GitHub Enterprise Cloud mit Datenresidenz (GHE.com) nimmt ab dem 7. Oktober 2026 keine TLS-Verbindungen mehr von Clients an, die ausschliesslich X25519 anbieten. Unterstützt bleiben die FIPS-geprüften Gruppen P-256 und P-384. SSH ist nicht betroffen. Der Beitrag zeigt, welche Umgebungen gefährdet sind, wie du mit OpenSSL testest und was du bis zum Stichtag ändern musst.
Am 7. Oktober 2026 endet bei GitHub Enterprise Cloud mit Datenresidenz die Annahme von Clients, die für den Schlüsselaustausch nur X25519 anbieten. Dir bleibt eine Woche, um solche Konfigurationen zu finden.
Das Wichtigste in Kürze
- Die Frist ist der 7. Oktober 2026. Danach lehnt GHE.com TLS-Verbindungen von Clients ab, die ausschliesslich X25519 anbieten.
- P-256 und P-384 bleiben unterstützt. Beide Gruppen sind FIPS-geprüft.
- Betroffen sind gezielt eingeschränkte Clients. Das sind Anwendungen, Proxys, Sicherheitsgeräte oder TLS-Bibliotheken, die ausdrücklich nur X25519 anbieten.
- SSH bleibt unberührt. Die Änderung betrifft nur den TLS-Verkehr.
GHE.com: Wer die Änderung spürt
GitHub nennt als Auslöser eine Konfiguration, die ausdrücklich nur X25519 anbietet. Moderne Browser, Betriebssysteme, die GitHub CLI und gängige TLS-Bibliotheken unterstützen P-256 bereits. Das hält ein Beitrag auf C# Corner fest. Die meisten Entwickler müssen deshalb nichts tun.
Risiken entstehen dort, wo jemand die Auswahl bewusst eingeengt hat. Das C#-Corner-Beispiel nennt Firmen-Proxys mit eingeschränkten TLS-Einstellungen, eigene OpenSSL-Konfigurationen, ältere Container-Images und CI/CD-Systeme mit fest verdrahteten Netzwerkkomponenten. Ein Build, der heute läuft, scheitert dann nach dem Stichtag beim Klonen oder beim API-Aufruf.
Testen, bevor es schiefgeht
Ein Test mit OpenSSL zeigt, ob eine Verbindung mit P-256 zustande kommt. Setze den Hostnamen deiner Instanz ein:
openssl s_client -connect <dein-ghe-host>:443 -groups P-256
Beispielbefehl nach dem Beitrag auf C# Corner.
Dabei reicht ein Test von einer Arbeitsstation nicht aus. Der Beitrag warnt davor, ein erfolgreiches Ergebnis von einem Rechner auf alle Produktivsysteme zu übertragen. Prüfe den tatsächlichen Netzwerkpfad inklusive Proxys und Gateways.
Was du bis zum 7. Oktober tust
GitHub verlangt drei Dinge:
- Aktualisiere Betriebssystem, Runtime, GitHub CLI, Proxy und TLS-Bibliotheken auf unterstützte Versionen.
- Entferne Konfigurationen, die nur X25519 zulassen.
- Stelle sicher, dass P-256 aktiv ist. P-384 ist optional.
Zudem lohnt eine Bestandsaufnahme: Welche Systeme sprechen mit der Instanz? Denke an Build-Server, Mirror-Skripte, Backup-Jobs und Sicherheitsgeräte, die den Verkehr aufbrechen. Wer ein Gerät nicht selbst verwaltet, fragt den Hersteller nach der Liste der unterstützten Gruppen.
| Prüfpunkt | Wo du suchst | Was zu tun ist |
|---|---|---|
| Proxys und Appliances | TLS-Einstellungen für ausgehenden Verkehr | P-256 in die Gruppenliste aufnehmen |
| Eigene OpenSSL-Konfigurationen | Konfigurationsdateien mit Gruppenliste | X25519-only entfernen |
| Container und CI/CD | Alte Images, fest verdrahtete Bibliotheken | Basis-Images und Bibliotheken aktualisieren |
Eigene Zusammenfassung der Hinweise von GitHub und C# Corner.
Ein ähnlicher Fristendruck gilt bei anderen Plattformen, etwa beim Pflicht-Upgrade von Entra Connect Sync. Trage beide Termine in deine Änderungsplanung ein.
Fazit
Die Änderung trifft nur Umgebungen mit bewusst eingeschränkter Auswahl, dort aber ohne Vorwarnung am Stichtag. Prüfe Proxys, Container und CI-Systeme jetzt und aktiviere P-256. Wenn das Ergebnis sicher sein soll, teste den echten Pfad und nicht nur deinen Laptop.
GitHub hat die Meldung am 30. September 2026 veröffentlicht. Ein späteres Update nennt die Quelle nicht.
Quellen: GitHub Changelog, C# Corner. Foto: blickpixel / Pixabay. Stand: 30. September 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.