Dieser Abschnitt beschreibt den Import eines Global Nutzerzertifikats in den Thunderbird. Die Beschreibung ist gültig für Thunderbird ab Version 91.

Hauptpasswort (Master-Passwort) aktivieren:

Da der Keystore des Thunderbirds unabhängig von dem des Firefox ist, müssen Sie im Thunderbird erneut ein Hauptpasswort (Master-Passwort) setzen:

• Thunderbird-Menü "Extras" (Windows) bzw. "Bearbeiten" (Linux) bzw. "Thunderbird" (Mac) bzw. "Hamburger-Icon (drei waagrechte Striche)" (je nach Thunderbird-Variante und Konfiguration)
• Untermenü "Einstellungen"
• Punkt "Datenschutz & Sicherheit" (siehe (A) in der nächsten Abbildung)
• Abschnitt "Passwörter"
• Stellen Sie sicher, dass "[v] Hauptpasswort verwenden" aktiviert ist (siehe (B) in der nächsten Abbildung). Wenn dies noch nicht aktiviert war, müssen Sie beim Aktivieren das Passwort neu setzten. Durch das Hauptpasswort wird Ihr privater Schlüssel im Thunderbird-Keystore geschützt.

Zertifikatverwaltung finden:

Wenn Sie Zertifikate einsetzen, müssen Sie von Zeit zu Zeit mit der Zertifikatverwaltung von Thunderbird arbeiten. So finden Sie die Zertifikatverwaltung:

• Thunderbird-Menü "Extras" (Windows) bzw. "Bearbeiten" (Linux) bzw. "Thunderbird" (Mac) bzw. "Hamburger-Icon" (je nach Thunderbird-Variante und Konfiguration)
• Untermenü "Einstellungen"
• Punkt "Datenschutz & Sicherheit" (siehe (1) in der nächsten Abbildung)
• Abschnitt "Zertifikate" (am unteren Ende der Seite "Datenschutz & Sicherheit")
• Button "Zertifikate verwalten" (siehe (2) in der nächsten Abbildung) => dies öffnet ein neues Fenster mit der Zertifikatverwaltung

Importieren und Prüfen des Global-Nutzerzertifikates:

• Öffnen Sie die Thunderbird-Zertifikatverwaltung (siehe vorheriger Abschnitt)
• Tab "Ihre/Meine Zertifikate" (siehe (3) in der nächsten Abbildung)
• Button "Importieren" (siehe (4))
• Suchen Sie das Backup Ihres Nutzerzertifikats (Datei mit Endung p12) auf der Festplatte und importieren Sie es. Beim Import werden Sie zunächst nach dem Backup-Passwort und dann nach dem Thunderbird Keystore-Passwort gefragt. Nach dem erfolgreichen Import sollte nun Ihr neues Zertifikat unter "Ihre/Meine Zertifikate" zu sehen sein (5).
• Wählen Sie Ihr Zertifikat aus (5) - es ist dann blau hinterlegt.
• Button "Ansehen" (6) - es öffnet sich ein neuer Thunderbird-Tab "Zertifikat für IHR NAME" mit den Zertifikat-Details (7).
• Test 1: Prüfen Sie, dass die vollständige Zertifikatkette angezeigt wird (siehe (8) in der folgenden Abbildung). Die folgenden Tabs sollten vorhanden sein: "Ihr Name", "DFN-Verein Global Issuing CA", "DFN-Verein Certification Authority 2" und "T-TeleSec GlobalRoot Class 2". Wenn einer der Tabs fehlt, dann gibt es ein Problem mit der Zertifikatkette.
• Test 2: Scrollen Sie auf dieser Seite nach unten bis Sie die Abschnitte "Schlüsselverwendung" und "Erweiterte Schlüsselverwendung" sehen (9). Unter "Schlüsselverwendung" sollte der Eintrag "Digital Signature" zu finden sein. Unter "Erweiterte Schlüsselverwendung" sollen Sie den Eintrag "E-mail Protection" finden. Wenn einer dieser Einträge fehlt, ist der Import des Zertifikat fehlgeschlagen oder es wurde ein falsches Zertifikat importiert.

Wenn die beiden Tests erfolgreich sind, dann können Sie den Tab "Zertifikat für IHR NAME" und die Zertifikatverwaltung schließen und mit dem nächsten Punkt fortfahren. Wenn einer der Tests nicht erfolgreich war, dann folgen Sie bitte der Anleitung zur Problembehebung am unteren Ende des Thunderbird-Abschnitts. Kehren Sie danach bitte an diese Stelle zurück und prüfen Sie erneut, ob die entsprechenden Tests dann erfolgreich sind.

Zertifikat dem E-Mail Account zuordnen:

Nach dem Import des Zertifikats müssen Sie noch für den E-Mail Account festlegen, mit welchem Zertifikat die E-Mails unterschreiben werden.

• Thunderbird-Menü "Extras" (Windows) bzw. "Bearbeiten" (Linux) bzw. "Thunderbird" (Mac) bzw. "Hamburger-Icon" (je nach Thunderbird-Variante und Konfiguration)
• Untermenü "Konten-Einstellungen"
• Sektion "Ende-zu-Ende Verschlüsselung" (siehe (1) in Abbildung unten)
• Eintrag "S/MIME" -> "Persönliches Zertifikat für digitale Unterschrift" (2)
• Button "Auswählen ..." (3) - wählen Sie das Zertifikat aus, welches Sie per Zertifikatverwaltung importiert haben.
• Wenn Sie gefragt werden, ob Sie das Zertifikat auch für Verschlüsselung verwenden wollen, dann bestätigen Sie das mit "OK" bzw. "ja".
• Nach erfolgreicher Zuweisung sollte Ihr Zertifikat unter den beiden Einträgen "Persönliches Zertifikat für digitale Unterschrift" (2) sowie "Persönliches Zertifikat für Verschlüsselung" (4) zu sehen sein.

Jetzt sollte es möglich sein, signierte E-Mails zu schicken. Sie können den Tab "Konten-Einstellungen" schließen.

Versenden einer signierten Nachricht:

Zum Versenden einer E-Mail mit digitaler Signatur muss man neben dem Toolbar Button "Sicherheit" den Pfeil nach unten auswählen (A) und dort den Eintrag "[x] Nachricht unterschreiben" aktivieren (B). Wenn die digitale Signatur für eine E-Mail aktiviert ist, dann zeigt Thunderbird in der Statusleiste das Symbol "S/MIME" an  (C). Zum Test kann man einfach sich selbst eine signierte E-Mail schicken.

Empfang einer signierten E-Mail:

Mittels der Signatur der E-Mail Nachricht kann der Empfänger prüfen, dass diese E-Mail tatsächlich von Ihnen verschickt wurde. Außerdem ist sichergestellt, dass der Inhalt der E-Mail nicht von Dritten manipuliert wurde. Eine signierte E-Mail erkennen Sie am "S/MIME" Symbol in der Kopfzeile der E-Mail (siehe (D) in der nächsten Abbildung). Sie können das Symbol auch anklicken, um mehr Detail zur Signatur zu erfahren.

Offiziell unterstützen wir Firefox und Thunderbird. Das prinzipielle Vorgehen mit den Programmen Safari und Mac E-Mail ist ähnlich. Die folgende Beschreibung erklärt, wie man das Backup des Zertifikats und den privaten Schlüssel im Mac E-Mail Programm verfügbar macht. Bei Problemen mit Safari und Mac-E-Mail wenden Sie sich bitte an Ihren lokalen Administrator.

Bitte beachten Sie unbedingt die Hinweise zu den Risiken, die bei Verwendung der Verschlüsselungsfunktion entstehen. Bitte beachten Sie auch, dass zum Verschlüsseln von Nachrichten der öffentliche Schlüssel des Empfängers benötigt wird (siehe hierzu Suche nach Nutzerzertifikaten). Der nun folgende Text beschreibt, wie man mit dem Zertifikat eine E-Mail signiert.

Die Mac-Schlüsselbundverwaltung: Auf Apple Rechnern werden die Zertifikate zentral im Schlüsselbund verwaltet. Sowohl der Web-Browser Safari als auch das Mac-Mail-Programm verwenden gemeinsam die im Schlüsselbund gespeicherten Zertifikate. Die Mac-Schlüsselbundverwaltung erreichen Sie über "Finder => Programme => Dienstprogramme => Schlüsselbundverwaltung". Alternativ können Sie auch einfach nach "Schlüsselbundverwaltung" im Spotlight suchen. Die für E-Mails relevanten Zertifikate sind im Schlüsselbund mit dem Namen "Anmeldung" gespeichert. Dieser Schlüsselbund ist durch das Login-Passwort Ihres Mac Accounts gesichert. Wenn Sie Objekte im Schlüsselbund hinzufügen oder ändern möchten, dann müssen Sie dies durch Eingabe des Login-Passworts Ihres Mac Accounts bestätigen.

Import des Zertifikats und des privaten Schlüssels in die Mac-Schlüsselbundverwaltung: In Schritt 2 dieser Anleitung haben Sie ein Backup des Zertifikats und des privaten Schlüssels in einer Datei mit dem Namen "Vorname_Nachname_Datum.p12" abgelegt. Öffnen Sie nun die Schlüsselbundverwaltung und importieren Sie dieses Backup. Es gibt mehrere Möglichkeiten, das Backup zu importieren. Zum Beispiel können Sie die Backupdatei per Drag&Drop in den Listen-Bereich des Schlüsselbunds "Anmeldung" ziehen. Ebenso sollte ein Doppelklick auf die Datei den Import starten. Während des Imports müssen zwei Passwörter eingegeben werden: Zuerst das Passwort, welches das Backup schützt - dieses haben Sie in Schritt 2 beim Speichern des Backups vergeben. Danach werden Sie nach dem Login-Passwort Ihres Mac Accounts gefragt, da dieses auch die Mac-Schlüsselbundverwaltung schützt.

Verifikation des Zertifkiat-Imports: Im Bereich "Anmeldung (1) -> Alle Objekte (2)" der Schlüsselbundverwaltung sollten jetzt zwei neue Einträge (zwei Zeilen) mit Ihrem Namen zu finden sein (siehe (3) in der Abbildung oben): Ein Eintrag "Privater Schlüssel" und ein Eintrag "Zertifikat". Wenn diese Einträge fehlen, dann war der Import des Zertifikat-Backups nicht erfolgreich und muss wiederholt werden.

Verifikation der Zertifikat-Gültigkeit: Markieren Sie jetzt den Eintrag "Zertifikat" (siehe (3) in der Abbildung oben). Die entsprechende Zeile ist dann blau hinterlegt. Im oberen Bereich des Fensters der Schlüsselbundverwaltung finden Sie nun einige Details zu Ihrem Zertifikat, etwa Ihren Namen sowie das Ablaufdatum. Entscheidend ist der Satz "Dieses Zertifikat ist gültig" (4). Fehlt diese Meldung oder steht dort etwas anderes, dann konnte das Zertifikat nicht verifiziert werden. Um dies zu korrigieren müssen Sie die Vollständigkeit der Zertifikatkette prüfen und sicher stellen, dass dem Wurzelzertifikat vertraut wird. Die dafür notwendigen Schritte finden Sie einige Absätze weiter unten unter dem Stichwort "Problembehebung Mac". Kehren Sie danach an diese Stelle zurück und prüfen Sie erneut die Gültigkeit des Zertifikats. Fahren Sie erst fort, wenn die Gültigkeit des Zertifikats erkannt wird.

Mac E-Mail neu starten: Schließen Sie nun alle Fenster des Mac E-Mail Programms und starten Sie das Programm neu. Ohne diesen Schritt erkennt das E-Mail Programm nicht, dass ein neues Zertifikat mit privatem Schlüssel verfügbar ist.

Testen des Zertifikats: Um das Zertifikat zu testen, können Sie sich selbst eine signierte E-Mail schicken. Geben Sie Ihre eigene E-Mail Adresse als Empfänger an. Am rechten Rand des Fensters neben der Betreff-Zeile gibt es ein Symbol (gezackter Kreis mit  Haken in der Mitte), mit dem Sie die elektronische E-Mail Signatur an bzw. ausschalten können (siehe roter Kasten in der folgenden Abbildung). Wenn dieses Symbol fehlt bzw. nicht anwählbar ist, dann ist entweder der Import Ihres Zertifikats fehl geschlagen oder die Gültigkeit des Zertifikat wird nicht erkannt (siehe entsprechende Abschnitte "Verifikation" weiter oben) oder Sie haben das E-Mail Programm nicht neu gestartet. Noch ein Hinweis: Die Drop-Down Box "Signatur: Ohne" hat nichts mit der Zertifikat-basierten Signatur von E-Mail zu tun. Sie dient zum Wechsel zwischen verschiedenen Informationsblöcken am Ende einer E-Mail, z.B. mit Anschrift und Telefonnummer.

Empfang und Verifikation einer signierten E-Mail: Wenn Sie eine signierte E-Mail empfangen haben deren Signatur vom Mac Mailprogramm überprüft werden konnte, dann wird die Meldung "Signiert" mit einem kleinen Haken (siehe folgendes Bild) angezeigt. Wenn Sie diese Einträge nicht sehen, dann müssen Sie erst die Details des E-Mail-Headers einblenden.

Nicht erfolgreiche Signaturprüfung: Wenn die Signatur jedoch nicht verifiziert werden konnte, dann wird zusätzlich die folgende Meldung angezeigt:

Problembehebung Mac: Mögliche Ursachen für das Fehlschlagen der Signaturprüfung: Es gibt zwei wesentliche Gründe, die zu einem Fehlschlagen der Signaturprüfung führen können.

1. Es sind nicht alle Zertifikate der Zertifikatkette vorhanden. Die Prüfung der Signatur eines Zertifikats erfolgt über eine sogenannte Zertifikatkette. Dabei wird das jeweils untergeordnete Zertifikat durch das darüber liegende verifiziert. Dies erfolgt rekursiv bis man bei dem Wurzelzertifikat angelangt. Das Wurzelzertifikat wird oft vom Betriebssystem- bzw. Programmhersteller ausgeliefert und zusammen mit der Software aktualisiert. Fehlt nun eines der Zertifikate in der Kette, so kann die Prüfung nicht bis zum Wurzelzertifikat laufen.

2. Dem Wurzelzertifikat wird nicht vertraut. Der Ursprung des Vertrauens ist das Wurzelzertifikat. Alle diesem untergeordneten Zertifikate erben die Vertrauenseinstellungen des Wurzelzertifikats. Wird diesem nicht vertraut, dann fehlt auch das Vertrauen in die darunter liegenden Zertifikate der Kette bis hin zum Nutzerzertifikat.

Wenn also die Signaturprüfung nicht erfolgreich ist, muss man diese beiden Punkte prüfen und korrigieren. Dies gilt sowohl für das eigene Zertifikat als auch für Signaturen anderer Nutzer, z.B. wenn die Signaturprüfung einer empfangenen E-Mail fehl schlägt.

Problembehebung Mac: Prüfen und korrigieren der Zertifikatkette für Nutzerzertifikate der Universität Ulm: Dieser Abschnitt beschreibt, wie Sie die eigene Zertifikatkette prüfen und gegebenenfalls fehlende Zertifikate einfügen können. Die Beschreibung ist spezifisch für die von der Universität Ulm ausgestellten Nutzerzertifikate. Zertifikate aus anderen Quellen, zum Beispiel Nutzerzertifikate einer anderen Universität, verwenden auch eine unterschiedliche Zertifikatkette.

1. Suchen Sie nach den folgenden drei Zertifikaten im Schlüsselbund "Anmeldung" der Mac Schlüsselbundverwaltung:
   ==> T-TeleSec GlobalRoot Class 2
   ==> DFN-Verein Certification Authority 2
   ==> DFN-Verein Global Issuing CA
   Sie können die Suche mit Hilfe der Suche-Funktion oben rechts in der Schlüsselbundverwaltung durchführen.
2. Stellen Sie sicher, dass jedes dieser Zertifikate im Schlüsselbund "Anmeldung" existiert. Das heißt, dass der gesuchte Zertifikatname in der Spalte "Name" und "Anmeldung" in der Spalte "Schlüsselbund" stehen muss (siehe blau hinterlegte Zeile in Abbildung oben für Beispiel "T-TeleSec GlobalRoot Class 2").
3. Fehlt eines des Zertifikate der Kette müssen Sie dieses manuell installieren. Hierfür wechseln Sie zur DFN-PKI Webseite. Dort wechseln Sie zu dem Tab "CA-Zertifikate". Nun wählen Sie nacheinander die Sub-Tabs "Wurzelzertifikat", "DFN-PCA-Zertifikat" und "DFN-CA Global G2 Zertifikat" aus und installieren die entsprechenden Zertifikate im Schlüsselbund "Anmeldung" der Mac Schlüsselbundverwaltung.
4. Prüfen Sie zum Abschluss, dass jetzt die drei unter 1. genannten Zertifikate zu finden sind.

Problembehebung Mac: Prüfen und korrigieren der Vertrauenseinstellungen des Wurzelzertifikats: Dieser Abschnitt beschreibt, wie Sie die Vertrauenseinstellungen für E-Mail (S/MIME) des Wurzelzertifikats "T-TeleSec GlobalRoot Class 2" überprüfen und korrigieren können. Dieses Wurzelzertifikat ist für alle E-Mail-Zertifikate der DFN-PKI zuständig.

1. Suchen Sie nach dem Wurzelzertifikat "T-TeleSec GlobalRoot Class 2" im Schlüsselbund "Anmeldung" der Mac Schlüsselbundverwaltung. Sie können die Suche mit Hilfe der Suche-Funktion oben rechts in der Schlüsselbundverwaltung durchführen.
2. Suchen Sie die Zeile mit Namen "T-TeleSec GlobalRoot Class 2" und  Eintrag "Anmeldung" in der Spalte "Schlüsselbund" (siehe blau hinterlegte Zeile in der Abbildung des vorherigen Absatzes).
3. Durch einen Doppelklick auf diese Zeile öffnet sich die Detailansicht zu diesem Wurzelzertifikat (siehe Abbildung am Anfang dieses Absatzes).
4. Stellen Sie sicher, dass in der Zeile "S/MIME (Secure Mail)" der Wert "Immer vertrauen" eingestellt ist.

Nach Korrektur der Zertifikatkette sollte Ihr persönliches Nutzerzertifikat automatisch als vertrauenswürdig erkannt werden. Schließen Sie alle Fenster des E-Mail Programms und starten Sie Mac E-Mail neu. Nun sollte es möglich sein, sich selbst eine mit Ihrem eigenen Nutzerzertifikat signierte E-Mail zu schicken.

Dieses Kapitel beschreibt die Anbindung des Thunderbirds ab Version 91 an den LDAP der DFN-PKI. Über diesen LDAP kann man nach veröffentlichten Zertifikaten der DFN-PKI suchen. Die Abfrage der Zertifikate via LDAP-Anbindung bietet die Möglichkeit, einem bisher unbekannten Nutzer (Erstkontakt) unmittelbar eine verschlüsselte E-Mail zu schicken.

Alternative: Bezug von Zertifikaten durch signierte E-Mails:

Durch das Versenden einer signierten E-Mail erhält der Empfänger auch das Zertifikat. Thunderbird merkt sich solche Zertifikate automatisch. Dies ist die einfachste Möglichkeit, um an das Zertifikat des Absenders zu gelangen. Allerdings setzt dies voraus, dass vor dem Versenden einer verschlüsselten E-Mail zuerst signierte E-Mails ausgetauscht werden.

Alternative: Bezug von Zertifikaten durch die DFN-PKI Web-Zertifikatsuche:

Ohne direkte LDAP-Anbindung können Sie auch die DFN-PKI Web-Zertifikatsuche nutzen. Dort sucht man am besten über die "E-Mail" des Empfängers nach veröffentlichten Zertifikaten. Wenn ein Zertifikat gefunden wird, gelangt man durch einen Klick auf das "(i)" Icon (nicht die "Seriennummer") zu den Details des Zertifikats. Hier kann man das Zertifikat im "PEM" Format herunter laden und in den Keystore des Thunderbirds importieren.

Einrichten der LDAP-Anbindung in Thunderbird:

• Thunderbird-Menü "Extras" (Windows) bzw. "Bearbeiten" (Linux) bzw. "Thunderbird" (Mac) bzw. "Hamburger-Icon (drei waagrechte Striche)" (je nach Thunderbird-Variante und Konfiguration).
• Untermenü "Einstellungen".
• Sektion "Verfassen" (siehe (1) in der nächsten Abbildung).
• Scrollen Sie zum Abschnitt "Adressieren" (2).
• Aktivieren Sie den Punkt "[v] LDAP-Verzeichnisserver" (3).
• Klicken Sie auf "Bearbeiten" (4) - das Fenster "LDAP-Verzeichnisserver" wird geöffnet.
• Klicken Sie auf "Hinzufügen" (5) - das Fenster "Neues LDAP-Verzeichnis" wird geöffnet.

Im Fenster "Neues LDAP-Verzeichnis" (siehe nächste Abbildung) geben Sie die folgenden Daten ein:

• Bestätigen Sie die Änderungen mit einem Klick auf "OK" (F).
• Sie sollten jetzt wieder das Fenster "LDAP-Verzeichnisserver" sehen, nun mit dem Eintrag "DFN-PKI-LDAP" (G).
• Speichern Sie die Änderungen mit einem Klick auf "OK" (H).

• Abschließend müssen Sie den neuen LDAP-Dienst noch per Drop-Down Menü auswählen (siehe (K) in der nächsten Abbildung).
• Wenn Sie nun eine neue E-Mail verfassen und in der Adresszeile einen Namen eingeben, sollten automatisch auch Vorschläge durch den "DFN-PKI-LDAP" angezeigt werden. Wenn das nicht der Fall ist und es für den eingegebenen Namen mit Sicherheit ein veröffentlichtes Zertifikat gibt, dann lesen Sie bitte den nächsten Absatz (Troubleshooting).

Troubleshooting: Globale LDAP Konfiguration des E-Mail Accounts:

In diesem Abschnitt wird geprüft, ob Ihr E-Mail Account auch tatsächlich die globalen LDAP-Einstellungen verwendet.

• Thunderbird-Menü "Extras" (Windows) bzw. "Bearbeiten" (Linux) bzw. "Thunderbird" (Mac) bzw. "Hamburger-Icon (drei waagrechte Striche)" (je nach Thunderbird-Variante und Konfiguration).
• Untermenü "Konten-Einstellungen".
• Sektion "Verfassen & Adressieren" (siehe (P) in der nächsten Abbildung).
• Suchen Sie den Abschnitt "Adressieren" (Q).
• Stellen Sie sicher, dass dort "(x) Globale LDAP-Verzeichnisserver-Einstellungen verwenden" aktiviert ist (R).