<div dir="ltr">That's the weird thing: I had the new root installed all this time (I checked multiple times). Only deleting the old intermediates instead of the root helped. Do you also check all the intermediate paths?<div>So the path to verify was SERVER->INTERMEDIATE(R3 signed by DST Root)->DST ROOT, both the SERVER->INTERMEDIATE (R3 signed by ISRG Root X1)->ISRG ROOT (cross-signed by DST), or the 

SERVER->INTERMEDIATE (R3 signed by ISRG Root X1)->ISRG ROOT (self-signed) never happened.<br><div>Best,</div><div>Anze</div></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Thu, Jan 6, 2022 at 3:30 PM Werner Koch <<a href="mailto:wk@gnupg.org">wk@gnupg.org</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">On Thu,  6 Jan 2022 12:02, Anze Jensterle said:<br>
<br>
> Any idea why? I suspect it has to do with old intermediates being<br>
> crosssigned as well.<br>
<br>
If you don't have the current LE root certificate the old certification<br>
path is tried.<br>
<br>
<br>
Shalom-Salam,<br>
<br>
   Werner<br>
<br>
-- <br>
Die Gedanken sind frei.  Ausnahmen regelt ein Bundesgesetz.<br>
</blockquote></div>