TrustCenter Zertifikat und Thunderbird

Hi so-com,

und willkommen im Forum!

Zwei Vorbemerkungen:
1. Die elektronische Signatur mit X.509-Zertifikaten ist wohl der penibelste Vorgang, den es gibt. Die kleinste Ungenauigkeit, und schon wird eine Signatur als ungültig angezeigt. Und das ist auch vollkommen richtig und notwendig.

2. Thunderbird arbeitet dabei völlig korrekt und unter Einhaltung der Vorschriften. Von TB gehen also die Probleme keinesfalls aus. Das belegen auch Tausende von signierten und verschlüsselten Mails, welche allein ich von meinem TB von bzw. zu Clients wie OE, TheBat!, Thunderbird, KMail und vielen anderen gesendet und Empfangen habe. Auch von bzw. zu professionellen Anwendungen wie Notes und Outlook traten in Verbindung mit S/MIME nie Probleme auf.

Es kann und wird also an falschen Einstellungen liegen.
Wenn du die mit einem beliebigen Client an dich selbst geschickten signierten Mails als gültig signiert empfängst, kannst du sicher sein, dass die Einstellungen in deinem Client korrekt sind.
- Deine eigene Schlüsseldatei (beinhaltet dein Zertifikat und deinen priv. Schlüssel) ist gültig (Datum!) und wurde unter "Eigene ..." importiert;
- das zu deinem eigenen Zertifikat passende Herausgeberzertifikat ist installiert;
- diesem wurde das Vertrauen ausgesprochen (erforderlich, da Class1-Zertifikate von Hause aus nicht vertrauenswürdig sind!);
- und dein eigenes Zertifikat ist korrekt deinem Konto zugeordnet

Wenn das alles zutrifft, dann wird von jedem anderen Client deine Signatur auch als gültig erkannt, wenn
- Sie nicht verändert wurde;
- der Empfänger dein Zertifikat; (*)
- und das richtige Zertifikat des Herausgebers installiert hat, welcher dein Zertifikat signiert hat;
- und er diesem das Vertrauen ausgesprochen hat.
(*) Muss bei der Signaturprüfung noch nicht einmal sein, da ein "intelligenter" Mailclient das Signaturzertifikat des Absenders automatisch importiert, so dass es nach der ersten empfangenen Mail schon automatisch importiert ist. => einfachste Form des Schlüsselaustausches.

Meine Vermutung ist folgende:
Bei den beliebten "Kostnix-Zertifikaten" ("Class1") wird die lt. SigG geforderte strenge Identitätsprüfung der Antragsteller nicht durchgeführt. Nur durch Verzicht auf diese personal- und kostenintensive Maßnahme ist es möglich, derartige Zertifikate zum Nulltarif zu verschenken. Diese Zertifikate eignen sich zwar hervorragend zur (privaten) Mailverschlüsselung, aber niemals zu einer ernst zu nehmenden el. Signatur! (Es sei denn, die Mailpartner haben auf einem anderen Weg vorher die Fingerprints ihrer Zertifikate verglichen.)
Aus genau diesem Grund werden durch die Hersteller von (in dieser Hinsicht) ernst zu nehmenden Mailprogrammen grundsätzlich nur die Herausgeberzertifikate von Hause aus installiert, welche ihre Antragsteller nach den Regeln der jeweiligen nationalen Signaturgesetze identifizieren. Das bedeutet: erhältst du eine Mail, die mit einem Z. von Telesec, oder D-Trust usw. signiert wurde, kannst du mit Sicherheit davon ausgehen, dass die el. Unterschrift authentisch ist. Bei derartigen Clients werden aber niemals die Herausgeberzertifikate für die Signatur von "Kostnix-Zertifikaten" vorinstalliert! Ein unbedarfter Nutzer könnte sonst einer Täuschung unterliegen und eine damit signierte Mail ohne weitere Überprüfung als authentisch einstufen.

Jetzt produzieren meine Hamburger Kollegen nicht nur (die kostenpflichtigen) Zertifikate für die qualifizierte bzw. fortgeschrittene el. Signatur (zur Erinnerung: gefordertes aufwändiges Verfahren zur Personenidentifizierung!), sondern auch die kostenlosen "Class1"-Zertifikate zu Testzwecken oder für private Anwender.
Das bedeutet, dass ein Mailclient zwar Zertifikate des TC vorinstalliert mitbringt, aber eben "nur" die Zertifikate mit denen die Gültigkeit der qaulifizierten oder fortgeschrittenen Benutzerzertifikate überprüft werden kann. Und so ist es nicht nur bei Notes und anderen professionellen Mailprogrammen, sondern eben auch beim Thunderbird!
Das bedeutet, dass TB-Nutzer (aus gutem Grund!) das Herausgeberzertifikat für die "Class1"-Zertifikate nachträglich und bewusst importieren und ihnen das Vertrauen aussprechen müssen. Durch diese bewusste Handlung kennt er eben auch das daraus entstehende Risiko.
Und von den derartigen Herausgeberzertifikaten gibt es beim TC eben mehrere. Deshalb habe ich ganz oben das richtige bzw. zu deinem eigenen Zertifikat passende fett geschrieben.
Hinweis: auch Herausgeberzertifikate haben einen Fingerprint und eine Zertifikatsnummer!

Noch ein Hinweis: Es gibt auch Hersteller von (Mail-)Programmen, welche sich um das Vorgenannte nicht scheren und (wohl um teureren Support zu sparen?) einfach so die Herausgeberzertifikate von nicht vertrauenswürdigen Zertifikaten mit ausliefern. Für mich ist das eine Beihilfe zur Täuschung!

MfG Peter