S/MIME E-Mail Verschlüsselung – FAQ Die S/MIME Verschlüsselung wurde für mein Postfach eingerichtet - sind alle meine Mails nun automatisch verschlüsselt?
Nein. Dafür muss das Gegenüber auch Mailverschlüsselung einsetzen und die Zertifikate müssen ausgetauscht worden sein. Danach kann verschlüsselt kommuniziert werden.
Was ist dann mit automatischer Verschlüsselung gemeint?
Nachdem ich mit dem Empfänger durch eine Kontaktaufnahme per E-Mail die Zertifikate ausgetauscht habe, werden die Mails automatisch verschlüsselt. Ich muss keinen extra Knopf drücken, sondern nur das für die Verschlüsselung freigeschaltete Postfach als Absender auswählen.
Woran sehe ich, ob ich mit dem Empfänger bereits verschlüsselt kommunizieren kann?
Die S/MIME-Signatur an sich erkennen Sie in Outlook direkt am Hinweis "Signiert von <E-Mail Adresse>" und anhand dieses Icons:
Ob eine eingegangene E-Mail verschlüsselt war, ist daran zu erkennen, dass im Betreff dann der Zusatz "[Secure]" steht.
Kann ich auch E-Mails schicken an Empfänger, die unverschlüsselt kommunizieren?
Mails an Adressen, die nicht am S/MIME Verfahren teilnehmen, werden unverschlüsselt (aber signiert) versendet. Die Inhalte sind dann entsprechend restriktiv zu gestalten gemäß den jeweils gültigen Vorgaben des Datenschutzes.
Wie erhalte/ sende ich ein S/MIME Zertifikat?
Wenn eine eingehende E-Mail S/MIME-signiert ist (also mit dem Zertifikat eines Absenders), speichert das zentrale S/MIME E-Mail Gateway das Zertifikat automatisch.
Umgekehrt: wenn man einmal eine signierte E-Mail sendet, hat der Empfänger das S/MIME-Zertifikat des Absenders vorliegen und kann ab dann E-Mails verschlüsselt an mich senden.
Manche Leistungsträger nutzen ein sogenanntes Domainzertifikat. Im Falle eines Domainzertifikats müssen wir dieses nur einmalig auf unserem E-Mail Gateway manuell importieren (i.d.R. hat es eine Gültigkeit von mehreren Jahren).
Beispiel: es gibt ein Domain-Zertifikat für die Domain der Deutschen Rentenversicherung „drv-bund.de“ und dieses ist auf dem zentralen MailGateway hinterlegt. Dann gilt für alle Absender, die Mailadressen haben, welche auf @drv-bund.de enden, dass E-Mails an diese Empfänger automatisch verschlüsselt werden.
Wie ist der technische Ablauf?
Das Ganze läuft komplett im Hintergrund über einen zentralen Server ab (S/MIME E-Mail Gateway). Dieser wird im Mailfluss dazwischengeschaltet und übernimmt sowohl das Signieren von E-Mails als auch das Ver- und Entschlüsseln - alles nach S/MIME-Standard.
Sobald eine E-Mail von einer der E-Mail-Adressen versendet wird, für die das Ganze eingerichtet ist, wird diese automatisch S/MIME-signiert. Somit erhalten die Empfänger auch das entsprechende S/MIME-Zertifikat des Absenders, um damit wiederum E-Mails verschlüsseln zu können.
Wenn vom Empfänger auf diesem zentralen S/MIME-Gateway schon ein S/MIME-Zertifikat vorliegt, werden die ausgehenden E-Mails auch automatisch verschlüsselt und wenn nicht, werden sie ganz normal unverschlüsselt (aber signiert) gesendet.
Damit ein Zertifikat vorliegt, reicht es schon, wenn irgendwann einmal eine S/MIME-signierte E-Mail von dieser Person eingegangen ist - egal, an welche E-Mail-Adresse Ihrer Domäne. Wenn eine eingehende E-Mail S/MIME-signiert ist (also mit dem Zertifikat eines Absenders), speichert dieses zentrale S/MIME E-Mail Gateway das Zertifikat automatisch.
Eingehende verschlüsselte E-Mails werden automatisch auf diesem zentralen Server entschlüsselt und kommen dann bereits entschlüsselt in Outlook an. Somit entfällt auch das Importieren des zum S/MIME-Zertifikat passenden privaten Schlüssels auf z. B. Smartphones.
Muss ich mein Zertifikat nach Ablauf erneuern?
Die Mitarbeitenden müssen nichts aktiv machen und sich auch nicht darum kümmern, dass die Zertifikate, die immer ein Jahr gültig sind, erneuert werden. Das passiert im Hintergrund automatisch.
Ein Anbieter benötigt mein Zertifikat als Datei, um es in seinem System zu hinterlegen. Was muss ich tun?
Sofern es dem Anbieter noch nicht bekannt ist, kann dieser auf www.openkeys.de verwiesen werden. Dort kann dieser nach Ihrer Mailadresse suchen und das gewünschte Zertifikat herunterladen.