Ein geheimer Schlüssel mit dem Wert vier
Am 25. Oktober 2026 erschien auf r/ProgrammerHumor ein Beitrag namens „four“. Der Hintergrund war real: Acht Zwischenzertifizierungsstellen von eMudhra hatten extrem schwache private Schlüssel. Einer davon war tatsächlich die Zahl 4. Solche Schlüssel gehören zum System, das die Identität von Websites bestätigt. Eigentlich sollten sie praktisch unerratbar sein, nicht das Ergebnis einer Grundschulaufgabe.
Der Beitrag kombinierte eine blaue Katzenzeichnung mit dem Format eines privaten Schlüssels. Einige Kommentierende nannten Instagram @sillynubcat als Urheber. Der erste Upload wurde hier jedoch nicht unabhängig bestätigt. Deshalb verlinken wir den Beitrag, statt das Bild zu kopieren.
Die Kommentare wurden zur Rechenstunde
Jemand fragte, warum 4 zum Meme geworden sei. Andere erklärten den Vorfall. Auf die Frage, wie der Schlüssel gefunden wurde, kam die echte Antwort: „Someone put two and two together.“ Im Englischen heißt das, Hinweise zu kombinieren. Hier ergibt 2 + 2 aber auch buchstäblich den geheimen Schlüssel.
Auch „Brute Force“, das Durchprobieren von Möglichkeiten, wurde zum Witz. Ob man bei so kleinen Zahlen überhaupt von roher Gewalt sprechen könne? Die Antwort lautete „Gentle force“, sanfte Gewalt. Man erwartet einen Rammbock, doch ein Fingertipp öffnet die Tür. Andere schrieben einfach „4“, „Four“ oder „IV“. Diese öffentlichen Reaktionen stammen vom 25. und 26. Oktober und bilden keine Rangliste.
Der alte xkcd-Witz passt plötzlich
Im xkcd-Comic 221 „Random Number“ liefert ein angeblicher Zufallszahlengenerator immer 4. Der Comic hat den Vorfall nicht vorhergesagt. Ein absichtlich schlechtes Beispiel ähnelt plötzlich einer echten Sicherheitslücke.
Was tatsächlich bekannt ist
Google erhielt nach eigenen Angaben am 17. Oktober den Hinweis und blockierte das Vertrauen in die betroffenen Schlüssel. eMudhra erklärte, die acht Zwischenstellen am 18. widerrufen zu haben. Sie hätten keine Endnutzerzertifikate ausgestellt; Belege für einen Datenabfluss lägen nicht vor. Am 22. Oktober kündigte das Unternehmen den Rückzug aus dem weltweiten Geschäft mit Website-Zertifikaten an. Ein ernstes Risiko ist kein Beweis für einen tatsächlich erfolgten Datendiebstahl.
Eigener Sketch, kein Reddit-Zitat
Chef: „Können Sie Geheimnisse bewahren?“ Bewerber: „Vier.“ Chef: „Sie haben es gerade verraten.“ Bewerber: „Dann fünf.“ Chef: „Wir versteigern hier keine Zahlen!“
Fazit
Ein komplexer Sicherheitsvorfall wurde im Kommentarbereich zur Rechnung 2 + 2. Die technische Lösung ist ernst, der Witz steckt im verblüffend einfachen Ergebnis.
Quellen (6)
- Reddit (2026-10-25, comments 25–26): https://www.reddit.com/r/ProgrammerHumor/comments/1xeul7g/four/
- eMudhra (2026-10-21): https://emudhra.com/en/post/certificate-security-incident
- eMudhra (2026-10-22): https://emudhra.com/en/press-release/emudhra-to-exit-global-ssl-tls-certificate-business
- Google Security (2026-10-20): https://blog.google/security/protecting-chrome-and-android-users-from-compromised-emudhra-intermediate-ca-certificates/
- xkcd 221: https://xkcd.com/221/
- Ars Technica (2026-10-22): https://arstechnica.com/security/2026/10/disgraced-emudhra-drops-out-of-tls-business-following-certificate-debacle/
