: DigiCert Inc Location: US

😀

[#28]

---

@metalposaunist  schrieb:

Warum macht DATEV sich nicht ein Wildcard Zertifikat *.datev.de und nutzt es für alle Webseiten? Dann hieße es nur https://community.datev.de 😉. 

---

Das hat IT-Sicherheits-strategische Gründe, auf die ich hier im Detail nicht eingehen kann (Mischung aus Unkenntnis, Dürfen und Detailtiefe), aber nur soviel der Trend geht genau in diese Richtung.

Weil ich immer noch glaube das die Seite von Khoros bei Amazon betrieben wird.

Das hat auch nie jemand angezweifelt, dass die Khoros-EU-Präsenzen in der AWS in Irland gehostet werden. Nur lässt das keinen direkten Zusammenhang in Bezug auf die verwendeten Zertifikate, insbesondere mit Blick auf zusätzliche Drittsysteme wie dem Login, zu.

[#29]

Wo wir gerade bei Zertifikaten sind, vielleicht ist das ja auch was für Dich: Arbeiten mit DATEV: Ein Leidensbericht (typischer Alltag)

Ich nehme an, der externe Anbieter hat nicht sämtlichen Content bei sich SSL verschlüsselt oder es werden nicht sämtliche Inhalte der Webseite SSL verschlüsselt? Das war auch bei www.computerbase.de schwierig dort auch alle externe Werbung via SSL einzubinden, sonst würde der Browser keine durchgehende Verschlüsselung anzeigen. 

---

@Dirk_Jendritzki schrieb:

Das hat IT-Sicherheits-strategische Gründe,

---

Thawte muss ja auch von etwas leben 😇🤐.

[#30]

---

@metalposaunist  schrieb:
vielleicht ist das ja auch was für Dich

Nicht direkt, denn verantwortlich ist die jeweilige Fachabteilung, die einen Dienst anbietet.

... es werden nicht sämtliche Inhalte der Webseite SSL verschlüsselt? ...

Richtig, es handelt sich wohl um sog. gemischte Inhalte, ich habe die Kollegen informiert.