Wer SOGo als Webmail-Oberfläche verwendet, kann E-Mails mit S/MIME digital signieren und verschlüsseln. Damit lässt sich die Echtheit von Nachrichten überprüfen und vertrauliche Kommunikation vor unberechtigtem Mitlesen schützen. Besonders praktisch: Wer bereits ein S/MIME-Zertifikat in Mozilla Thunderbird verwendet, kann dieses in der Regel auch in SOGo nutzen. Ein neues Zertifikat ist dafür nicht erforderlich.

In dieser Anleitung zeigen wir Schritt für Schritt, wie Sie ein S/MIME-Zertifikat in SOGo einrichten, ein vorhandenes Zertifikat aus Thunderbird exportieren und anschließend E-Mails signieren oder verschlüsseln. Die Anleitung basiert auf SOGo Version 5.12.13. Die beschriebenen Einstellungen können bei anderen Versionen leicht abweichen.

1. Was ist S/MIME?

S/MIME steht für Secure/Multipurpose Internet Mail Extensions und ist ein etablierter Standard für die sichere E-Mail-Kommunikation. Mit S/MIME lassen sich zwei grundlegende Funktionen nutzen: die digitale Signatur und die Verschlüsselung.

E-Mails digital signieren

Eine digitale Signatur dient dazu, die Herkunft und Unverändertheit einer Nachricht überprüfen zu können. Der Empfänger kann mithilfe des Zertifikats feststellen, ob die Nachricht nach dem Signieren verändert wurde. Außerdem lässt sich überprüfen, welchem Zertifikat die Signatur zugeordnet ist. Bei einem vertrauenswürdigen Zertifikat kann dies helfen, die Identität des Absenders zu bestätigen. Eine digital signierte E-Mail ist nicht automatisch verschlüsselt. Der Nachrichteninhalt bleibt weiterhin lesbar. Eine digitale Signatur ist beispielsweise sinnvoll für geschäftliche Korrespondenz, Angebote, Rechnungen oder offizielle Mitteilungen.

E-Mails verschlüsseln

Mit S/MIME können E-Mails zusätzlich verschlüsselt werden. Dabei wird der Nachrichteninhalt so geschützt, dass ihn nur Empfänger mit dem passenden privaten Schlüssel entschlüsseln können. Das schützt beispielsweise vertrauliche Geschäftsinformationen oder persönliche Daten. Voraussetzung ist allerdings, dass dem Absender das öffentliche S/MIME-Zertifikat des Empfängers zur Verfügung steht.

Unterschied zwischen Signierung und Verschlüsselung

Empfehlung: Signieren kann man die E-Mails auch gut standardmäßig.

2. Was benötigt man für S/MIME in SOGo?

Für die Verwendung von S/MIME wird ein persönliches Zertifikat benötigt. Dieses Zertifikat muss zur verwendeten E-Mail-Adresse passen und für die gewünschten Funktionen geeignet sein.

Es besteht vereinfacht aus zwei wichtigen Bestandteilen: Öffentlicher Schlüssel und Privater Schlüssel

Der öffentliche Schlüssel darf an andere Personen weitergegeben werden. Er wird unter anderem verwendet, damit andere Personen verschlüsselte Nachrichten an Sie senden können. Der private Schlüssel muss geheim bleiben. Er wird benötigt, um digitale Signaturen zu erstellen und an Sie gerichtete verschlüsselte Nachrichten zu entschlüsseln.

Welches Zertifikatsformat unterstützt SOGo?

Für den Import eines persönlichen S/MIME-Zertifikats verwendet SOGo das Format PKCS#12.

Entsprechende Dateien haben typischerweise folgende Endungen:

• .p12
• .pfx

Diese Dateien enthalten das persönliche Zertifikat und den dazugehörigen privaten Schlüssel. Normalerweise sind sie zusätzlich durch ein Passwort geschützt. Eine einfache Zertifikatsdatei mit der Endung .cer oder .crt, die nur den öffentlichen Schlüssel enthält, reicht für das eigene Signieren nicht aus.

Woher bekommt man ein S/MIME-Zertifikat?

Es gibt mehrere Möglichkeiten:

Zertifikat vom Arbeitgeber

In Unternehmen oder öffentlichen Einrichtungen werden persönliche Zertifikate häufig von der IT-Abteilung bereitgestellt.

Zertifikat einer Zertifizierungsstelle

S/MIME-Zertifikate können über entsprechende Zertifizierungsstellen bezogen werden.

Zu den Anbietern gehören beispielsweise Sectigo, DigiCert und GlobalSign.

Bereits vorhandenes Zertifikat

Wer S/MIME bereits in einem anderen E-Mail-Programm nutzt, kann möglicherweise das bestehende Zertifikat übernehmen. Besonders einfach funktioniert das mit Mozilla Thunderbird.

3. Vorhandenes S/MIME-Zertifikat aus Thunderbird exportieren

Wenn Sie bereits Thunderbird verwenden und dort ein S/MIME-Zertifikat eingerichtet haben, können Sie dieses normalerweise auch für SOGo nutzen. Das erspart die erneute Beantragung eines Zertifikats. Außerdem können Sie anschließend mit demselben Zertifikat sowohl in Thunderbird als auch in SOGo arbeiten. Dafür müssen wir das persönliche Zertifikat einschließlich des privaten Schlüssels aus Thunderbird exportieren.

Schritt 1: Thunderbird öffnen

Mozilla Thunderbird starten und dass Menü mit den drei horizontalen Linien öffnen, dann Kontoeinstellungen:

≡ → Konten-Einstellungen

E-Mail-Konto auswählen, für das Sie das S/MIME-Zertifikat eingerichtet haben.

Danach auf Ende-zu-Ende-Verschlüsselung klicken. Hier finden man die Einstellungen für die E-Mail-Verschlüsselung und digitale Signaturen.

Schritt 2: S/MIME-Zertifikatsverwaltung öffnen

Im Bereich S/MIME nach der Schaltfläche S/MIME-Zertifikate verwalten suchen und darauf klicken. Es öffnet sich die Zertifikatsverwaltung von Thunderbird.

Dort den Reiter Ihre Zertifikate wählen. Hier werden die persönlichen Zertifikate angezeigt.

Schritt 3: Zertifikat sichern

Das Zertifikat markieren, was man später in SOGo verwenden möchten.

Dann Sichern beziehungsweise Backup eingeben. Thunderbird fordert nun auf, einen Speicherort und einen Dateinamen für die Sicherung festzulegen.

Beispielsweise: smime-zertifikat.p12

Schritt 4: Neues Passwort vergeben

Im nächsten Schritt fragt Thunderbird nach einem Passwort für die Sicherungsdatei.

Sie können an dieser Stelle ein neues Passwort vergeben.

Das ist besonders hilfreich, wenn man das ursprüngliche Passwort der Zertifikatsdatei nicht mehr kennt. Das neue Passwort schützt die exportierte PKCS#12-Datei und wird später beim Import in SOGo benötigt. Es muss nicht mit Ihrem Thunderbird-Passwort, Ihrem E-Mail-Passwort oder dem ursprünglich verwendeten Importpasswort übereinstimmen. Man verwendet ein sicheres Passwort und speichert das möglichst in einem Passwortmanager.

Schritt 5: Sicherung abschließen

Nach Abschluss des Vorgangs befindet sich die exportierte Zertifikatsdatei am ausgewählten Speicherort. Diese Datei enthält das persönliche Zertifikat einschließlich des privaten Schlüssels. Damit kann das Zertifikat jetzt in SOGo importiert werden. Die Datei sorgfältig aufbewahren, sie enthält den privaten Schlüssel, und der sollte auf keinen Fall an unbefugte Personen gelangen.

4. S/MIME-Zertifikat in SOGo importieren

Nachdem das persönliche Zertifikat als .p12– oder .pfx-Datei vorliegt, kann es in SOGo eingerichtet werden. Die folgende Anleitung beschreibt den genauen Weg in SOGo Version 5.12.13.

Schritt 1: SOGo öffnen

SOGo-Webmail-Oberfläche im Browser öffnen und sich mit den gewohnten Zugangsdaten anmelden. Dann Einstellungen öffnen.

Schritt 2: IMAP-Konten aufrufen

Man wechselt dann innerhalb der Einstellungen in den Bereich: Mail → IMAP-Konten

Schritt 3: E-Mail-Konto bearbeiten

Dann sucht man nach der E-Mail-Adresse, für die Sie das S/MIME-Zertifikat installiert werden soll.

Dann auf das Stiftsymbol rechts neben der E-Mail-Adresse klicken. Daraufhin öffnet sich das Fenster zur Bearbeitung des E-Mail-Kontos. Im oberen Bereich befinden sich zwei Registerkarten: EINSTELLUNGEN | SICHERHEIT

Schritt 4: Registerkarte „Sicherheit“ öffnen

Auf den Reiter SICHERHEIT klicken. In diesem Bereich können die Sicherheitseinstellungen des ausgewählten E-Mail-Kontos verwaltet werden. Hier befindet sich auch die Möglichkeit, ein persönliches S/MIME-Zertifikat zu hinterlegen. Die Registerkarte „Sicherheit“ wird erst angezeigt, nachdem man unter „IMAP-Konten“ auf das Stiftsymbol neben der E-Mail-Adresse geklickt haben.

Schritt 5: Zertifikat importieren

Wählen Sie die Funktion zum Importieren beziehungsweise Hochladen eines Zertifikats.

Suchen Sie die zuvor exportierte PKCS#12-Datei.

Beispielsweise:

smime-zertifikat.p12

Wählen Sie die Datei aus.

Geben Sie anschließend das Passwort ein, mit dem Sie die Datei beim Export aus Thunderbird geschützt haben.

Bestätigen Sie den Import.

Schritt 6: Änderungen speichern

Nach erfolgreichem Import sollte das Zertifikat in den Sicherheitseinstellungen des Kontos verfügbar sein.

Speichern Sie gegebenenfalls die Änderungen.

Damit ist die Einrichtung des persönlichen S/MIME-Zertifikats in SOGo abgeschlossen.

Hinweis für Administratoren: Sollte die Zertifikatsverwaltung fehlen, kann die Serverkonfiguration überprüft werden. Die entsprechende SOGo-Einstellung lautet SOGoMailCertificateEnabled = YES;. Laut offizieller Dokumentation ist sie standardmäßig aktiviert.

5. E-Mails in SOGo digital signieren

Nach dem erfolgreichen Zertifikatsimport kann man digitale Signaturen für ausgehende E-Mails verwenden.

Schritt 1: Neue E-Mail verfassen

SOGo öffnen und eine neue Nachricht erstellen.

Schritt 2: Signierung aktivieren

Die Sicherheitsoptionen im Fenster zum Verfassen der Nachricht öffnen. Die Option zum digitalen Signieren der E-Mail öffnen. Die genaue Darstellung der Schaltfläche kann je nach SOGo-Version und Oberflächeneinstellung variieren.

Schritt 3: E-Mail versenden

Dann einfach wie gewohnt die E-Mail versenden. SOGo verwendet das zuvor hinterlegte S/MIME-Zertifikat, um eine digitale Signatur zu erstellen. Der Empfänger kann jetzt überprüfen, ob die Nachricht nach dem Signieren verändert wurde und ob die Signatur zum angegebenen Zertifikat passt.

Wie überprüft man, ob die Signierung funktioniert?

Für einen ersten Test empfiehlt es sich, eine signierte E-Mail an eine zweite eigene E-Mail-Adresse zu senden. Danach öffnet man die Nachricht beispielsweise in Mozilla Thunderbird. Dort sollte angezeigt werden, dass die Nachricht digital signiert wurde. Zusätzlich kann man Sie sich die Zertifikatsinformationen ansehen. Dort sollte man darauf achten, dass das Zertifikat als gültig angezeigt wird und zur verwendeten Absenderadresse passt. Eine digitale Signatur schützt nicht davor, dass andere Personen den Inhalt der Nachricht lesen können. Hierfür ist zusätzlich eine Verschlüsselung erforderlich.

6. E-Mails in SOGo verschlüsseln

Neben der digitalen Signatur unterstützt SOGo auch die S/MIME-Verschlüsselung von E-Mails. Damit können Nachrichten so geschützt werden, dass nur die vorgesehenen Empfänger sie entschlüsseln können. Hierfür ist jedoch eine zusätzliche Voraussetzung zu erfüllen: Man benötigt das öffentliche S/MIME-Zertifikat des Empfängers.

Schritt 1: Öffentliches Zertifikat des Empfängers erhalten

Am einfachsten erhält man das öffentliche Zertifikat, indem der Empfänger eine digital signierte E-Mail schickt. SOGo kann aus einer eingehenden S/MIME-signierten Nachricht das öffentliche Zertifikat des Absenders auslesen. Dieses kann anschließend dem entsprechenden Kontakt im persönlichen Adressbuch zugeordnet werden. Dadurch steht das Zertifikat für das Verschlüsseln zukünftiger Nachrichten zur Verfügung.

Schritt 2: Neue Nachricht erstellen

In SOGo eine neue Nachricht erstellen, die E-Mail-Adresse des Empfängers eingeben und wie gewohnt die Nachricht verfassen.

Schritt 3: Verschlüsselung aktivieren

Die Sicherheitsoptionen der neuen Nachricht öffnen und die S/MIME-Verschlüsselung aktivieren. SOGo benötigt nun ein geeignetes öffentliches Zertifikat für die Empfängeradresse. Wenn das passende Zertifikat vorhanden und gültig ist, kann die Nachricht verschlüsselt werden. Fehlt das Zertifikat, kann SOGo die Nachricht nicht ohne Weiteres verschlüsselt versenden.

Schritt 4: Nachricht versenden

Der eigentliche E-Mail-Inhalt wird verschlüsselt übertragen. Der Empfänger benötigt den passenden privaten Schlüssel, um die Nachricht zu lesen. Sie können eine E-Mail sowohl digital signieren als auch verschlüsseln. So wird der Nachrichteninhalt geschützt und gleichzeitig eine Überprüfung der digitalen Signatur ermöglicht.

Was passiert bei mehreren Empfängern?

Auch bei mehreren Empfängern ist eine Verschlüsselung möglich. Allerdings muss für jeden Empfänger ein geeignetes öffentliches Zertifikat vorliegen. Dies gilt auch für Empfänger, die im CC- oder BCC-Feld eingetragen sind.

7. Verschlüsselte E-Mails in SOGo lesen

Wenn man eine verschlüsselte E-Mail erhalten hat, muss SOGo auf den passenden privaten Schlüssel zugreifen können. Dazu muss das entsprechende persönliche Zertifikat einschließlich des privaten Schlüssels in SOGo hinterlegt sein. Ist dies der Fall, kann SOGo die Nachricht entschlüsseln und anzeigen.

Warum kann man manche alten E-Mails nicht mehr entschlüsseln?

Ein häufiger Grund ist ein Zertifikatswechsel. Wenn ein neues S/MIME-Zertifikat ausgestellt wird, besitzt dieses ein neues Schlüsselpaar. Nachrichten, die mit einem früheren öffentlichen Schlüssel verschlüsselt wurden, können dann nicht automatisch mit dem neuen privaten Schlüssel entschlüsselt werden. Deshalb sollten man ältere Zertifikate einschließlich der privaten Schlüssel sicher aufbewahren. Ein abgelaufenes Zertifikat beziehungsweise dessen privater Schlüssel kann weiterhin benötigt werden, um ältere verschlüsselte Nachrichten zu lesen.

8. Alternative zu S/MIME: OpenPGP

Neben S/MIME gibt es mit OpenPGP einen weiteren etablierten Standard zur digitalen Signierung und Verschlüsselung von E-Mails. Beide Verfahren verfolgen ähnliche Ziele, unterscheiden sich jedoch bei der Verwaltung der Schlüssel und der Überprüfung ihrer Vertrauenswürdigkeit.

S/MIME und OpenPGP im Vergleich

OpenPGP mit Thunderbird verwenden

Mozilla Thunderbird unterstützt OpenPGP bereits direkt. Zusätzliche Erweiterungen sind in aktuellen Thunderbird-Versionen normalerweise nicht erforderlich.

≡ → Konten-Einstellungen → Ende-zu-Ende-Verschlüsselung

In diesem Bereich können man einen OpenPGP-Schlüssel erstellen oder einen bestehenden Schlüssel importieren. Anschließend können men OpenPGP zum Signieren und Verschlüsseln von E-Mails verwenden. Für die verschlüsselte Kommunikation benötigt man den öffentlichen Schlüssel des Empfängers.

9. Weitere Aspekte zum sicheren E-Mail-Versand

Nicht immer können beide Kommunikationspartner S/MIME oder OpenPGP verwenden. In solchen Fällen gibt es weitere Möglichkeiten, vertrauliche Informationen zu übertragen.

TLS: Verschlüsselung beim Transport

Überwiegend werden Nachrichten während der Übertragung zwischen den beteiligten Servern durch TLS geschützt. Auch die Verbindung zwischen E-Mail-Programm und Mailserver wird meistens mit TLS abgesichert. Das schützt die Kommunikation auf den jeweiligen Übertragungswegen. Allerdings handelt es sich nicht um eine vollständige Ende-zu-Ende-Verschlüsselung. E-Mail-Server können Nachrichten unter Umständen weiterhin im Klartext verarbeiten oder speichern.

Verschlüsselte Dateianhänge

Eine weitere Möglichkeit besteht darin, vertrauliche Dateien vor dem Versand separat zu verschlüsseln. Dafür eignen sich beispielsweise verschlüsselte Archive mit einem sicheren Passwort. Das Passwort sollte über einen anderen Kommunikationskanal mitgeteilt werden, etwa telefonisch. So kann zumindest der Inhalt der angehängten Datei geschützt werden. Der eigentliche E-Mail-Text bleibt dabei allerdings unverschlüsselt.

Geschützte Dateiübertragung

Für besonders vertrauliche Unterlagen kann auch ein gesichertes Dateiportal eine sinnvolle Alternative sein. Hierbei werden Dateien nicht direkt als E-Mail-Anhang verschickt, sondern über einen geschützten Bereich bereitgestellt. Welche Lösung am besten geeignet ist, hängt von den technischen Möglichkeiten und den jeweiligen Sicherheitsanforderungen ab.

10. Sicherheitshinweise

Damit die Verwendung von S/MIME tatsächlich einen Sicherheitsgewinn bietet, sollten einige grundlegende Regeln beachtet werden.

Private Schlüssel schützen

Der private Schlüssel darf nicht in fremde Hände gelangen. Wer Zugriff darauf erhält, kann ihn möglicherweise verwenden, um Nachrichten in Ihrem Namen zu signieren oder verschlüsselte E-Mails zu lesen.

Zertifikatsdateien sicher aufbewahren

PKCS#12-Dateien sollten durch starke Passwörter geschützt sein. Solche Dateien sollten möglichst nicht dauerhaft in ungeschützten Ordnern oder frei zugänglichen Cloud-Verzeichnissen gespeichert werden.

Regelmäßig Sicherungskopien erstellen

Sichere Backups erstellen von den Zertifikaten einschließlich der privaten Schlüssel. Wichtig ist es auch daran zu denken, ältere Schlüssel aufzubewahren, solange man sie für damit verschlüsselte Nachrichten benötigt.

Zertifikate rechtzeitig erneuern

S/MIME-Zertifikate besitzen eine begrenzte Gültigkeitsdauer. Regelmäßig das Ablaufdatum prüfen und Zertifikat erneuern.

Sicherheit des SOGo-Servers berücksichtigen

Ein wichtiger Unterschied zu einer rein lokalen Lösung besteht darin, dass SOGo das importierte persönliche Zertifikat einschließlich des privaten Schlüssels serverseitig verarbeitet und speichert. Damit hängt die Sicherheit auch von der Absicherung der SOGo-Installation ab. Insbesondere bei selbst betriebenen Docker-Installationen sollten regelmäßige Sicherheitsupdates, Zugriffsbeschränkungen und sichere Backups selbstverständlich sein. Außerdem sollten Administratoren prüfen, wer auf die Datenbank, Konfiguration und gesicherte Daten des SOGo-Servers zugreifen kann.

Grenzen der E-Mail-Verschlüsselung beachten

Auch bei S/MIME werden nicht sämtliche Informationen einer E-Mail verborgen. Insbesondere der Betreff, Absender- und Empfängeradressen sowie bestimmte technische Metadaten können weiterhin sichtbar sein. Vertrauliche Informationen sollten daher möglichst nicht bereits im Betreff stehen.