Seit dem 1.8.2023 erfolgt die Beantragung von Nutzerzertifikaten für E-Mail über GÉANT/TCS/Sectigo und nicht mehr über die DFN-PKI (Deutsches Forschungs Netz - Public Key Infrasturktur). Sie können Ihr altes DFN-PKI Nutzerzertifikat bis zum Ende der Gültigkeit weiter verwenden. Das Root-Zertifikat der neuen Zertifikate von Sectigo ist ebenfalls in allen gängigen E-Mail Programmen und Webbrowsern verankert.

Im Folgenden ist beschrieben, wie Mitglieder der Universität Ulm personengebundene Nutzerzertifikate erhalten und in ihrem E-Mail-Programm einrichten können. Mit dem Nutzerzertifikat können E-Mails elektronisch unterschrieben (signiert) werden. Dies bietet den Vorteil, dass die Kommunikationspartner verifizieren können, ob eine E-Mail auch wirklich von dem behaupteten Absender stammt, also authentisch ist.

Die Zertifikatserstellung erfolgt über TCS (Trusted Certificate Service). Dieser ist ein PKI-Angebot (Public Key Infrastructure), welches der DFN-Verein (Deutsches Forschungsnetz) über GÉANT bezieht. GÉANT realisiert den Dienst mit Hilfe des externen Anbieters Sectigo.

Die Schritte 1 bis 3 dieser Anleitung bauen aufeinander auf und müssen sequenziell durchlaufen werden. Beachten Sie bitte auch die Hinweise weiter unten am Ende dieser Webseite.

Nutzerzertifikate erzeugen & verwalten

Schritt 1: Entitlement beantragen
Schritt 2: Nutzerzertifikat erstellen
Schritt 3: E-Mail Programm einrichten
Zertifikat erneuern

• Die Anleitung wurde für den Browser Firefox geschrieben und getestet und ist nur für Mitglieder der Universität Ulm geeignet.
• Zertifikate werden nur für "@uni-ulm.de" E-Mail-Adressen ausgestellt.
• Elektronische Unterschriften mittels der so erstellten Zertifikate sind nicht rechtsverbindlich.
• Die maximale Laufzeit für Nutzerzertifikate beträgt 2 Jahre (Stand Sept. 2023). Zur Erneuerung muss ein neues Zertifikat erzeugt werden.
• Wenn Sie Ihren privaten Schlüssel verlieren bzw. wenn Sie Ihr Keystore-Passwort vergessen, dann führt das zwingend zum Verlust aller mit Ihrem öffentlichen Zertifikat verschlüsselten Dateien und E-Mails. Sie sollten daher unbedingt ein Backup Ihres privaten und öffentlichen Schlüssels (am besten im pkcs12-Format mit Endung .p12) erstellen, sobald Sie das Zertifikat erhalten haben. Verwahren Sie das Keystore-Passwort an einem sicheren Ort. Es gibt keine Möglichkeit, Ihren privaten Schlüssel oder Ihre Daten zu rekonstruieren! Selbst wenn die Daten in einem Backup gesichert sind, können diese ohne den privaten Schlüssel und das Keystore-Passwort nicht rekonstruiert werden!
• Sofern E-Mails oder Dateien existieren, die mit einem alten, bereits abgelaufenen oder gesperrten Zertifikat verschlüsselt wurden, darf der alte Schlüssel nicht gelöscht werden. Ohne den alten Schlüssel verlieren Sie den Zugriff auf die entsprechenden E-Mails bzw. Dateien!
• Im Prinzip kann der Zertifikatsantrag auch mit anderen Browsern gestellt werden, z.B. Chrome, Edge oder Safari. Das Verfahren ist weitgehend unabhängig vom gewählten Browser. Die Anleitung wurde nur für den Firefox getestet.