Thunderbird beherrscht S/MIME seit Jahren, ohne Erweiterung und ohne Zusatzkosten. Zertifikat importieren, Konto zuordnen, im Verfassen-Fenster das Schloss setzen. Für eine einzelne Person, die gelegentlich vertraulich schreibt, ist das eine saubere Lösung.
Der Bruch kommt nicht bei der Technik. Er kommt bei der Verwaltung.
Wie es im Client funktioniert
Der Ablauf ist in jeder Anleitung derselbe. Ein persönliches Zertifikat wird als PKCS#12-Datei beschafft, im Zertifikatsmanager importiert und in den Konteneinstellungen unter der Ende-zu-Ende-Verschlüsselung für Signatur und Verschlüsselung ausgewählt. Danach lässt sich pro Nachricht entscheiden, ob signiert, verschlüsselt oder beides passiert.
Zwei Voraussetzungen stecken darin, und beide werden im Alltag zum Problem:
- Das eigene Zertifikat samt privatem Schlüssel muss auf dem Gerät liegen, auf dem gesendet wird.
- Für eine verschlüsselte Nachricht muss das öffentliche Zertifikat des Empfängers vorliegen. Ohne das geht es nicht.
Im Einzelbetrieb ist das zumutbar. Auf Unternehmensgröße hochgerechnet wird daraus eine Daueraufgabe.
Wo es kippt
Ein Zertifikat je Person und je Gerät. Ein Mitarbeiter mit Bürorechner, Notebook und Diensthandy braucht seinen Schlüssel dreimal. Jeder Gerätetausch wiederholt den Vorgang. Das Handy fällt in der Praxis fast immer heraus, womit ein erheblicher Teil der Kommunikation ungeschützt bleibt.
Ablaufdaten. S/MIME-Zertifikate laufen ab, üblicherweise nach ein bis drei Jahren. In einem Haus mit achtzig Postfächern bedeutet das eine ständige Erneuerungswelle, die niemand von sich aus im Blick hat. Bemerkt wird sie meist dann, wenn eine Signatur beim Empfänger als ungültig angezeigt wird.
Austritte und Vertretungen. Verlässt jemand das Unternehmen, liegt sein privater Schlüssel weiterhin auf einem Gerät. Übernimmt eine Vertretung das Postfach, kann sie verschlüsselte Nachrichten nicht lesen, weil ihr der passende Schlüssel fehlt. Beides ist mit Bordmitteln des Clients nicht sauber zu lösen.
Keine Durchsetzung. Und das wiegt am schwersten. Thunderbird kann anbieten zu verschlüsseln, es kann es nicht verlangen. Ob eine Nachricht mit Personaldaten geschützt hinausgeht, hängt daran, ob im richtigen Moment das richtige Symbol geklickt wurde. Eine verbindliche Regel, dass bestimmte Empfänger, Abteilungen oder Inhalte niemals im Klartext das Haus verlassen, lässt sich im Mailprogramm nicht abbilden.
Der Empfänger. Selbst wenn intern alles sauber läuft, bleibt die Gegenseite. Wer kein S/MIME-Zertifikat besitzt, kann keine verschlüsselte Nachricht empfangen. Der Absender steht dann vor der Wahl, unverschlüsselt zu senden oder gar nicht.
Die Alternative: den Ort verschieben
Der Ausweg ist nicht ein besseres Zertifikatsmanagement im Client, sondern ein anderer Ort für die Kryptografie. Ein vorgeschaltetes Gateway übernimmt Signatur und Verschlüsselung im Mailfluss, nachdem die Nachricht das Programm verlassen hat.
Damit lösen sich die fünf Punkte von oben der Reihe nach auf:
| Problem im Client | Am Gateway |
|---|
| Zertifikat je Person und Gerät | Schlüssel liegen zentral, kein Gerät wird eingerichtet |
| Ablaufdaten im Blick behalten | Erneuerung zentral, mit Vorlauf und Benachrichtigung |
| Austritt und Vertretung | Zugriff wird zentral entzogen oder übertragen |
| Keine Durchsetzung | Regeln je Absender, Empfänger, Domain oder Gruppe, verbindlich |
| Empfänger ohne Zertifikat | Rückfall auf ein anderes Verfahren statt Klartext |
Der letzte Punkt ist der praktisch wichtigste. Ein Gateway kann für jeden Empfänger den passenden Weg wählen: S/MIME, wenn ein Zertifikat vorliegt, PGP bei vorhandenem Schlüssel, sonst eine passwortgeschützte PDF oder ein Nachrichtenportal, in dem die Gegenseite ohne jede Installation liest und antwortet. Welches Verfahren wann sinnvoll ist, ordnet unser Vergleich S/MIME und PGP im Unternehmen ein.
Was das für Thunderbird-Häuser heißt
Nichts von alledem spricht gegen Thunderbird. Der Client bleibt, wie er ist, die Konten bleiben unverändert, und am Arbeitsplatz muss nichts installiert werden. Die eigene S/MIME-Funktion in Thunderbird bleibt in diesem Aufbau ausgeschaltet, sonst verschlüsseln Client und Gateway übereinander und die Nachricht lässt sich serverseitig nicht mehr sauber weiterverarbeiten.
Für die Anwender ändert sich der Alltag kaum: Der Regelfall läuft ohne einen einzigen zusätzlichen Handgriff, für den Einzelfall genügt ein vereinbartes Schlüsselwort im Betreff, das vor der Zustellung wieder entfernt wird.
Wann sich der Wechsel lohnt
Als grobe Orientierung: Bis etwa zwanzig Postfächer lässt sich S/MIME im Client mit Disziplin betreiben. Darüber wird die Verwaltung teurer als die Lösung, und spätestens wenn eine Aufsichtsbehörde oder ein Kunde einen Nachweis verlangt, welche Nachrichten geschützt versendet wurden, kommt man um eine zentrale Stelle nicht herum. Was die DSGVO an dieser Stelle konkret fordert, steht in unserem Beitrag zur E-Mail-Verschlüsselung als Pflicht.
Wie eine Umsetzung ohne Portal-Frust und ohne Plugin-Chaos aussieht, beschreibt die Lösungsseite E-Mail-Verschlüsselung für Thunderbird und im Produktdetail Conbool SecureMail. Ein Blick auf den eigenen Aufbau lohnt sich meist schon vor der nächsten Zertifikatsrunde.
