Wenn jemand eine E-Mail digital signiert versendet, können Sie in Ihrem E-Mail-Programm erkennen, ob und welches Zertifikat verwendet wurde. Das ist auch die Voraussetzung dafür, dass Sie verschlüsselte E-Mails an diese Person senden können – denn dafür benötigen Sie den öffentlichen Schlüssel aus dem Zertifikat des Empfängers.

• Outlook (Microsoft 365)

  Öffnen Sie die E-Mail des Absenders. Bei einer digital signierten Nachricht erscheint im Nachrichtenkopf ein rotes Siegel-Symbol (rotes Band mit Schleife).

  

  Klicken Sie auf das Symbol. Es öffnet sich ein kleines Fenster mit dem Hinweis „Digitale Signatur: Gültig" Klicken Sie dort auf Details, auf den "Signierer:", dann auf "Details anzeigen..." und schließlich auf "Zertifikat anzeigen..." um weitere Informationen zum Zertifikat zu erhalten, etwa den Namen des Inhabers und die ausstellende Stelle.

  

  Outlook übernimmt das Zertifikat des Absenders automatisch in Ihre Kontakte, sodass Sie anschließend verschlüsselte E-Mails an diese Person senden können.

• Thunderbird

  Öffnen Sie die E-Mail des Absenders. Bei einer digital signierten Nachricht erscheint rechts oben im Nachrichtenkopf ein Siegel-Symbol.

  

  Klicken Sie auf das Symbol. Es öffnet sich ein Bereich, der anzeigt ob die Signatur gültig ist. Über den Button Signaturzertifikat anzeigen gelangen Sie zu den vollständigen Zertifikatsdetails, u. a. Name, E-Mail-Adresse und Gültigkeitszeitraum.

  

  Thunderbird speichert das Zertifikat des Absenders automatisch. Sobald Sie das Zertifikat einmal erhalten haben, können Sie dieser Person auch verschlüsselte E-Mails senden.

• Horde Webmail

  Öffnen Sie die E-Mail des Absenders. Wenn die Nachricht digital signiert wurde, erscheint im Nachrichtenkopf ein Symbol mit einem Schloss sowie ein Hinweistext zur Signatur.

  

  Klicken Sie auf den Hinweistext "Klicken Sie HIER, um die Daten zu überprüfen" und dann hinter "Absender:" auf den Namen des Absenders um Details zum verwendeten Zertifikat anzuzeigen – darunter den Namen des Inhabers, die E-Mail-Adresse sowie die ausstellende Zertifizierungsstelle.

  

Ja, auch hierfür gibt es im rechten Bereich auf der Website eine Anleitung für den Bezug.

Das Nutzerzertifikat hat eine Laufzeit/Gültigkeit von 730 Tagen (2 Jahre).

Fehlermeldung in Thunderbird: „Zertifikateverwaltung kann kein gültiges Zertifikat finden, das verwendet werden kann, um Ihre Nachrichten mit der Adresse <vorname.nachname@uni-hohenheim.de> digital zu unterschreiben.“

• Navigieren Sie in die „Konten-Einstellungen“ unter dem Menü „Extras“.
• Wählen Sie links die „Ende-zu-Ende-Verschlüsselung“.
• Klicken Sie auf den Button „Auswählen“ unter „Persönliches Zertifikat für digitale Unterschrift“ und bei „Persönliches Zertifikat für Verschlüsselung“ und wählen das neue gültige Zertifikat aus.

 

 

Fehlermeldung in Thunderbird: „Senden der Nachricht ist fehlgeschlagen: Sie haben ausgewählt, diese Nachricht digital zu unterschreiben, aber die Anwendung konnte das Unterschiffszertifikat nicht finden, das sie in ihren Kontoeinstellungen angegeben haben, oder das Zertifikat ist abgelaufen.“

• Navigieren Sie in die „Konten-Einstellungen“ unter dem Menü „Extras“.
• Wählen Sie links die „Ende-zu-Ende-Verschlüsselung“.
• Klicken Sie auf den Button „S/MIME-Zertifikate verwalten“.
• Klicken Sie auf „Importieren“ und wählen Sie das neue Zertifikat aus.
• Klicken Sie auf „Leeren“ bei „Persönliches Zertifikat für digitale Unterschrift“ und bei „Persönliches Zertifikat für Verschlüsselung“.
• Klicken Sie auf den Button „Auswählen“ unter „Persönliches Zertifikat für digitale Unterschrift“ und bei „Persönliches Zertifikat für Verschlüsselung“ und wählen das neue gültige Zertifikat aus.

 

 

Technisch ja – HARICA-S/MIME-Nutzerzertifikate lassen sich in Adobe Acrobat bzw. Reader zum Signieren von PDF-Dokumenten verwenden. Für extern validierbare Signaturen sind sie jedoch nicht geeignet: Beim Empfänger wird die Signatur ohne vorherigen manuellen Import des HARICA-Root-Zertifikats nicht automatisch als vertrauenswürdig angezeigt.

Adobe Acrobat prüft bei PDF-Signaturen zwei Kriterien, die HARICA-S/MIME-Zertifikate nicht erfüllen:

1. Extended Key Usage (EKU): Nutzerzertifikate enthalten ausschließlich emailProtection und clientAuth, nicht jedoch den für Dokumentensignaturen vorgesehenen OID id-kp-documentSigning.
2. Vertrauenskette: Die Zertifikate werden über das Root „HARICA Client RSA Root CA 2021" ausgestellt. Dieses ist nicht in der Adobe Approved Trust List (AATL) als Document-Signing-Root hinterlegt – im Gegensatz zu den dedizierten Roots „HARICA Document Signing RSA 1" und „HARICA Document Signing ECC 1".

Ja, sofern der interne Empfänger das HARICA-Root-Zertifikat manuell in Adobe Acrobat als vertrauenswürdig importiert hat. Eine Signatur wird dann ohne Warnung angezeigt. Für eine standardmäßig automatische Validierung – insbesondere bei externer Kommunikation – sind jedoch dedizierte Dokumentensignaturzertifikate erforderlich.

Für PDF-Signaturen, die ohne Vorkonfiguration auf Empfängerseite als vertrauenswürdig anerkannt werden, sind dedizierte Dokumentensignaturzertifikate erforderlich – z. B. HARICA Advanced eSignature. Diese werden über die AATL-gelisteten Roots „HARICA Document Signing RSA 1" bzw. „HARICA Document Signing ECC 1" ausgestellt und enthalten den korrekten EKU id-kp-documentSigning, sind allerdings kostenpflichtig. Wenden Sie sich bei Bedarf an kim-pki@uni-hohenheim.de.

 

 

Die eIDAS-Verordnung unterscheidet drei Stufen:

• EES – Einfache elektronische Signatur: Jede Form digitaler Willenserklärung, z. B. ein getippter Name unter einer E-Mail oder ein eingescannter Unterschriftenstempel. Bietet keine technische Sicherheit gegen Manipulation oder Identitätsmissbrauch.
• FES – Fortgeschrittene elektronische Signatur: Kryptographisch erzeugte Signatur, die den Unterzeichner eindeutig identifiziert, ausschließlich unter dessen Kontrolle steht und nachträgliche Änderungen am Dokument erkennbar macht. Entspricht dem technischen Standard, der mit HARICA-Zertifikaten erreicht wird.
• QES – Qualifizierte elektronische Signatur: Eine FES, die zusätzlich mit einem qualifizierten Zertifikat eines zugelassenen Vertrauensdiensteanbieters und einer sicheren Signaturerstellungseinheit (z. B. Signaturkarte) erstellt wird. Nur die QES ist nach § 126a BGB der handschriftlichen Unterschrift rechtlich gleichgestellt.