E-Mail-Verschlüsselungfür Thunderbird.Ohne Add-on.
Der Schutz entsteht nicht im Mailprogramm, sondern auf einer Station davor. Thunderbird schreibt und sendet wie bisher, ohne Erweiterung und ohne Zertifikat im Profil. S/MIME, PGP, passwortgeschützte PDF und Nachrichtenportal wählt das Gateway je Empfänger selbst.
Warum S/MIME im Client scheitert
Thunderbird kann Verschlüsselung. Die Verwaltung ist das Problem, nicht die Technik.
Ein Zertifikat je Person und je Gerät
Bürorechner, Notebook und Diensthandy brauchen denselben Schlüssel dreimal. Jeder Gerätetausch wiederholt den Vorgang, und das Telefon fällt in der Praxis fast immer heraus.
Ablauf, Austritt, Vertretung
Zertifikate laufen nach ein bis drei Jahren ab. Verlässt jemand das Haus, bleibt der private Schlüssel auf dem Gerät. Eine Vertretung kann verschlüsselte Post nicht lesen.
Keine verbindliche Regel
Ein Mailprogramm kann Verschlüsselung anbieten, aber nicht verlangen. Ob die Nachricht mit Personaldaten geschützt hinausgeht, hängt an einem Klick, den jemand vergessen kann.
Empfänger ohne Zertifikat
Ohne öffentliches Zertifikat der Gegenseite ist keine verschlüsselte Nachricht möglich. Es bleibt die Wahl zwischen Klartext und gar nicht senden.
Den Ort der Verschlüsselung verschieben
Was am Gateway passiert, gilt für jedes Programm und jedes Gerät.
Station vor dem Postfach
SecureMail wird dem bestehenden Mailfluss vorgeschaltet. Die Nachricht verlässt Thunderbird wie gewohnt und wird danach signiert und verschlüsselt. Am Arbeitsplatz ist nichts einzurichten.
Vier Zustellwege, automatisch gewählt
S/MIME bei vorhandenem Zertifikat, PGP bei vorhandenem Schlüssel, sonst passwortgeschützte PDF oder Nachrichtenportal. Kein Absender muss wissen, was die Gegenseite kann.
Regeln statt Handgriffe
Regeln je Absender, Empfänger, Domain oder Gruppe entscheiden verbindlich. Was einer Pflichtregel unterliegt, verlässt das Haus nur geschützt oder gar nicht.
Was damit abgedeckt ist
Verschlüsselung, Signatur und Nachweis an einer Stelle.
S/MIME und PGP zentral
Schlüssel liegen zentral, nicht auf Endgeräten. Beschaffung, Erneuerung und Entzug laufen an einer Stelle, mit Vorlauf und Benachrichtigung.
Passwortgeschützte PDF
Wenn beim Empfänger nichts vorhanden ist, werden Nachricht und Anhänge zu einer geschützten PDF. Das Passwort läuft über einen getrennten Kanal.
Nachrichtenportal
Die Nachricht bleibt geschützt liegen, der Empfänger liest und antwortet im Browser. Ohne Installation, ohne Zertifikat, ohne Konto beim Absender.
Signatur nach außen
Ausgehende Post wird signiert. Die Gegenseite sieht, dass die Nachricht wirklich aus dem Haus stammt und unterwegs nicht verändert wurde.
Eingehend entschlüsselt und geprüft
Verschlüsselte Post wird vor der Zustellung geöffnet und die Signatur geprüft. In Thunderbird erscheint eine gewöhnliche, lesbare Nachricht.
Unabhängig vom Zugriffsprotokoll
Ob Thunderbird per IMAP, EWS oder künftig Graph auf das Postfach zugreift, ändert an der Schutzwirkung nichts. Protokollwechsel berühren die Verschlüsselung nicht.
Gateway gegen Zertifikate im Client
Dieselbe Verschlüsselung, zwei sehr verschiedene Betriebsmodelle.
Conbool SecureMail | S/MIME im Thunderbird-Profil | |
|---|---|---|
| Einrichtung am Arbeitsplatz | Keine. Kein Add-on, kein Zertifikat, keine Profiländerung | Import je Person und je Gerät |
| Zertifikatsverwaltung | Zentral, mit Erneuerung und Entzug | Verteilt auf Endgeräten, Ablauf fällt erst beim Empfänger auf |
| Empfänger ohne Zertifikat | Rückfall auf PDF oder Portal | Versand nur im Klartext möglich |
| Verbindliche Vorgabe | Regel je Absender, Empfänger oder Gruppe | Abhängig vom Klick im Verfassen-Fenster |
| Diensthandy und Webmail | Einbezogen, ohne Einrichtung | In der Praxis ungeschützt |
| Nachweis für die Prüfung | Zentral nachvollziehbar | Aus verteilten Profilen nicht ermittelbar |
Die Gegenüberstellung beschreibt den Betrieb im Unternehmen. Für einzelne Anwender bleibt die Verschlüsselung im Client eine tragfähige Lösung.
Häufige Fragen
Kann Thunderbird ohne Add-on verschlüsseln?
Muss die eigene S/MIME-Funktion in Thunderbird ausgeschaltet bleiben?
Was passiert, wenn der Empfänger kein Zertifikat hat?
Gilt der Schutz auch auf dem Diensthandy?
Ändert die EWS-Abschaltung in Exchange Online etwas daran?
Wie wird eine einzelne Nachricht ohne Add-on als vertraulich gekennzeichnet?
Verwandte Lösungen
Thunderbird behalten, Verschlüsselung gewinnen.
Ohne Software am Arbeitsplatz, ohne Zertifikate auf Endgeräten. Betrieb und Daten in Deutschland.