Verschlüsselte P7M-Datei öffnen: nur mit dem Schlüssel des Empfängers

Eine P7M-Datei entschlüsseln heißt: den verschlossenen CMS-Umschlag mit dem privaten Schlüssel des Empfängers öffnen. Nicht jede Datei mit dieser Endung ist dafür verschlüsselt – viele enthalten nur eine Signatur um ein ohnehin lesbares Dokument. Ob Verschlüsselung vorliegt, entscheidet der Inhalt der Datei, nicht ihr Name. Ist sie verschlüsselt, hilft allein die eigene Schlüsseldatei: eine Datei nach dem Format PKCS#12 (Endung .p12 oder .pfx) oder ein PEM-Schlüssel, dazu das dazugehörige Passwort.

Was ist der Unterschied zwischen signiert und verschlüsselt?

Signatur und Verschlüsselung sind Umschläge im Format CMS, dem Nachfolger von PKCS#7, beschrieben in RFC 5652. Der Standard kennt unter anderem zwei relevante Typen: SignedData für Signaturen und EnvelopedData für verschlüsselte Nachrichten. Bei SignedData bleibt das Dokument im Umschlag lesbar; die Signatur beweist nur, wer es unterschrieben hat und dass es unverändert ist. Bei EnvelopedData ist der Inhalt selbst chiffriert – niemand außer den bezeichneten Empfängern kann ihn lesen.

Microsoft formuliert es für Outlook so: Entschlüsseln kann die Nachricht nur der Empfänger, dessen privater Schlüssel zum öffentlichen Schlüssel der Verschlüsselung passt. Jeder andere Empfänger sieht unlesbaren Text. Das ist der Kern des ganzen Themas: Es gibt kein generisches Werkzeug, das eine verschlüsselte P7M-Datei für jeden öffnet.

Beide lassen sich auch kombinieren – CMS erlaubt ausdrücklich, eine verschlüsselte Nachricht zusätzlich zu signieren. Dann brauchen Sie zum Lesen den Schlüssel, und erst danach zeigt sich, wer signiert hat.

Woran erkenne ich, dass die Datei verschlüsselt ist?

Am Dateinamen erkennen Sie es nicht. RFC 8551, die aktuelle S/MIME-Spezifikation, weist beiden Typen dieselbe Endung .p7m zu; in Mails heißt die Anlage in beiden Fällen meist smime.p7m. Der Signatur-Teil einer Mail, smime.p7s, enthält dagegen überhaupt nichts Verschlüsseltes – dort gibt es nichts zu „entschlüsseln“. Es ist die Signatur, beschrieben auf der Seite zum Anhang smime.p7s.

So gehen Sie in der Praxis vor:

• Wählen Sie die Datei in der Dateiauswahl oben. Eine nur signierte P7M gibt Dokument und Unterzeichner frei, ohne jede Nachfrage.
• Liegt EnvelopedData vor, zeigt die Seite den Zustand „verschlüsselt“ und bittet Sie um Schlüsseldatei und Passwort. Der verschlüsselte Inhalt selbst bleibt bis dahin eine Folge Bytes.
• Heißt die Anlage smime.p7m, kommt sie fast immer aus einer signierten oder verschlüsselten E-Mail; der Fall steht ausführlich unter smime.p7m.

P7M-Datei entschlüsseln mit der eigenen Schlüsseldatei

Zum Öffnen einer verschlüsselten Datei brauchen Sie zwei Dinge: den privaten Schlüssel des bezeichneten Empfängers und das Passwort, das den Schlüssel schützt. Beides zusammen liefert üblicherweise eine Datei: PKCS#12, definiert in RFC 7292 als Austauschformat für private Schlüssel und Zertifikate. Die Microsoft-Dokumentation zu Zertifikatsdateien hält fest, dass .p12- und .pfx-Dateien mit privatem Schlüssel durch ein Passwort geschützt sind. Alternativ akzeptiert die Seite einen freigegebenen Schlüssel im PEM-Textformat samt Passwort.

Woher die Datei kommt: Wer Ihnen verschlüsselte Mails schickt, hat sie an Ihr Zertifikat adressiert. Ausgestellt wurde dieses Zertifikat vom Arbeitgeber, einer Zertifizierungsstelle oder einem Anbieter – dort fragen Sie auch nach der Schlüsseldatei. Was ein S/MIME-Zertifikat ist und wo Sie es herbekommen, erklärt eigenständig die Seite S/MIME-Zertifikat; Zertifikate ausstellen kann diese Seite nicht. In Outlook exportieren Sie digitale IDs in den S/MIME-Einstellungen und vergeben dabei ein Passwort für die Datei.

So gehen Sie auf offnenp7s.de vor: Sie wählen die verschlüsselte Datei oben aus, die Seite erkennt EnvelopedData, Sie fügen Ihre Schlüsseldatei und das Passwort hinzu. Beides wird in der Seite auf Ihrem Gerät verwendet, nicht übertragen und nicht gespeichert. Ist der Schlüssel passend, erscheint das Dokument; die Unterzeichner zeigt dieselbe Übersicht an. Das Grundverfahren einer signierten Datei steht unter P7M-Datei öffnen.

Warum Smartcard und Token im Browser nicht funktionieren

Viele Unternehmenszertifikate liegen nicht als Datei herum, sondern nur auf einer Smartcard oder einem Token. Genau da endet die Reichweite jedes Browsers: Die Seite kann die Karte nicht ansprechen, sie sieht nur Dateien, die Sie auswählen. Wenn Ihre Schlüsseldatei also nirgends existiert und nur die Karte infrage kommt, öffnen Sie die verschlüsselte Mail im E-Mail-Programm, das die Kartensoftware einbindet.

Für Outlook beschreibt Microsoft das so: Zum Lesen verschlüsselter Nachrichten richten Sie das S/MIME-Zertifikat ein; es kann auf einer Smartcard liegen oder als Datei auf dem Rechner. Ist die Schlüsseldatei im Outlook-Profil eingebunden, entschlüsselt Outlook die Mail beim Öffnen selbst – eine Anlage smime.p7m taucht dann gar nicht erst als Rätsel auf. Wer nur Outlook im Web nutzt, braucht dort den S/MIME-Baustein; ohne ihn bittet Outlook beim Öffnen einer verschlüsselten Mail um die Installation. Details zum Anhang in Outlook: smime.p7s in Outlook.

Was „entschlüsseln“ hier nicht bedeutet

Zwei Verwechslungen sind häufig; beide lassen sich klar trennen. Erstens: Ein PDF mit Öffnungspasswort ist keine P7M-Datei. PDF-Schutz ist ein Mechanismus im PDF selbst; diese Seite öffnet ein PDF unverändert, sperrt aber kein Passwort ab. Was eine P7M-Hülle mit einem PDF zu tun hat und was nicht, steht unter P7M und PDF. Zweitens: Diese Seite stellt keine Zertifikate aus und kann keinen Schlüssel nachbauen, der irgendwo fehlt. Eine verschlüsselte Datei, für die niemand mehr den Empfänger-Schlüssel hat, bleibt für alle Werkzeuge verschlossen – das ist die Absicht der Verschlüsselung, kein Fehler eines Betrachters.

Entschlüsseln und lesen

Wenn Sie eine P7M-Datei entschlüsseln wollen, wählen Sie die Datei oben im Feld aus und dort anschließend Ihre .p12- oder .pfx-Datei samt Passwort. Mit einem kostenlosen Konto sehen Sie die Übersicht, die erste Seite des Dokuments und die Unterzeichner; das vollständige Dokument mit Download ist kostenpflichtig. Datei, Schlüssel und Passwort bleiben auf Ihrem Gerät: nichts davon wird übertragen oder gespeichert.