S/MIME

S/MIME-Grundlagen 🔗

Bei S/MIME verschlüsselt der Absender eine E-Mail mit dem Zertifikat des Empfängers.
Nur die Person mit dem zu dem Zertifikat gehörigen privaten Schlüssel kann eine solche E-Mail öffnen.
Der Absender muss dazu zunächst das passende, aktuelle Zertifikat des Empfängers beziehen.

Für den Bezug existieren verschiedene Wege. Firmenintern funktioniert der Bezug typischerweise automatisch über die Globale Adressliste (GAL).
Für externe Kontakte können Zertifikate zum Beispiel über globaltrustpoint.com bezogen werden.
Alternativ können Abender und Empfänger zunächst signierte E-Mails untereinander austauschen, um die benötigten Zertifikate daraus zu beziehen.

Voraussetzungen 🔗

Signierte E-Mails 🔗

• Digitale S/MIME-Signaturen in E-Mails garantieren dem Empfänger, dass eine E-Mail auf dem Versandweg zwischen Absender und Empfänger nicht verändert worden ist.
  Ferner stellen sie sicher, dass die E-Mail tatsächlich von dem angezeigten Absender stammt.
• Um eine E-Mail digital signieren zu können, benötigen Sie zunächst ein S/MIME-Zertifikat inkl. dem zugehörigen privaten Schlüssel für die Absender-Adresse.
• Nach Erhalt Ihres Zertifikats müssen Sie dieses gemäß der Anleitung importieren und in Outlook classic entsprechend einbinden.
• Nachdem beide Schritte abgeschlossen sind, ist bei neu verfassten E-Mails im Menüband unter „Optionen“ der Punkt „Signieren“ auswählbar:
  
• Um den Erfolg des Imports zu überprüfen, verfassen Sie eine neue, signierte E-Mail an sich selbst und versenden diese. Sobald Sie diese E-Mail empfangen, sollten die folgenden Schaltflächen angezeigt werden:
  

Verschlüsselte E-Mails 🔗

Verschlüsselte E-Mails werden vom Absender mittels dem S/MIME-Zertifikat des Empfängers verschlüsselt.
Nur Personen, die im Besitz des zum Verschlüsselungszertifikat gehörigen privaten Schlüssels sind, können solche E-Mails öffnen.

Sie als Empfänger verschlüsselter E-Mails 🔗

• Der Absender der E-Mail hat diese Mail mit einem spezifischen S/MIME-Zertifikat verschlüsselt. Genau dieses Zertifikat (z. B. identifiziert über die Seriennummer) wird benötigt, um diese E-Mail zu öffnen.
  Es ist nicht ausreichend, irgendein Zertifikat für die Empfängeradresse zu besitzen.
• Können Sie eine verschlüsselte E-Mail nicht öffnen, die Sie erhalten haben, dann bitten Sie den Absender, Ihnen mitzuteilen, welches Zertifikat genau (inkl. Nennung der Seriennummer) der Absender für die Verschlüsselung verwendet hat.
  Überprüfen Sie dann, ob Sie genau dieses Zertifikat installiert haben. Es ist nicht ausreichend, irgendein Zertifikat für die Empfängeradresse zu besitzen.
• Löschen Sie niemals alte S/MIME-Zertifikate (oder irgendwelche anderen Zertifikate) ohne explizite Aufforderung durch einen Fachtechniker.

Beispiel: Gertrude Musterfrau hat eine verschlüsselte E-Mail an max.mustermann@domain.tld geschickt.
Ihr E-Mailclient hat für die Verschlüsselung das S/MIME-Zertifikat für max.mustermann@domain.tld mit der Seriennummer 1234 verwendet.
Das persönliche S/MIME-Zertifikat für gertrude.musterfrau@domain.tld ist hierbei nicht beteiligt.
Max Mustermann hat zwischenzeitlich ein neues S/MIME-Zertifikat für max.mustermann@domain.tld mit der Seriennummer 5678 erhalten und sein vorheriges S/MIME-Zertifikat gelöscht.
Max Mustermann kann diese empfangene E-Mail nicht öffnen.
Um diese E-Mail öffnen zu können, muss Max Mustermann sein vorheriges S/MIME-Zertifikat neu installieren, ohne dies in Outlook einzubinden.

Sie als Absender verschlüsselter E-Mails 🔗

• Sie benötigen das S/MIME-Zertifikat des Empfängers. Ihr persönliches S/MIME-Zertifikat ist hierbei nicht beteiligt.
  Fehlermeldungen an dieser Stelle zeigen nicht an, dass Ihr persönliches S/MIME-Zertifikat nicht funktional ist, sondern dass Ihr E-Mailclient kein passendes Zertifikat für den Empfänger der verschlüsselten Nachricht finden kann.
• Für firmeninterne Kontakte sollte das S/MIME-Zertifikat des Empfängers über die globale Adressliste (GAL) automatisch beim Versand bezogen werden.
• Für externe Kontakte müssen Sie das S/MIME-Zertifikat des Empfängers zunächst selbst beziehen.
  Neben dem Bezug über z. B. globaltrustpoint.com können Sie mit dem Empfänger zunächst gegenseitig signierte E-Mails austauschen.
• Liegt Ihnen das Zertifikat des Empfängers vor, können Sie für diesen Empfänger z. B. einen Outlook-Kontakt anlegen und das Zertifikat dort manuell einbinden.
  
  Bezug eines Zertifikats über globaltrustpoint.com
  
  

Dauerhafte, sichere Ablage von S/MIME-Zertifikaten 🔗

Bitte legen Sie unbedingt die erhaltenen Zertifikatsdateien zusammen mit dem erhaltenen Passwort dauerhaft und sicher ab.

Die so gespeichtern Zertifikate müssen bei jeder später nötigen Installation eines neuen Computers ebenfalls neu installiert werden.
Insbesondere sind S/MIME-Zertifikate, auch abgelaufene oder ungültige, niemals zu löschen.

Beispielsweise mittels KeePass:

1. Legen Sie einen neuen Eintrag an, indem Sie auf die Schaltfläche „Eintrag hinzufügen” klicken.
   


2. In dem sich öffnenden, neuen Fenster hinterlegen Sie einen Titel für den Eintrag, am besten versehen mit dem Ausstellungsdatum des Zertifikats.
   Hinterlegen Sie die E-Mailadresse, auf die das Zertifikat ausgestellt ist als „Benutzername“.


1. Öffnen Sie den in einer weiteren E-Mail erhaltenen Link auf das Password Link System (PWLS), mit dem Sie das zu genau dieser einen Zertifikatsdatei gehörige Passwort abrufen können.
   Klicken Sie dort auf „Passwort abholen“.
   


2. Kopieren Sie das angezeigte Passwort. Achten Sie insbesondere darauf, dass Sie das vollständige Passwort vom ersten bis zum letzten Zeichen erfassen, ohne weitere Inhalte markiert zu haben.
   


3. Hinterlegen Sie das kopierte Passwort in Keepass im Feld „Passwort“.
   


4. Wechseln Sie auf den Reiter „Erweitert”.
5. Klicken Sie auf die Schaltfläche „Anhängen“ und dort auf die Schaltfläche „Datei(en) anhängen...”
   


6. Schließen Sie die Anlage des neuen Eintrags ab, indem Sie die Schaltfläche „OK“ anklicken.
7. Speichern Sie Ihren Keepass-Container.

FAQ 🔗

Verschlüsselungsprobleme

Fehlermeldung: „Beim Verschlüsseln dieser Nachricht für die aufgeführten Empfänger sind Probleme aufgetreten. Entweder ist das Zertifikat nicht vorhanden oder ungültig, oder die Verschlüsselung ist inkompatibel oder wird nicht unterstützt.“

Häufigste Ursache: Der E-Mail-Client des Absenders kann ein aktuelles Zertifikat für die E-Mailadresse des Empfängers nicht finden.

Lösung: Beziehen Sie das aktuelle Zertifikat des Empfängers entweder über z. B. globaltrustpoint.com oder vom Empfänger selbst. (s. o. Sie als Absender verschlüsselter E-Mails)