Das SecureMail-Add-on für Thunderbird nutzen
Verschlüsselung beim Verfassen in Thunderbird wählen: S/MIME, OpenPGP, passwortgeschütztes PDF oder Nachrichtenportal. Installation, Kopplung pro Postfach und Rollout je Domäne.
Das SecureMail-Add-on bringt die Wahl des Zustellwegs direkt in das Verfassen-Fenster von Thunderbird. Verschlüsselt, signiert und zugestellt wird weiterhin ausschließlich am Gateway. Das Add-on setzt lediglich Kopfzeilen auf die ausgehende Nachricht, es hält kein Schlüsselmaterial und führt keine Kryptografie aus.
Damit gilt für Thunderbird dasselbe wie für jeden anderen Client: die Verschlüsselung greift auch dann, wenn das Add-on gar nicht installiert ist. Ohne Add-on entscheidet allein das Regelwerk für ausgehende Nachrichten.
Was das Add-on kann
Im Verfassen-Fenster erscheint eine Schaltfläche mit den freigegebenen Zustellwegen. Zur Auswahl stehen S/MIME, OpenPGP, passwortgeschütztes PDF und das Nachrichtenportal. Welche Methoden sichtbar sind, steuert dieselbe Konfiguration wie beim Outlook-Add-in, inklusive Freigabe pro Absendergruppe.
Vor dem Absenden kann das Add-on eine Bestätigung verlangen, wenn kein Zustellweg gewählt wurde. Ausgelöst wird sie durch dieselben Bedingungen wie in Outlook, etwa eine Empfängerdomäne, ein vorhandener Anhang oder eine Route, die nicht verschlüsselt. Ist das Add-on nicht mit dem Konto verbunden, sendet Thunderbird ohne Nachfrage, damit unverwaltete Konten nie blockiert werden.
Voraussetzungen
Thunderbird ab Version 128. Die Absenderdomäne muss im Mandanten verbunden und verifiziert sein, siehe Domäne verbinden.
Installation
Die Add-on-Datei steht im Portal unter Einstellungen, SecureMail, Add-In auf der Registerkarte Thunderbird zum Herunterladen bereit. In Thunderbird anschließend unter Extras, Add-ons und Themes über das Zahnrad den Eintrag zum Installieren aus einer Datei wählen und die heruntergeladene Datei angeben.
Eine Signatur verlangt Thunderbird dafür nicht.
Kopplung
Nach der Installation ist das Add-on noch nicht mit dem Mandanten verbunden. Die Verbindung entsteht über einen Kopplungscode aus dem Portal, den das Add-on unter Einstellungen entgegennimmt. Es gibt zwei Arten von Codes.
Einzelnes Postfach
Ein Code für genau eine Adresse. Er gilt 15 Minuten und lässt sich einmal einlösen. Passend für einzelne Arbeitsplätze und für Tests.
Ganze Domäne
Ein Code für alle Postfächer einer verifizierten Domäne. Er gilt sieben Tage und lässt sich auf beliebig vielen Rechnern einlösen. Jeder Rechner erhält dabei ein eigenes Token und bleibt einzeln widerrufbar. Das ist der Weg für einen Rollout, denn ein einziger Code genügt für die gesamte Domäne.
Bei dieser Variante meldet das Add-on die konkrete Absenderadresse mit jeder Anfrage. Das Gateway prüft sie gegen die Domäne des Tokens und zusätzlich gegen die verifizierten Domänen des Mandanten. Ein Token für eine Domäne kann deshalb niemals für eine fremde Domäne handeln.
Verteilung im Unternehmen
Für größere Umgebungen lässt sich die Add-on-Datei über die Unternehmensrichtlinie von Thunderbird verteilen. In der policies.json sorgt ein Eintrag unter ExtensionSettings mit dem Installationsmodus force_installed und der Adresse der Datei dafür, dass das Add-on bei jedem Start vorhanden ist. Zusammen mit einem Einschreibecode für die Domäne bleibt für den Anwender nur noch ein einziger Schritt.
Zugänge verwalten und widerrufen
Alle verbundenen Zugänge stehen im Portal unter Einstellungen, SecureMail, Add-In auf der Registerkarte Thunderbird. Sichtbar sind der Status, die letzte Aktivität und die zugehörige Adresse oder Domäne. Jeder Zugang lässt sich einzeln widerrufen, das zugehörige Token ist danach sofort ungültig.
Ein Einschreibecode für eine Domäne wird getrennt von den daraus entstandenen Zugängen widerrufen. Wird er widerrufen, kommen keine neuen Rechner mehr hinzu, bereits verbundene arbeiten unverändert weiter.
Unterschiede zum Outlook-Add-in
Das Outlook-Add-in meldet sich über Entra ID an und wird über das Microsoft 365 Admin Center ausgerollt, beschrieben unter SecureMail für Microsoft 365. Thunderbird kennt diesen Weg nicht, deshalb die Kopplung über einen Code. Fachlich verhalten sich beide gleich: dieselben Zustellwege, dieselbe Konfiguration, dieselbe Bestätigung vor unverschlüsseltem Versand.