Citrix Workspace unter Linux: SSL- und Zertifikatsfehler richtig beheben

Überarbeitet am 8. September 2026.

Diesen Artikel habe ich ursprünglich geschrieben, nachdem ich von Linux aus auf die Citrix-Umgebung meines Arbeitgebers zugreifen wollte. Gerade im Freibad war das für mich praktisch, um Windows-Anwendungen, Firmen-E-Mail und Zeiterfassung nutzen zu können, ohne dafür zwingend einen Windows-Rechner mitzunehmen.

Damals bekam ich beim Öffnen einer ICA-Datei eine Meldung nach dem Muster:

Cannot connect to "0.0.0.2 ..."
No such file or directory. Verify your connection settings and try again.

Die damalige Lösung bestand darin, den Citrix-Zertifikatsordner zu löschen und durch einen Symlink auf /etc/ssl/certs zu ersetzen. Diesen Schritt würde ich 2026 nicht mehr pauschal empfehlen.

Warum der alte Symlink meistens nicht mehr nötig ist

Aktuelle Versionen der Citrix Workspace-App für Linux unterstützen mehrere Systempfade für CA-Zertifikate direkt. Dazu gehören unter anderem:

• /etc/ssl/certs
• /var/lib/ca-certificates
• /etc/pki/tls/certs
• /usr/local/share/cert
• und weiterhin der Citrix-eigene Pfad unter /opt/Citrix/ICAClient/keystore/cacerts.

Citrix schreibt selbst, dass früher genau deshalb Softlinks auf den System-Zertifikatsspeicher nötig waren. Dieser Workaround ist bei aktuellen Workspace-Versionen grundsätzlich nicht mehr der erste Schritt.

1. Installierte Citrix-Version prüfen

Bei einer Debian-/Ubuntu-Installation:

dpkg --list | grep -i icaclient

Alternativ zeigt Citrix selbst diesen Weg:

cat /opt/Citrix/ICAClient/pkginf/Ver.core.linuxx64

Ist die Installation sehr alt, würde ich zuerst auf eine aktuelle Citrix Workspace-App aktualisieren, bevor ich Zertifikatspfade von Hand umbaue.

2. Aktuelles DEB-Paket sauber installieren

Das passende Linux-Paket gibt es auf der offiziellen Citrix-Downloadseite. Unter Ubuntu/Debian empfiehlt Citrix die Installation mit apt, damit Abhängigkeiten mit aufgelöst werden:

sudo apt install -f ./icaclient_VERSION_amd64.deb

Den tatsächlichen Dateinamen natürlich entsprechend ersetzen.

3. System-Zertifikate aktualisieren

Wenn die Gegenstelle ein Zertifikat einer öffentlichen CA verwendet, sollte die Zertifikatskette normalerweise bereits über den Linux-Systemspeicher vertrauenswürdig sein. Unter Debian/Ubuntu kann man diesen aktualisieren:

sudo apt update
sudo apt install ca-certificates
sudo update-ca-certificates

Bei einer Firmen-CA braucht man gegebenenfalls das offizielle Stamm- oder Zwischenzertifikat des Arbeitgebers. Das würde ich nicht irgendwo aus dem Internet herunterladen, sondern von der eigenen IT beziehen.

4. Keine Zertifikatswarnung einfach wegklicken

Citrix weist darauf hin, dass Anwendungen möglicherweise zwar angezeigt werden, aber anschließend nicht starten, wenn das Zertifikat des Gateways nicht bis zu einer vertrauenswürdigen Root-CA geprüft werden kann.

Wenn ein Unternehmens-Gateway eine unvollständige Zertifikatskette liefert, kann das Problem also auch auf Serverseite liegen. Dann hilft es wenig, immer weiter am Linux-Client herumzuschrauben.

5. Citrix-Logs prüfen

Bei SSL-Problemen lohnt ein Blick in die Citrix-Logs. In aktuellen Citrix-Dokumenten taucht beispielsweise folgende Logdatei auf:

/var/log/citrix/ICAClient.log

Dort nach Begriffen wie SSL, certificate, trust oder connect suchen.

Was ist mit dem alten cacerts-Fix?

Historisch sah mein Workaround so aus:

cd /opt/Citrix/ICAClient/keystore/
sudo rm -r cacerts
sudo ln -s /etc/ssl/certs cacerts

Das lasse ich hier nur noch zur Einordnung stehen. Nicht einfach kopieren. Aktuelle Workspace-Versionen kennen den System-Zertifikatspfad bereits. Außerdem ist das pauschale Löschen eines von einem Paket verwalteten Verzeichnisses keine schöne Lösung.

Wenn es trotzdem nicht funktioniert

Dann würde ich in dieser Reihenfolge weitermachen:

1. aktuelle Workspace-App installieren,
2. Linux-Systemzertifikate aktualisieren,
3. Systemzeit prüfen,
4. Citrix-Log auswerten,
5. prüfen, ob Proxy/VPN die TLS-Verbindung beeinflusst,
6. bei Firmenzugängen die IT nach Root-/Intermediate-CA und unterstützter Linux-Version fragen.

Fazit

Mein alter Fix hat damals funktioniert, ist aber inzwischen technisch überholt. Das ist genau der Grund, warum ich solche Anleitungen regelmäßig aktualisieren möchte: Heute unterstützt Citrix die üblichen Linux-Zertifikatspfade selbst. Erst aktualisieren und sauber diagnostizieren – und nicht gleich den Citrix-Keystore löschen.

Quellen: Citrix: Installation unter Linux und Citrix: System requirements and certificates.