Was ein S/MIME-Zertifikat kann, wo es herkommt und wann es abläuft

Ein S/MIME-Zertifikat ist der Ausweis Ihrer E-Mail-Adresse im Netz: Es bestätigt, dass ein öffentlicher Schlüssel zu einer bestimmten Adresse und meist zu einem Namen gehört. Mit dem dazugehörigen privaten Schlüssel signieren Sie Mails und empfangen verschlüsselte Nachrichten. Beantragt wird das Zertifikat bei einer Zertifizierungsstelle – offnenp7s.de stellt keines aus, zeigt aber die Zertifikate, die in Signaturdateien wie smime.p7s stecken.

Was ein S/MIME-Zertifikat leistet

Nach RFC 8551, dem Standard für signierte und verschlüsselte MIME-Nachrichten, deckt S/MIME vier Dienste ab: Authentizität, Unversehrtheit, Nichtabstreitbarkeit mit Herkunftsnachweis durch die Signatur sowie Vertraulichkeit durch Verschlüsselung. Ein Zertifikat bindet dabei den Namen einer Person an einen öffentlichen Schlüssel. Konkret heißt das für den Alltag:

• Signieren: Ihr Mail-Programm legt die Signatur an, der Empfänger sieht, dass die Mail unverändert bei ihm ankommt und zu Ihrem Schlüssel gehört.
• Verschlüsseln: Nur wer den privaten Schlüssel besitzt, kann die Mail lesen. Für eine verschlüsselte Sendung muss Ihnen der öffentliche Schlüssel des Empfängers bekannt sein – ohne sein Zertifikat keine verschlüsselte Mail an ihn.
• Veraltete Verfahren meiden: Der Standard schreibt aktuelle Algorithmen vor; RSA-Schlüssel mit weniger als 2048 Bit stuft RFC 8551 als nicht empfohlen ein.

Ein Zertifikat, das für E-Mail gedacht ist, erkennen Mail-Programme an seiner Zweckangabe; Microsoft nennt als Beispiel für einen passenden Hinweis im Zertifikatdialog die Formulierung „Schützt E-Mail-Nachrichten“. In den Feldern stehen außerdem der Inhaber, die ausstellende Stelle, der Gültigkeitszeitraum und die Seriennummer. Genau diese Angaben zeigt offnenp7s.de, wenn Sie später eine smime.p7s öffnen.

Wer eine qualifizierte elektronische Signatur im rechtlichen Sinn sucht, braucht eine andere Zertifikatsart: das qualifizierte Zertifikat nach der EU-Verordnung eIDAS, ausgestellt von Vertrauensdiensteanbietern und in Deutschland geregelt durch das Vertrauensdienstegesetz, das 2017 das alte Signaturgesetz ablöste. Der Unterschied steht ausführlich bei Qualifizierte elektronische Signatur.

Woher bekomme ich ein S/MIME-Zertifikat – und wie aktiviere ich es in Outlook?

Es gibt zwei übliche Wege. Der erste führt über Ihre Organisation: Nach Einschätzung des BSI werden Schlüsselpaare und Zertifikate für S/MIME üblicherweise nicht von den Nutzenden selbst erzeugt, sondern von Organisationen oder Firmen ausgestellt; im Behörden- und Firmenumfeld ist S/MIME das verbreitete Protokoll. In vielen Verwaltungen und Konzernen läuft die Beantragung daher über die interne IT. Der zweite Weg führt zu einer öffentlichen Zertifizierungsstelle: Sie prüft die Kontrolle über die E-Mail-Adresse und stellt das Zertifikat aus, nach Angaben des BSI zumeist gegen Entgelt. Einzelne Stellen, etwa Actalis, bieten Basiszertifikate auch ohne Gebühr an; Preise und Bedingungen stehen beim jeweiligen Anbieter. Ein wichtiger Nebenaspekt: Ein Zertifikat gilt pro Adresse – wer mehrere Adressen signieren will, braucht mehrere Zertifikate.

Ein verbreiteter Irrtum: Let’s Encrypt, bekannt für automatische Website-Zertifikate, stellt nach eigener FAQ keine Zertifikate für E-Mail-Verschlüsselung aus; das Angebot beschränkt sich auf Domain-Validierung – und die prüft die Domain, nicht die einzelne E-Mail-Adresse.

Die Prüftiefe unterscheidet sich zwischen den Stellen: Manche bestätigen nur die Kontrolle über die Adresse, andere prüfen zusätzlich Identität oder Unternehmen; welche Stufe gilt, steht in den Bedingungen der ausstellenden Stelle. Ob die einfache Adressbestätigung genügt, hängt davon ab, wem Sie schreiben – der Nachweis, wer hinter dem Schlüssel steht, wächst mit der Prüfstufe.

Für die Einrichtung in Outlook: Sie besorgen die digitale ID bei einer unabhängigen Zertifizierungsstelle (bei Firmen- und Schulkonten oft die IT-Abteilung) und importieren sie in Outlook. In der klassischen Windows-Version führt der Weg über Datei → Optionen → Trust Center → Trust Center-Einstellungen → E-Mail-Sicherheit → Importieren/Exportieren; neue Outlook-Versionen öffnen dafür Einstellungen → Mail → S/MIME. Zum Signieren einzelner Mails wählen Sie im Verfassenfenster unter Optionen die digitale Signatur. Die vollständige Anleitung liegt bei Microsoft Support. Damit Empfänger Ihre Signatur prüfen können, senden Sie das Zertifikat bei signierten Mails am besten mit; die passende Option finden Sie in den E-Mail-Sicherheitseinstellungen.

Wie lange gilt ein Zertifikat – und was passiert beim Ablauf?

Jedes Zertifikat enthält einen Beginn und ein Ende seiner Gültigkeit. Obergrenzen setzen die Zertifizierungsstellen selbst: Am Beispiel Actalis sind Bestellung und Verlängerung auf höchstens 24 Monate begrenzt. Läuft das Zertifikat ab, beanstanden Mail-Programme neue Signaturen mit diesem Zertifikat; entschlüsseln lässt sich Vergangenes weiterhin, solange der passende private Schlüssel erhalten bleibt – ohne ihn sind verschlüsselte Alt-Mails verloren. Daraus folgt eine einfache Regel: rechtzeitig verlängern und die Schlüssel alter Zertifikate nicht löschen. Beim Beantragen bestätigt die Stelle die Kontrolle über die Adresse mit einem Link, der an genau diese Adresse geht; so beschreibt Actalis das Verfahren.

Warum Mail-Programme Zertifikate beanstanden

Viele Warnungen haben wiederkehrende Ursachen. Die Tabelle ordnet sie und zeigt, was Sie tun können:

Bei smime.p7s in Outlook und bei smime.p7s in Thunderbird stehen die passenden Anleitungen für die beiden verbreiteten Clients.

Das Zertifikat des Absenders in der smime.p7s ansehen

Weil das Absenderzertifikat üblicherweise in der Signaturdatei steckt, können Empfänger es direkt aus der smime.p7s lesen: Anhang smime.p7s erklärt die Dateistruktur, und in der Dateiauswahl oben zeigt offnenp7s.de Unterzeichner, ausstellende Stelle, Gültigkeitszeitraum und Signaturzeitpunkt – lokal auf Ihrem Gerät, ohne Upload. Die Seite prüft nicht gegen Vertrauenslisten und kontrolliert keinen Widerruf; ein Prüfsiegel gibt es bewusst nicht, und für die formale Prüfung verweist sie auf den Validierungsdienst der EU-Kommission. Auch verschlüsselte Hüllen haben ihre eigene Regel: Wie Sie eine P7M entschlüsseln, steht separat beschrieben.

Prüfen Sie Ihr Zertifikat in der Dateiauswahl oben

Wer sein S/MIME-Zertifikat frisch bekommen hat, sieht die eigene Einrichtung am besten an einer realen Signatur: Öffnen Sie die smime.p7s einer signierten Testmail in der Dateiauswahl oben und vergleichen Sie Unterzeichner, ausstellende Stelle und Zeitraum. Die Datei bleibt dabei auf Ihrem Gerät; das kostenlose Konto zeigt Vorschau und Signaturdaten, das vollständige Dokument ist kostenpflichtig. So erkennen Sie auf Anhieb, ob Ihr Zertifikat bei den Empfängern so ankommt, wie vorgesehen.