Mohindra verweist auf mehrere frühere Fälle, in denen Root-Vertrauen oder Zertifizierungsstellen aus dem Verkehr gezogen wurden: DigiNotar im Jahr 2011 nach mehr als 500 betrügerischen Zertifikaten infolge eines Einbruchs, Symantec im Jahr 2017 nach jahrelangem Missbrauch, TrustCor im Jahr 2022 und Entrust im Jahr 2024. All diese Fälle seien technisch bewältigt worden. Eine koordinierte nationale Reaktion sei nicht erzwungen worden, weil die Folgen innerhalb der IT-Teams geblieben seien, die Zertifikate austauschten, bevor Kunden die Auswirkungen bemerkten.

Genau darin liege jedoch die Gefahr. Aus mehreren glimpflich verlaufenen Fällen werde schnell der Schluss gezogen, das Problem sei gelöst. Mohindra widerspricht: Es sei lediglich noch nicht in großem Maßstab getestet worden. Als Beispiel beschreibt er das Szenario einer Regionalbank, die nur mit einer einzigen Zertifizierungsstelle arbeitet. Würde diese Stelle das Vertrauen verlieren, könnte die Bank weder Transaktionen verarbeiten noch Systeme authentifizieren. Während das interne Team reagiere, könne die Zertifizierungsstelle selbst überlastet sein; binnen Stunden wären Kunden ausgesperrt, während Aufsichtsbehörden Erklärungen verlangten.

Nach Mohindras Darstellung verschlechtern sich zugleich die Rahmenbedingungen, die frühere Vorfälle noch handhabbar machten. Ein Faktor ist die Umstellung auf Post-Quanten-Kryptografie. Das National Institute of Standards and Technology hat mit FIPS 203, 204 und 205 bereits die entsprechenden Nachfolger standardisiert. Damit stehe eine erzwungene Migration zentraler kryptografischer Verfahren an, die Signaturen und Absicherung in großem Umfang betreffen werde.

Als zweiten Faktor nennt er Künstliche Intelligenz. Sie senke für Angreifer die Kosten, um schwache Schlüssel zu finden, Social Engineering gegen Mitarbeiter von Zertifizierungsstellen zu skalieren und Signatur-Pipelines systematisch nach Schwachstellen abzusuchen. Dadurch würden seltene Ereignisse plausibler, und geplante Migrationen könnten durch plötzlich erzwungene Wechsel unterbrochen werden.

Die Zuständigkeiten sind aus seiner Sicht zersplittert. CISA koordiniere Cybervorfälle, treffe aber nicht die Vertrauensentscheidung. Das CA/Browser Forum definiere Ausstellungsregeln, sei aber nicht für eine nationale Reaktion zuständig. NIST veröffentliche Leitlinien. Die Federal PKI regle die Zertifikate der Regierung. Jede Stelle decke nur einen Teilbereich ab, niemand aber die sektorübergreifende Bereinigung nach einem größeren Vertrauensentzug. Betroffene hätten derzeit keinen verlässlichen Kanal, um vor einer öffentlichen Ankündigung von einer bevorstehenden Aberkennung einer großen Zertifizierungsstelle zu erfahren.

Immerhin haben die Aussteller laut Mohindra begonnen, ihre Prozesse anzupassen. Im Juli 2025 verabschiedete das CA/Browser Forum mit Ballot SC-089 eine Vorgabe, nach der jede öffentlich vertrauenswürdige TLS-Zertifizierungsstelle einen Plan für Massenwiderrufe vorhalten und jährlich testen muss. Das sei der richtige Ansatz, nun verbindlich gemacht. Die Pflicht gelte jedoch nur für die Aussteller – nicht für Unternehmen und Sektoren, die einen solchen Widerruf auffangen müssen.

Mohindra fordert deshalb eine Behandlung von Vertrauenskontinuität wie bei Black-Start-Plänen im Stromnetz oder bei DNS-Wiederherstellung: benannte Zuständigkeiten und geübte Abläufe vor dem Ernstfall. Konkret nennt er drei kurzfristige Schritte: ein Inventar von Zertifikaten und Schlüsseln aufbauen, eine verantwortliche Ansprechperson für Vertrauenskontinuität benennen und eine Tabletop-Übung zum Szenario durchführen, dass die primäre Zertifizierungsstelle in 30 Tagen das Vertrauen verliert. Zusätzlich empfiehlt er, Zertifikate von mehr als einer Zertifizierungsstelle zu beziehen, damit ein Vertrauensentzug einen Wechsel und keinen Neuaufbau erzwingt.