Warum Thunderbird smime.p7s als Anhang zeigt und was dahintersteckt

smime.p7s in Thunderbird ist meist weder Fehler noch Bedrohung: Die Datei ist die Signatur einer S/MIME-Mail. Thunderbird bearbeitet signierte Mails grundsätzlich selbst und meldet den Status zur Nachricht. Erscheint die Datei trotzdem als Anhang, wurde der Signaturteil auf dem Weg zu Ihnen nicht als Signatur verstanden – etwa über eine Weiterleitung oder ein Gateway. Geöffnet wird sie hier im Browser, ohne dass die Datei Ihr Gerät verlässt.

Wie Thunderbird signierte Mails verarbeitet

Das Thunderbird-Team hat mit Version 115.0 die Prüfung verschärft: Signaturen, die mit dem als unsicher geltenden Verfahren SHA-1 erzeugt wurden, lehnt Thunderbird ab und meldet die Signatur als ungültig. Nach Angabe des Teams versenden auch einige Behörden weiterhin Mails mit SHA-1. Zwei Punkte helfen bei der Einordnung:

• Im Quelltext der Mail steht bei betroffenen Sendungen micalg=sha-1 oder micalg=sha1 in der Signaturzeile. Der Rat des Thunderbird-Teams: den Absender bitten, auf SHA-256 umzustellen.
• Seit Version 115.4.1 gibt es eine konfigurierbare Ausnahme über den Konfigurationseditor (mail.smime.accept_insecure_sha1_message_signatures). Der Umstellung auf SHA-256 arbeitet das Team selbst vor: Thunderbird signiert ausgehende Mails schon seit Längerem mit SHA-256.

Diese Ausnahme sollten Sie nur bewusst aktivieren, denn sie nimmt ein bekanntes Sicherheitsrisiko in Kauf. Der Hintergrund, den das Thunderbird-Team angibt: SHA-1 gilt heute in fast allen Anwendungsgebieten als unsicher, die Möglichkeit gefälschter Signaturen ist nicht ausgeschlossen. Wer eine betroffene Mail erhält, kann den Text weiterhin ganz normal lesen; auf die kryptografische Zusicherung sollten Sie beim alten Verfahren aber nicht bauen. Umgekehrt gilt: Eine mit SHA-256 signierte Mail ist dadurch nicht automatisch vertrauenswürdig – die Aussage bezieht sich nur auf die Technik des Nachweises.

Warum smime.p7s in Thunderbird als Anhang erscheinen kann

RFC 8551 sieht für klar signierte Mails zwei getrennte MIME-Teile vor: den lesbaren Nachrichtenteil und die Signatur als eigene Einheit mit dem üblichen Dateinamen smime.p7s. Ein Client, der S/MIME beherrscht, ordnet die beiden Teile zusammen. Ein Gateway oder ein Weiterleitungsschritt ohne dieses Wissen behandelt die Signatur als gewöhnliche Datei und legt sie als Anhang ab; genau diesen Fall beschreibt der Standard, wenn er festhält, dass an einer Vermittlungsstelle ohne S/MIME-Kenntnis aus der Signatur ein generischer Anhang wird und ihr Typ verloren geht. Der Anhang ist also eine Signatur ohne Deutung, kein zweiter Nachrichtentext. Je nach Postfach sieht die Ablage anders aus: Bei Gmail und bei GMX erscheint dieselbe Dateiart, nur in anderer Oberfläche; Outlook und Yahoo Mail haben eigene Anleitungen.

Ein typischer Weg dahin: Eine signierte Mail wird weitergeleitet oder über einen Dienst umgeleitet, der die Zweiteilung nicht erhält; zurück bleibt eine lesbare Nachricht plus eine lose Datei namens smime.p7s. Auch das Absichern einer Mail als Datei, etwa für ein Archiv, kann die Struktur sprengen. In all diesen Fällen ist nichts beschädigt: Die Signatur liegt dann als separate Datei vor und muss eben dort gelesen werden, wo Dateiinhalte angesehen werden können.

Was Thunderbird zeigt und was die Datei sagt

Ob Thunderbird eine Signatur akzeptiert, hängt von den Zertifikaten ab, die dem Programm bekannt sind; die Kette reicht nach Darstellung des BSI bis zur Wurzel-Zertifizierungsstelle. Wollen Sie stattdessen in die Datei selbst schauen, zeigt offnenp7s.de, was sie enthält: Unterzeichner, ausstellende Stelle, Zeit der Signatur und die kryptografischen Angaben. Die Übersicht der typischen Anzeigefälle:

Wichtig bleibt die Grenze: offnenp7s.de prüft nicht gegen Vertrauenslisten und kontrolliert keinen Widerruf; ein Prüfhaken für gültig wird bewusst nicht angezeigt. Für die formale Prüfung verweist die Seite auf den Validierungsdienst der EU-Kommission. Wer die Zertifikatsangaben nur lesen will, findet bei S/MIME-Zertifikat die Hintergrundseite; was der Anhang überhaupt bedeutet, steht bei Anhang smime.p7s. Dabei zeigt die Seite auch die Zertifikatskette, soweit die Datei sie enthält, den Signaturzeitpunkt und die Algorithmen – schwache Verfahren wie SHA-1, bei denen Thunderbird 115 nachgeschärft hat, werden so sichtbar.

Für das Signieren in Thunderbird gilt außerdem: Wer im Sinne der EU-Verordnung eIDAS qualifiziert signieren will, braucht mehr als das Mail-Programm – ein qualifiziertes Zertifikat und eine qualifizierte Signaturerstellungseinheit; dafür sind Vertrauensdiensteanbieter zuständig. Die Begriffe sortiert die Seite Qualifizierte elektronische Signatur.

smime.p7s in Thunderbird ansehen, Schritt für Schritt

1. Speichern Sie den Anhang aus dem Postfach auf dem Gerät, so wie Sie es bei jeder Datei tun würden.
2. Öffnen Sie diese Seite im Browser Ihres Computers oder Smartphones – ein Zusatzprogramm brauchen Sie nicht.
3. Wählen Sie die Datei in der Dateiauswahl oben aus. Sie wird lokal gelesen; hochgeladen wird nichts.
4. Ergänzen Sie bei Bedarf den gespeicherten Nachrichtentext als Original; der Browser vergleicht dann den Hashwert mit der Signatur.

Ein Treffer bedeutet: Signatur und Text passen zusammen. Eine Abweichung heißt: Die Signatur gehört zu dieser Fassung nicht – etwa weil die Mail nach dem Signieren verändert wurde. Mehr als diesen Abgleich behauptet die Seite nicht; eine Beglaubigung ist das nicht.

Ein kostenloses Konto genügt für Vorschau, Zusammenfassung und die Angaben zum Unterzeichner. Das vollständige Dokument ist kostenpflichtig, einzeln je Datei oder mit Pro-Abonnement.

Über die Dateiauswahl oben zur Signatur

Öffnen Sie die smime.p7s aus Ihrem Thunderbird-Postfach über die Dateiauswahl oben: Die Datei bleibt auf Ihrem Gerät, das kostenlose Konto zeigt Vorschau und Signaturdaten, das vollständige Dokument ist kostenpflichtig. Ein Anhang smime.p7s neben einer signierten Mail ist damit kein Grund zur Sorge – es ist die Signatur der Mail, sonst nichts.