So installieren Sie ein S/MIME-Zertifikat in Outlook

Mit einem S/MIME-Zertifikat können Sie Ihre E-Mails digital signieren, sodass Empfänger erkennen können, dass die Nachricht wirklich von Ihnen stammt und nicht verändert wurde, und sie verschlüsseln, sodass nur der beabsichtigte Empfänger sie lesen kann. Es handelt sich um ein E-Mail-Zertifikat, nicht um das SSL/TLS-Zertifikat, das eine Website absichert, und beide sind nicht austauschbar, auch wenn sie beide von einer Certificate Authority stammen.

Die Einrichtung besteht aus zwei Teilen, die in Anleitungen oft miteinander vermischt werden: das Zertifikat in Windows zu installieren und Outlook mitzuteilen, dass es verwendet werden soll. Welches Outlook Sie haben, entscheidet über den zweiten Teil, denn mittlerweile gibt es drei Versionen mit drei unterschiedlichen Einstellungsbildschirmen.

Was Sie vor dem Start benötigen

• Die Zertifikatsdatei mit dem zugehörigen privaten Schlüssel. Dies ist eine PKCS#12-Datei mit der Endung .p12 oder .pfx. Sie laden sie normalerweise aus dem Konto Ihres Anbieters für E-Mail-Zertifikate herunter, nachdem Sie dem Aktivierungslink gefolgt sind, und legen dabei ein Passwort fest.
• Dieses Passwort. Ohne es kann die Datei nicht importiert werden, und es kann nicht aus der Datei wiederhergestellt werden.
• Ein Zertifikat, das auf die Adresse ausgestellt wurde, von der Sie tatsächlich senden. Outlook gleicht die E-Mail-Adresse des Zertifikats mit dem sendenden Konto ab. Ein Zertifikat, das auf eine Adresse ausgestellt wurde, signiert keine Mails von einer anderen, was für Personen mit Aliassen oder mehreren Konten in einem Profil eine häufige Überraschung ist.

Bewahren Sie die heruntergeladene Datei auf. Wenn Sie sie und den darin enthaltenen privaten Schlüssel verlieren, verlieren Sie dauerhaft die Fähigkeit, jede Nachricht zu lesen, die mit diesem Zertifikat für Sie verschlüsselt wurde. Sichern Sie sie an einem sicheren Ort, bevor Sie fortfahren.

Schritt 1: Das Zertifikat in Windows installieren

Jede Outlook-Variante liest Zertifikate aus dem Windows-Zertifikatspeicher, daher ist dieser Schritt unabhängig davon, welche Version Sie verwenden, derselbe. Das neue Outlook insbesondere erledigt dies nicht automatisch für Sie: Microsoft weist ausdrücklich darauf hin, dass es „digitale Zertifikate nicht automatisch importiert. Sie müssen das Zertifikat manuell installieren oder Ihren Administrator bitten, Richtlinien für die automatische Installation von Zertifikaten zu konfigurieren.“

1. Doppelklicken Sie auf die Datei .p12 oder .pfx. Der Zertifikatimport-Assistent öffnet sich.
2. Wählen Sie Aktueller Benutzer als Speicherort. Ein E-Mail-Zertifikat gehört Ihnen, nicht dem Computer, daher ist dies die richtige Hierarchie. Klicken Sie auf Weiter.
3. Bestätigen Sie den Dateipfad und klicken Sie auf Weiter.
4. Geben Sie das Passwort ein, das Sie beim Herunterladen der Datei festgelegt haben. Aktivieren Sie Diesen Schlüssel als exportierbar markieren, wenn Sie dieses Zertifikat später auf einen anderen Computer oder ein anderes Telefon übertragen müssen, was bei einem E-Mail-Zertifikat sehr wahrscheinlich ist. Klicken Sie auf Weiter.
5. Wählen Sie Alle Zertifikate in folgendem Speicher speichern und wählen Sie Eigene Zertifikate. Klicken Sie auf Weiter und dann auf Fertig stellen.

Überprüfen Sie, ob es korrekt gelandet ist, indem Sie den Zertifikatsmanager öffnen:

certmgr.msc

Unter Eigene Zertifikate, dann Zertifikate, sollte Ihr Zertifikat mit Ihrer E-Mail-Adresse aufgeführt sein, und seine Vorgesehenen Zwecke sollten Sichere E-Mail enthalten. Wenn dort etwas anderes steht, haben Sie ein Zertifikat installiert, das kein S/MIME-Zertifikat ist, und Outlook wird es nicht zur Auswahl anbieten.

Das klassische Outlook kann die Datei auch direkt importieren, unter E-Mail-Sicherheit, mit der Schaltfläche Importieren/Exportieren unter Digitale IDs (Zertifikate). Das funktioniert, hilft aber nur dem klassischen Outlook. Der Import in Windows deckt einmalig alle drei Varianten sowie alles andere auf dem Computer ab, das das Zertifikat benötigt.

Schritt 2: Outlook mitteilen, dass es verwendet werden soll

Finden Sie Ihre Variante unten. Wenn Sie unsicher sind, welche Sie haben, suchen Sie oben links nach einem Menü Datei: Das klassische Outlook hat eines, das neue Outlook nicht.

Neues Outlook für Windows

1. Öffnen Sie Einstellungen, dann E-Mail, dann S/MIME.
2. Aktivieren Sie Automatisch das beste Zertifikat für die digitale Signatur auswählen, welches das Zertifikat übernimmt, das Sie in Schritt 1 importiert haben.
3. Legen Sie Standardeinstellungen fest. Allen gesendeten Nachrichten eine digitale Signatur hinzufügen kann bedenkenlos aktiviert bleiben und ist die Art und Weise, wie Empfänger Ihr Zertifikat erhalten. Inhalt und Anhang aller gesendeten Nachrichten verschlüsseln ist es nicht, denn jede Nachricht an jemanden, dessen Zertifikat Sie nicht besitzen, kann nicht gesendet werden.

Derselbe Bildschirm bietet Import und Export digitaler IDs, falls Sie dies lieber hier als über Windows erledigen möchten.

Klassisches Outlook

1. Wählen Sie Datei, dann Optionen.
2. Wählen Sie Trust Center, dann die Schaltfläche Einstellungen für das Trust Center.
3. Wählen Sie im linken Bereich E-Mail-Sicherheit.
4. Klicken Sie unter Verschlüsselte E-Mail auf Einstellungen.
5. Vergeben Sie unter Name der Sicherheitseinstellung einen Namen für das Profil.
6. Klicken Sie unter Zertifikate und Algorithmen neben Signaturzertifikat auf Auswählen und wählen Sie Ihr Zertifikat aus. Machen Sie dasselbe neben Verschlüsselungszertifikat. In den meisten Fällen handelt es sich bei beiden um dasselbe Zertifikat.
7. Belassen Sie die Hash- und Verschlüsselungsalgorithmen auf ihren Standardwerten, sofern keine Richtlinie etwas anderes vorschreibt. Modernes Outlook verwendet standardmäßig bereits SHA-256 und AES, und ältere Anleitungen, die dazu raten, SHA-1 auf SHA-256 zu ändern, beschreiben eine Version, die Sie nicht verwenden.
8. Klicken Sie auf OK, um jedes Dialogfeld zu schließen.

Zurück auf der Seite E-Mail-Sicherheit können Sie Standardeinstellungen mit Digitale Signatur zu ausgehenden Nachrichten hinzufügen und Inhalt und Anhänge ausgehender Nachrichten verschlüsseln festlegen. Dieselbe Vorsicht gilt: Standardmäßiges Signieren ist unbedenklich, standardmäßiges Verschlüsseln blockiert Nachrichten an jeden, dessen Zertifikat Sie nicht besitzen.

Outlook im Web

Die Browser-Version benötigt eine Hilfskomponente, da eine Webseite nicht selbstständig auf Ihren Zertifikatspeicher zugreifen kann.

1. Gehen Sie zu Einstellungen, dann E-Mail, dann S/MIME.
2. Wählen Sie den Link zur Installation des S/MIME-Steuerelements und klicken Sie auf Ausführen oder Öffnen, wenn Sie dazu aufgefordert werden.
3. Möglicherweise müssen Sie anschließend Ihre Arbeitsdomäne in den S/MIME-Erweiterungseinstellungen des Browsers zulassen, bevor Signieren und Verschlüsseln erscheinen.

Dieser Weg hängt von der Exchange-Konfiguration Ihrer Organisation ab. Fehlt die S/MIME-Option vollständig, handelt es sich um eine Administratoreinstellung und nicht um etwas, das Sie vom Client aus beheben können.

Eine signierte oder verschlüsselte Nachricht senden

Verfassen Sie eine Nachricht, öffnen Sie die Registerkarte Optionen und aktivieren Sie Signieren oder Verschlüsseln für diese Nachricht. Beim ersten Senden bittet Windows um die Erlaubnis, dass Outlook Ihren privaten Schlüssel verwenden darf; erteilen Sie diese.

Um zu bestätigen, dass es funktioniert hat, senden Sie sich selbst eine signierte Nachricht. Die empfangene Kopie enthält ein Signatur-Symbol, auf das Sie klicken können, um das Zertifikat, die Adresse des Unterzeichners und das Validierungsergebnis zu prüfen. Dieses Symbol ist auch der schnellste Weg, um später ein Problem zu diagnostizieren, da es benennt, was fehlgeschlagen ist, statt einfach nur die Sendung zu verweigern.

Warum Sie noch nicht an jemanden verschlüsseln können

Dies ist der Teil, an dem die meisten Menschen scheitern, und es handelt sich nicht um einen Konfigurationsfehler. Verschlüsselung verwendet das öffentliche Zertifikat des Empfängers, nicht Ihres. Ihr Zertifikat ermöglicht es Ihnen zu signieren und ermöglicht es anderen, an Sie zu verschlüsseln. Solange Sie keine Kopie des Zertifikats einer Person besitzen, kann Outlook nichts an sie verschlüsseln und wird das Senden verweigern.

Der normale Weg, es zu erhalten, besteht darin, dass diese Person Ihnen eine signierte Nachricht schickt. Eine digitale Signatur enthält das Zertifikat des Absenders, sodass die Verschlüsselung an diese Person funktioniert, sobald Sie diese empfangen und gespeichert haben. In der Praxis:

• Senden Sie ihnen eine signierte Nachricht, damit sie Ihre besitzen.
• Bitten Sie sie, mit einer signierten Nachricht zu antworten, damit Sie ihre besitzen.
• Fügen Sie im klassischen Outlook den Absender aus dieser signierten Nachricht zu Ihren Kontakten hinzu, wodurch das Zertifikat beim Kontakt gespeichert wird.
• Innerhalb einer Organisation, die Exchange betreibt, werden Zertifikate normalerweise im Verzeichnis veröffentlicht, sodass die Verschlüsselung an Kollegen ohne den Austausch signierter Mails funktioniert.

Da beide Seiten Zertifikate benötigen, funktioniert S/MIME innerhalb einer Organisation oder mit einem regelmäßigen Korrespondenzpartner gut, jedoch schlecht für einmalige Mails an Fremde. Das ist eine Eigenschaft der Technologie, keine Einstellung behebt das. Die zugrunde liegende Idee ist die standardmäßige Public-Key-Kryptographie: mit dem öffentlichen Schlüssel der anderen Person verschlüsseln, sie entschlüsselt mit dem privaten Schlüssel, den nur sie besitzt.

Löschen Sie niemals ein abgelaufenes S/MIME-Zertifikat

S/MIME-Zertifikate laufen ab, und wenn Ihres abläuft, erhalten Sie ein neues und machen weiter. Der Instinkt besteht dann darin, das alte aufzuräumen. Tun Sie das nicht.

Jede Nachricht, die jemand mit dem alten Zertifikat für Sie verschlüsselt hat, kann nur mit diesem alten privaten Schlüssel entschlüsselt werden. Löschen Sie ihn, und diese Nachrichten werden dauerhaft unlesbar, einschließlich solcher, die sich gerade jetzt in Ihrem Postfach befinden. Ein abgelaufenes Zertifikat hindert Sie daran, neue Mails zu signieren, was der Sinn des Ablaufs ist, aber es entschlüsselt weiterhin unbegrenzt alte Mails. Belassen Sie jedes ausgemusterte E-Mail-Zertifikat an seinem Platz, und wenn Sie zu einem neuen Computer migrieren, exportieren und importieren Sie sie zusammen mit dem aktuellen. Unsere Anleitung zum Entfernen von Zertifikaten aus Windows behandelt den Exportschritt, den Sie vor jeder Bereinigung durchführen sollten.

Fehlerbehebung

• Die Schaltfläche Signieren oder Verschlüsseln tut nichts, oder Outlook meldet, dass kein Zertifikat verfügbar ist. Outlook findet kein Zertifikat, dessen E-Mail-Adresse mit dem Konto übereinstimmt, von dem Sie senden. Überprüfen Sie die Adresse auf dem Zertifikat in certmgr.msc mit dem Konto in Outlook.
• Das Zertifikat wird im Auswahldialog nicht angeboten. Überprüfen Sie Vorgesehene Zwecke in certmgr.msc. Es muss Sichere E-Mail enthalten. Ein TLS-Zertifikat oder ein Codesignaturzertifikat erscheint hier nicht, und keine Einstellung ändert das.
• Sie haben die Datei importiert, aber es erscheint nichts. Sie haben wahrscheinlich in die Hierarchie Lokaler Computer statt Aktueller Benutzer importiert. Outlook liest Ihren Benutzerspeicher. Importieren Sie erneut und wählen Sie Aktueller Benutzer.
• Die Verschlüsselung schlägt bei einem Empfänger fehl. Sie besitzen das Zertifikat dieser Person nicht. Bitten Sie sie um eine signierte Nachricht.
• Empfänger sehen eine Warnung bei Ihrer signierten Mail. Die Kette ist auf ihrem Computer nicht vertrauenswürdig, das Zertifikat ist abgelaufen, oder die darauf angegebene Adresse stimmt nicht mit der überein, von der Sie gesendet haben. Das Signatur-Symbol auf der Nachricht benennt, was zutrifft.
• Es funktioniert auf dem Desktop, aber nicht auf Ihrem Telefon. Das Zertifikat muss auf jedem Gerät separat installiert werden. Es gibt keine Synchronisierung privater Schlüssel zwischen Outlook-Installationen.

Häufig gestellte Fragen