S/MIME gibt Ihrer E‑Mail zwei Dinge, die gewöhnliche Post nicht kann. Eine signierte Nachricht beweist, dass sie wirklich von Ihnen stammt und unverändert angekommen ist; eine verschlüsselte Nachricht kann nur von der Person geöffnet werden, an die Sie sie gesendet haben. BlueMail unterstützt beides auf Android.
Was Sie brauchen
- Ein Zertifikat für Ihre Adresse, als
.p12oder.pfxDatei, plus das Passwort, das es schützt. Diese stammen in der Regel von der IT‑Abteilung Ihrer Organisation oder einer Zertifizierungsstelle, und das Zertifikat muss auf dieselbe Adresse ausgestellt sein wie das Konto, das Sie einrichten. - Eine Enterprise‑Lizenz. S/MIME ist Teil des Enterprise‑Angebots von BlueMail. Wo es noch nicht enthalten ist, zeigt der S/MIME‑Bildschirm einen Hinweis Enterprise license required mit einem Billing Link, damit Sie genau sehen können, wonach Sie fragen müssen.
Speichern Sie die .p12 an einem Ort, auf den Ihr Telefon zugreifen kann, Downloads, Google Drive oder einen Anhang, den Sie sich selbst gesendet haben. BlueMail importiert aus der Datei selbst, daher liest es nicht ein bereits im Android‑eigenen Schlüsselbestand installiertes Zertifikat; halten Sie die .p12 bereit.
Nach dem Import wird der private Schlüssel in der sicheren Speicherung von BlueMail auf diesem Gerät aufbewahrt.
Importieren Ihres Zertifikats
- Gehen Sie zu Einstellungen | Datenschutz & Sicherheit | Ende‑zu‑Ende‑Verschlüsselung.
- Tippen Sie auf S/MIME‑Verschlüsselung & ‑Signatur.
- Wählen Sie das Konto, das Sie einrichten.
- Unter Zertifikate für dieses Konto tippen Sie neben Signaturzertifikat auf Auswählen….
- Wählen Sie Ihre
.p12oder.pfxDatei im Android‑Dateiauswahlfeld. - Geben Sie das Passwort der Datei bei der Eingabeaufforderung Zertifikatspasswort ein und tippen Sie auf Importieren.
Sie sehen Zertifikat importiert, und das Zertifikat zeigt dann seine Gültigkeitsdaten und einen SHA-256 Fingerabdruck, damit Sie bestätigen können, dass Sie das richtige geladen haben. Wiederholen Sie das für Verschlüsselungszertifikat, viele Zertifikate decken beide Aufgaben ab, in diesem Fall importieren Sie dieselbe Datei zweimal.
Wenn die Datei zu einer anderen Adresse gehört, sagt BlueMail das direkt, was Ihnen die Suche nach einem Konfigurationsproblem erspart, das gar nicht vorhanden ist.
Zertifikate über eine Flotte verteilen
Für verwaltete Android‑Geräte muss niemand Zertifikatsdateien manuell handhaben. BlueMail unterstützt Android Enterprise managed configurations, sodass Ihre IT‑Abteilung die S/MIME‑Identität jedes Benutzers mit der App liefern kann: Mitarbeitende öffnen BlueMail und ihr Zertifikat ist bereits vorhanden, signiert und entschlüsselt ab dem ersten Start.
BlueMail weist ein bereitgestelltes Zertifikat dem richtigen Konto anhand der im Zertifikat enthaltenen E‑Mail‑Adresse zu, sodass es ohne gerätespezifische Einrichtung im richtigen Postfach landet. Der Import läuft einmal und wird dann übersprungen, sodass das erneute Öffnen der App ihn nie wiederholt, während das Veröffentlichen eines Ersatzes, etwa bei Erneuerung, das neue Zertifikat automatisch ausrollt.
Android hat hier einen echten Vorteil: Es sendet Änderungen an Einschränkungen an die App, sodass BlueMail eine neue oder aktualisierte Konfiguration sofort übernimmt, sobald Ihr EMM sie anwendet, statt auf den nächsten Start zu warten.
Für Administratoren. Drei Schlüssel in der verwalteten Konfiguration erledigen die Arbeit:
smimeP12: die Identität selbst, als base64‑kodiertes.p12smimeP12Password: das Passwort, das dieses.p12schütztenableSmime: gewährt das S/MIME‑Recht, sodass ein verwaltetes Gerät nichts separat arrangiert benötigen
Der Vorteil von Android ist das Timing: Es sendet Änderungen an Einschränkungen, sodass BlueMail eine neue oder aktualisierte Konfiguration sofort übernimmt, sobald Ihr EMM sie anwendet, statt auf den nächsten Start zu warten. Die umfangreichere Menge an verwalteten Einstellungen ist in Can I deploy BlueMail with MDM?.
Für iPhone und iPad entspricht das iOS Managed App Configuration; siehe How do I use S/MIME on iPhone and iPad?.
Der ausstellenden Autorität vertrauen, die eine Signatur erstellt hat
Der Abschnitt Trusted CAs ist das, was BlueMail erlaubt, die Signaturen anderer Leute zu bestätigen: "Certificate authorities used to verify signed mail as trusted. Importing a .p12 also trusts its issuing chain."
Das Importieren Ihres eigenen Zertifikats deckt in der Regel Kollegen ab, die denselben Aussteller teilen. Für alle außerhalb dieser Kette tippen Sie auf CA‑Zertifikat importieren und wählen deren .pem oder .cer Datei. Der Abschnitt führt eine laufende Zählung der Zertifizierungsstellen, denen Sie vertrauen.
Wählen, was mit jeder E‑Mail passieren soll
Mit einem vorhandenen Zertifikat erscheint beim Verfassen rechts neben der Betreff‑Zeile eine Sicherheits‑Schaltfläche. Tippen Sie darauf und wählen Sie, wie Sie diese Nachricht senden möchten:
| Modus | Was er bewirkt |
|---|---|
| None | Senden ohne Signatur oder Verschlüsselung |
| Sign | Bestätigt Ihre Identität gegenüber Empfängern |
| Encrypt | Nur Empfänger mit einem Schlüssel können sie lesen |
| Sign & Encrypt | Empfohlen |
Die Wahl gilt für die gerade geöffnete E‑Mail, sodass Sie Routine‑Mails signieren und gelegentlich sensible Mails verschlüsseln können, ohne die Einstellungen aufzusuchen.
Um es stattdessen einmal festzulegen, verwenden Sie Standardverhalten für ausgehende E‑Mails auf dem S/MIME‑Bildschirm:
- Alle ausgehenden Nachrichten digital signieren
- Nachrichten standardmäßig verschlüsseln, wenn alle Empfänger S/MIME unterstützen: Verschlüsselung gilt immer, wenn BlueMail für alle Empfänger der Nachricht ein Zertifikat hat, und bleibt aus, wenn sie fehlschlagen würde
- Klar signierte Kopien zur Kompatibilität senden: hält signierte Mails in Apps lesbar, die S/MIME‑Signaturen nicht verarbeiten
An andere Personen verschlüsseln
Verschlüsselung benötigt das Zertifikat des Empfängers, und BlueMail sucht diese beim Adressieren der Nachricht; Sie sehen möglicherweise kurz "Looking up S/MIME certificates for recipients…". Wenn jemand kein Zertifikat verfügbar hat, benennt BlueMail diese unter Fehlende S/MIME‑Zertifikate statt etwas zu senden, das sie nicht öffnen könnten, sodass Sie stattdessen signieren oder sie um ihr Zertifikat bitten können.
Der einfachste Weg, Zertifikate zu sammeln, ist der Austausch signierter Mails: eine signierte Nachricht trägt das Zertifikat des Absenders, sodass Sie, sobald ein Kontakt eine E‑Mail an Sie signiert hat, ab dann an ihn verschlüsseln können.
Signierte und verschlüsselte Mails lesen
Eingehende S/MIME‑Nachrichten tragen ein Abzeichen in der Kopfzeile, das zeigt, was BlueMail bestätigt hat: Signiert, Verschlüsselt, Signiert & Verschlüsselt, oder Signiert · nicht verifizierter Absender, wenn die Signatur noch nicht mit einer vertrauenswürdigen Autorität verknüpft werden kann. Möglicherweise sehen Sie kurz Signatur wird überprüft... oder Entschlüsseln..., während es arbeitet.
Tippen Sie auf das Abzeichen für S/MIME‑Nachrichteninformationen, das Signiert mit, Entschlüsselt mit, Ihr Zertifikat, Verschlüsselt an und den SHA-256 Fingerabdruck anzeigt.
Wenn eine Signatur als nicht verifiziert angezeigt wird, gibt BlueMail den Grund an, und der Grund weist auf die Lösung:
- "Das Zertifikat des Absenders stammt nicht von einer vertrauenswürdigen Autorität. Importieren Sie dessen CA, um ihr zu vertrauen.", fügen Sie diese Autorität unter Trusted CAs oben hinzu.
- "Die E‑Mail im Zertifikat stimmt nicht mit der Adresse des Absenders überein."
- "Das Zertifikat des Absenders ist abgelaufen." oder "ist noch nicht gültig."
- "Das Zertifikat ist nicht für den E‑Mail‑Schutz autorisiert." oder "zum Signieren."
Lieber PGP?
BlueMail unterstützt auch PGP, auf demselben Ende‑zu‑Ende‑Verschlüsselung‑Bildschirm, und PGP ist vollständig kostenlos, keine Enterprise‑Lizenz, nichts zu kaufen. Siehe PGP‑Schlüssel in BlueMail.
Ein Zertifikat entfernen
Tippen Sie neben einem Zertifikat auf Entfernen. BlueMail bestätigt zuerst: "Dies löscht das S/MIME Zertifikat und dessen privaten Schlüssel von diesem Gerät. Sie können es später erneut importieren."
Beim Entfernen des gesamten Kontos wird gefragt, ob der private Schlüssel auf dem Gerät verbleiben soll. Das Beibehalten bedeutet, dass das erneute Hinzufügen des Kontos Ihre vergangenen S/MIME‑Mails ohne weiteren Import entschlüsselt; Schlüssel löschen bedeutet, dass Sie die .p12 erneut benötigen.
Auch verfügbar auf iPhone und iPad, Windows, Mac und Linux, und zusammengefasst in S/MIME Support.
