S/MIME Nachrichten an E-Mail-Adresse senden bei der S/MIME durch das Deutsche Telekom Security E-Mail Gateway verwaltet wird.

    Thunderbird-Produkt
    Thunderbird für Linux
    Thunderbird-Version
    150.0
    Betriebssystem
    ArchLinux

    Hallo zusammen,

    folgendes Problem stellt sich gerade für mich. Unser Startup muss mit einer größeren Organisation per S/MIME verschlüsselte E-Mails austauschen. Für die Mitarbeiter, die an diese Organisation E-Mails schicken müssen, haben wir über SSLcert S/MIME Zertifikate von d-trust erworben (Klasse 3, d-trust Advanced Enterprise ID). Untereinander funktioniert alles wunderbar. Die öffentlichen Zertifikate haben wir der anderen Organisation auch bereits zur Verfügung gestellt. Verschlüsselte E-Mails der anderen Organisation können wir auch empfangen, und diese werden von Thunderbird erfolgreich entschlüsselt. Beim Versuch, eine S/MIME-verschlüsselte E‑Mail an jemanden in der anderen Organisation zu senden, meldet Thunderbird jedoch, dass kein passendes öffentliches Zertifikat gefunden werden kann.

    Kontoart ist IMAP, der Mail-Anbieter ist Gmail.

    Von der anderen Organisation haben wir zwei Zertifikate erhalten, ein CA-Zertifikat (die Organisation betreibt offensichtlich eine eigene Root-CA) und ein öffentliches Zertifikat. Beide Zertifikate lassen sich auch problemlos in Thunderbird importieren. Das Problem ist nun aber offensichtlich, dass das öffentliche Zertifikat keinen Eintrag für eine spezifische E-Mail-Adresse enthält. Folgende Angaben (falls relevante Angaben fehlen, liefere ich die gern nach) finden sich im Zertifikat (den Namen den Organisation habe ich anonymisiert):

    Issuer: CN=Deutsche Telekom Security E-Mail Gateway B CA01, O=ExampleOrg, L=Irgendwo, C=DE

    Subject: C=DE, L=Irgendwo, O=ExampleOrg, OU=E-Mail Encryption ExampleOrg, CN=ExampleOrg Mail Signatur Gateway

    Code
    X509v3 Subject Alternative Name:  
               email:domain-confidentiality-authority@barmer.de

    Folgende Fragen:

    • Ist es generell möglich, mit diesen beiden Zertifikaten S/MIME-verschlüsselte E-Mails an Personen (z. B. max.mustermann@example.org) zu senden? Falls ja: Wie muss ich Thunderbird konfigurieren, damit das vorhandene öffentliche Zertifikat für diese E-Mail-Adressen verwendet wird?
    • Oder vergessen unsere Kontakte bei der Organisation etwas?

    Danke für eure Hilfe und viele Grüße

    Jens

  • graba 7. Juni 2026 um 15:28

    Hat das Thema freigeschaltet.

    Hallo Jens,

    bevor gar niemand antwortet - besser spät als nie:

    Zitat von jensp

    den Namen den Organisation habe ich anonymisiert

    Kann ich nicht finden. 😄

    Zitat von jensp

    Ist es generell möglich, mit diesen beiden Zertifikaten S/MIME-verschlüsselte E-Mails an Personen (z. B. max.mustermann@example.org) zu senden?

    Ich glaube nicht. Mit einem Zertifikat, das den X509v3 Subject Alternative Name "email:domain-confidentiality-authority@barmer.de" hat, kannst du höchstens an die Empfängeradresse "domain-confidentiality-authority@barmer.de" verschlüsseln. Wobei mir der Zusatz "email:" schon seltsam vorkommt. Normalerweise steht da nur die reine Mailadresse.

    Solche Zertifikate sind nicht für persönliche Kommunikation gedacht, sondern zum Verschlüsseln über einen E-Mail-Gateway.

    Wenn du direkt in Thunderbird verschlüsseln willst, wirst du nur Zertifikate dafür nehmen können, die genau den passenden E-Mail-Empfänger als Namen enthalten. Diese Zertifikate muß logischerweise der Empfänger zur Verfügung stellen. Das kann theoretisch auch eine "info@..."-Adresse sein, wenn das Zertifikat genau darauf lautet.

    Wenn eure Kontakte solche persönlichen Mailzertifikate haben, sollen sie ihre Mails an euch damit signieren, dann werden sie in eurem Thunderbird bekannt.

    Viele Grüße

    SSL-Mailer