Firefox RPM: Updates schlagen nach GPG-Schlüsselwechsel auf Fedora 42 und älter, RHEL, SUSE fehl

Zusammenfassung

Mozilla hat für Firefox-RPM-Pakete, Linux-Tarballs und Prüfsummendateien auf einen neuen GPG-Signatur-Subkey gewechselt und den bisherigen Schlüssel widerrufen. Auf manchen RPM-Distributionen kann die Paketverwaltung den Schlüssel nicht selbst ersetzen, sodass Firefox-Updates fehlschlagen. Mozilla dokumentiert eine manuelle Umgehung.

Symptome

Auf Fedora 42 und älter sowie RHEL/Rocky/Almalinux schlagen Updates mit "Import of the key didn’t help, wrong key?" oder "The GPG keys listed for the mozilla repository are already installed but they are not correct for this package" fehl. Auf openSUSE/SUSE-basierten Distributionen schlagen Updates mit "Signature verification failed" oder "NOKEY" fehl.

Betroffen

• Fedora 42 und älter
• RHEL, Rocky Linux, AlmaLinux
• openSUSE/SUSE-basierte Distributionen
• Nicht betroffen: Fedora 43 und neuer (dnf lädt den neuen Schlüssel herunter, der Import muss bestätigt werden). Thunderbird hat keine offiziellen RPM-Pakete.

Workaround

1. Fedora 42 und älter, RHEL/Rocky/Almalinux: zuerst den alten Schlüssel entfernen: sudo rpm -e --allmatches gpg-pubkey-14f26682d0916cdd81e37b6d61b7b526d98f0353
2. Neuen Schlüssel importieren: sudo rpm --import https://packages.mozilla.org/rpm/firefox/signing-key.gpg
3. Ausführen: sudo dnf clean all
4. openSUSE/SUSE: Schritte 1 und 2 gleich ausführen, danach: sudo zypper refresh
5. Den alten Schlüssel immer vor dem Import entfernen; sonst kann rpm --import Erfolg melden, obwohl der Schlüssel nicht aktualisiert wird.
6. Auf Fedora 43 und neuer den Schlüsselimport beim nächsten Update nur bestätigen, wenn der Fingerprint 827E 6586 0867 9618 CD34 9F93 678E 455D 7676 7AA3 übereinstimmt.

Lösung

Noch nicht behoben. Die Paketverwaltungen der betroffenen Distributionen können den Schlüssel nicht automatisch ersetzen; die manuellen Schritte sind nötig.

Empfehlung

Wenden Sie die dokumentierten Schritte auf betroffenen RPM-basierten Arbeitsplätzen und Servern an und prüfen Sie den Fingerprint des neuen Schlüssels vor der Bestätigung. Wenn Sie Mozilla-GPG-Signaturen manuell prüfen, importieren Sie den neuen Schlüssel und den Widerruf des alten; mit dem alten Schlüssel signierte Releases lassen sich danach nicht mehr verifizieren.

Quellen

• Updated GPG key for signing Firefox and Thunderbird Releases (Mozilla Security Blog) Hersteller · blog.mozilla.org
• Mozilla Firefox RPM signing key Hersteller · packages.mozilla.org

Aus den genannten Quellen zusammengestellt und übersetzt mit AI (Claude); Status und Daten stammen vom Hersteller. Massgebend sind die Angaben des Herstellers. Aktualisiert 01.11.2026 15:57.