Die Ausage der Bank war doch, dass du in Zukunft signierte E-Mails von der Bank erhälst. Ich verstehe das so, dass die Bank Ihre Signatur mit der nächsten Mail an dich 'mitliefert' und damit hast du 'vollautomatisch' das öffentliche Zertifikat.
Allerdings sind die CA-Zertifikate etwas seltsam. Wen ich das auf die Schnelle richtig gesehen habe, dann sind diese von der Bank selber ausgestellt. NIcht gerade sehr professionell.
Was soll's... speichere die beiden Zertifikate (Rechtsklick) auf der Platte und improtiere die Dinger in der Zertifikatsmanager.
Das erste (CA.CER) über Extras/Einstellungen => Erweitert/Zertifikate unter Zertifizierungsstellen (Vertrauenseinstellungen nicht vergessen).
Beim zweiten Zertifikat (EMAIL.CER) kann es sein, dass esnur im Abschnitt Websites und nicht im Abschnitt Zertifikate anderer Personen funktioniert.
ALlerdings muss man auch dazu sagen, dass manche Banken ohnehin nicht richtig 'ticken' was den Sektor S/MIME angeht. Meine Bank hat zum Beispiel nur ein einziges Gruppenzertifikat, dass allen Nutzern dort bereitgestellt wird. Schön und gut, aber mit Vertraulichkeit und Co hat das wenig zu tun.
Hi Gerhard,
in unserem Wiki (oder ganz oben unter "Fragen und Antworten") findest du einen langen Beitrag von mir über Verschlüsselung und digitale Signaturen. Dort kannst du dich gern erst einmal belesen.
Aber keine Angst: die Mails von der Bank kannst du trotzdem lesen. Die Signatur der Bank bestätigt "nur", dass die Mails wirklich von der Bank und auch unverfälscht sind. Und keine Bank wird dich zu "Kontrollzwecken" auffordern eine TAN einzugeben usw.
In meinem Beitrag kannst du lesen, wie du die Signatur aktivierst und überprüfst. Es ist ganz einfach und wenn noch Fragen übrigbleiben, dann stelle sie bitte. Das hilft mir auch, die FAQ zu verbessern.
MfG Peter
...
Interessehalber hätte ich gerne gewusst, warum die CA-Zertifikate seltsam und unprofessionell sind?
Na ja, der Herausgeber des Zertifikats ist die Bank selber. Das ist ungefähr so, als würde ich dir sagen, ich bin vertrauenswürdig, erkenne mich an, auch wenn du mich nicht kennst.
Wenn das in der Welt Standard sein soll, muss man die Trickbetrüger an der Haustür legalisieren *kicher*, denn die sabbeln ihre eigene Vertrauensseligkeit ja auch selber herbei. OK, das ist ein wenig übertrieben, aber hier geht es eigentlich um das Prinzip.
'Peter' kann dazu aber mit Sicherheit mehr sagen, denn er ist der Profi, auf den ich bei Fragen (privat und beruflich) zur Thematik immer wieder zurückgreife 
Unter nochmaligem Verweis auf die FAQ will ich gleich antworten:
Bei der Signatur mit X.509-Zertifikaten wird ein "Vertrauensbaum" aufgebaut.
Ganz oben (oder unten => root) sitzt eine anerkannte Autorität, der man vertrauen darf. Das kann eine nationale Sicherheitsbehörde (in unserem Fall das BSI) oder auch ein anerkanntes Unternehmen (Trustcenter) sein. Mit deren root-Zertifikat signieren sie das Zertifikat einer untergeordneten Stelle, zum Beispiel eines Bank. Und mit deren Zertifikat wird dann die Mail signiert.
Wenn du ein Zertifikat selbst herausgibst und auch selbst signierst, dann ist dieses Vertrauen eben nicht so viel wert. Aber du vertraust ja deiner Bank ... .
Allerdings ( Heiggo) gibt es mittlerweile auch schon Banken, die von der Bundesnetzagentur als Trustcenter selbst für qualifizierte Signaturen (!) anerkannt sind. In deren Zertifikat steht aber auch das root der BNA. ich habe keine Lust nachzusehen ... .
MfG Peter
Hi 'Peter'
schdümmt, das haste mir mal erklärt, aber bei den hier benannten Zertifikaten kann ich tatsächlich nur eine Selbstsignierung erkennen
Aber... auch diese 'Dinger' kann man ja als vertrauenswürdig einstufen. MIr ging es nur darum, dass ich es nicht für sonderlich 'sauber' halte.
Hi,
Widerrufslisten oder auch crl geben Zertifizierungsstellen (ca oder allgemein Trustcenter) heraus, wenn Zertifikate vor Ablauf ihrer Gültigkeit zurückgezogen oder eben widerrufen werden. Gründe können Kompromittierung, Verlust oder in der Art sein. Bei Personenzertifikaten kommt dies schon sehr häufig vor ... . Bei einer Bank dürfte dies allerdings seltener der Fall sein. Auf jeden Fall wäre das ein sehr negativer Werbeeffekt.
Ein gutes Programm prüft gleich zu Beginn der Signaturprüfung, ob das Zertifikat für die Mailsignatur in der crl steht. Wenn ja, dann gibt es eine deutliche Warnung aus.
Es schadet also keinesfalls, wenn du die crl importiert hast. Hättest aber auch darauf verzichten können, siehe oben. Jetzt kann es allerdings passieren, dass nach der ersten erfolgreich empfangenen signierten Mail eine Meckermeldung wegen abgelaufener crl kommt. Das ist kein Fehler, sondern ein Sicherheitsfeature. Die Trustcenter geben crl immer nach einer Sperrung und nach Ablauf i.d.Regel eines Monats heraus. Ich kenne auch eines, welches früh und abend eine crl generiert ... .
MfG Peter
Heiggo: bin in Hannover, gleiche Übung wie damals bei dir.
HI 'Peter',
Grüß mir die Hannoveraner (Fast-Heimat für Ex-Hamburger). Bin mal gespannt, was ich demnächst dort erfragen kann.
Die automatischen Updates habe ich nicht aktiviert.
Das hätte ich vermutlich aktiviert
Wenn man schon mal eine CRL mit Update-Datum erhält.
Hallo Gerhard,
mir haben für den Einstieg in Enigmail + GnuPG damals die beiden Handbücher "für Einsteiger" und "für Durchblicker" sehr geholfen, auf die in der FAQ auch hingewiesen wird. Das kurze Kapitel zum Signieren hilft dir wahrscheinlich bei deiner Frage (wobei beide Dokumente auch als Ganze lesenswert sind).
Schöne Grüße
Robert
