PKCS#7-Dateien öffnen: was die Endungen P7S, P7M, P7C und P7B bedeuten

Eine PKCS7-Datei öffnen heißt erst einmal: herausfinden, was in dem Umschlag steckt. Hinter dem Namen verbirgt sich eine Familie von Dateitypen, die alle denselben Standard nutzen – PKCS#7, heute CMS genannt. Manche Mitglieder tragen ein Dokument, manche nur eine Signatur, manche nur Zertifikate. Diese Seite zerlegt die Endungen .p7s, .p7m, .p7c, .p7b und .p7e und erklärt zu jeder, wie Sie sie öffnen.

Was sind PKCS7-Dateien?

PKCS#7 wurde bei RSA Laboratories entworfen und 1998 als RFC 2315 veröffentlicht; die weiterentwickelte, aktuelle Fassung heißt Cryptographic Message Syntax (CMS) und steht in RFC 5652. Der Standard beschreibt einen Umschlag, mit dem man beliebige Inhalte digital signieren, verschlüsseln oder beglaubigen kann. Zwei Eigenschaften bestimmen alles Weitere: Der Umschlag kann das Dokument mitführen oder die Signatur getrennt vom Dokument ablegen – dieser Fall heißt im Englischen detached signature. Und Umschläge lassen sich ineinanderschachteln: eine signierte Datei, die ein zweiter Unterzeichner noch einmal signiert, ist kein Fehler, sondern Normalfall. Schon der alte PKCS#7-Text deckt damit auch reine Zertifikatssammlungen ab – die Spezifikation nennt das einen degenerierten Fall der Syntax.

Die maßgebliche Zuordnung für Dateien aus dem E-Mail-Verkehr liefert die aktuelle S/MIME-Spezifikation RFC 8551: Sie ordnet jeder CMS-Art ihre dreistellige Endung zu und empfiehlt als Dateinamen-Basis „smime“ – daher smime.p7m und smime.p7s.

Welche Endung gehört zu welchem Inhalt?

Die folgende Tabelle entspricht der Zuordnung aus RFC 8551; die beiden letzten Zeilen ergänzen die Praxis. Reine Zertifikatsketten (.p7b) beschreibt etwa die Microsoft-Dokumentation zu Zertifikatsdateien; .p7e ist eine inoffizielle Endung für verschlüsselte Umschläge.

Zwei Klarstellungen. Erstens .p7b: Microsoft beschreibt diese Dateien als Textcontainer mit einer Kette von Zertifikaten, etwa für den Import auf Servern – ein Dokument oder eine Signatur über ein Dokument ist darin nicht enthalten. Zweitens .p7e: Die RFC-Tabelle kennt diese Endung nicht, sie weist verschlüsselten Umschlägen .p7m zu; wer einer .p7e-Datei begegnet, behandelt sie wie eine verschlüsselte .p7m.

Ein realistisches Fundbeispiel: Ein Rechnungsportal stellt zwei Dateien bereit, rechnung-2025-04.pdf und dazu rechnung-2025-04.p7s. Die Signaturdatei allein zeigt oben im Feld nur die Unterzeichnerdaten; mit dem PDF daneben erscheint der Abgleich. Kam dagegen nur rechnung-2025-04.pdf.p7m an, steckt das Dokument schon im Umschlag – dann genügt die Dateiauswahl oben.

Wie öffnen Sie welche Datei?

Die drei praxisrelevanten Fälle, jeweils kurz:

• Signierte .p7m: Wählen Sie die Datei in der Dateiauswahl oben. Das eingebettete Dokument und die Unterzeichner erscheinen auf Ihrem Gerät; eine Schlüsseldatei ist nicht nötig. Ausführlich steht es bei P7M-Datei öffnen.
• Signatur .p7s: Die Datei allein zeigt nur, wer signiert hat. Legen Sie im zweiten Feld das Originaldokument dazu; der Browser vergleicht den Hashwert und zeigt, ob Signatur und Datei zusammengehören. Das Verfahren steht auf der Startseite P7S Datei öffnen.
• Verschlüsselte .p7m oder .p7e: Ohne den privaten Schlüssel des Empfängers bleibt der Inhalt verschlossen. Mit Ihrer Schlüsseldatei (.p12, .pfx oder PEM) und deren Passwort öffnet die Seite die Datei; Schlüssel und Passwort werden dabei nicht übertragen. Der ausführliche Weg ist P7M entschlüsseln.

Per Doppelklick wird aus keiner dieser Dateien ein PDF – die Hülle muss erst gelöst werden; ab wann das Dokument ohnehin schon als PDF vorliegt und was dann möglich ist, beantwortet P7S und PDF. Reine Zertifikatssammlungen (.p7c, .p7b) sind dagegen kein Fall für einen Signaturbetrachter: Sie enthalten keine Signatur über ein Dokument, nur Zertifikate.

Warum Sie den Endungen nicht trauen können

RFC 8551 empfiehlt die Dateiendungen nur, damit Mailprogramme und Zwischenstationen die Art der Anlage erkennen; die Spezifikation verlangt ausdrücklich, dass eine korrekte Implementierung den Medientyp verwendet und sich nicht auf die Dateiendung verlässt. Für Sie heißt das:

• Eine Datei kann umbenannt oder falsch benannt sein – .pdf statt .p7m, ganz ohne Endung, oder als Base64-Text mit PEM-Umrandung.
• Der Inhalt bleibt derselbe: Die Bytes im Inneren sagen die Wahrheit, der Name nicht.
• offnenp7s.de prüft deshalb den Inhalt: Die Seite erkennt signierte, verschlüsselte und verschachtelte Umschläge anhand der Bytes und wickelt Base64- und PEM-Textformen automatisch auf.

Heißt die Anlage smime.p7s oder smime.p7m, stammt sie aus einer signierten oder verschlüsselten E-Mail; die Herkunft der Namen erklärt Dateiendung P7S, der einzelne Fall führt zu Anhang smime.p7s.

Vier Namen, eine Technik

Dieselbe Technik, vier Blickwinkel:

• PKCS#7 – der alte Name des Umschlagformats (RFC 2315).
• CMS – die aktuelle Fassung des Formats, als Internet-Standard in RFC 5652 beschrieben.
• S/MIME – die Regel, wie solche Umschläge als E-Mail-Anhang reisen (RFC 8551); daher smime.p7m und smime.p7s.
• CAdES – die europäische Normfamilie EN 319 122 für Langzeit-Signaturen auf CMS-Basis, herausgegeben von der europäischen Normungsorganisation ETSI. Eine signierte Rechnung oder Behördenmail steckt oft als CAdES-Umschlag in .p7m oder .p7s. Was CAdES neben PAdES und XAdES ist, vergleicht die Seite CAdES, PAdES, XAdES.

PKCS7-Datei öffnen, oben im Feld

Sie haben eine Datei mit einer dieser Endungen? Wählen Sie sie oben aus. Bei einer signierten .p7m sehen Sie Dokument und Unterzeichner, bei einer .p7s nach dem Hinzufügen des Originals den Abgleich. Mit einem kostenlosen Konto erscheinen Übersicht, Vorschau der ersten Seite und die Signaturdaten; das vollständige Dokument inklusive Download ist kostenpflichtig. Die Datei wird dabei auf Ihrem Gerät gelesen und nie hochgeladen.