Ein bisschen rumklicken hat mich der Lösung etwas näher gebracht. Ich muss dem Root Zertifikat noch explizit vertrauen.
Jetzt hat sich bei meinem persönlichen Zertifikat der Status von "konnte nicht verifiziert werden" auf freigegeben für u.a. Email Unterzeichner Zertifikat und Email Empfänger Zertifikat geändert. das klingt ja schon mal gut.
Nur leider das Spiel mit der Aufforderung Zertifikate einzutragen, hat sich nicht geändert. Ich habe die Zertikate mal rausgenommen, Thunderbird neu gestartet und wieder bei der nächsten Testmail noch mal neu gesetzt wie oben beschrieben.
Hat nichts gebracht, die Nachricht wird nicht signiert, jedesmal wenn ich das machen möchte, kommt wieder die Aufforderung, Zertifikate auszuwählen...