Wie verwende ich S/MIME auf iOS?

S/MIME gibt Ihrer E‑Mail zwei Dinge, die gewöhnliche Post nicht bieten kann. Eine signierte Nachricht beweist, dass sie wirklich von Ihnen stammt und unverändert angekommen ist; eine verschlüsselte Nachricht kann nur von der Person geöffnet werden, an die Sie sie gesendet haben. BlueMail unterstützt beides auf iPhone und iPad.

Was Sie benötigen

• Ein Zertifikat für Ihre Adresse, als .p12- oder .pfx-Datei, zusammen mit dem Passwort, das es schützt. Diese werden in der Regel von der IT-Abteilung Ihrer Organisation oder einer Zertifizierungsstelle ausgestellt, und das Zertifikat muss auf dieselbe Adresse ausgestellt sein wie das Konto, das Sie einrichten.
• Eine Enterprise-Lizenz. S/MIME ist Teil des Enterprise-Angebots von BlueMail. Wenn Ihr Konto noch nicht darauf ist, zeigt der S/MIME-Bildschirm einen Hinweis Enterprise-Lizenz erforderlich mit einem Abrechnung-Link, damit Sie genau sehen, wonach Sie fragen müssen.

Haben Sie die .p12-Datei an einem Ort, den Ihr Gerät erreichen kann, gespeichert in Dateien, iCloud Drive oder als Anhang an sich selbst gesendet.

BlueMail importiert das Zertifikat aus einer Datei, nicht aus einem installierten iOS-Profil. Wenn Ihr Zertifikat als Konfigurationsprofil unter Einstellungen | Allgemein | VPN & Geräteverwaltung eingegangen ist, verwahrt iOS diese Identität für seine eigene Nutzung und BlueMail liest stattdessen die .p12. Bitten Sie den Aussteller um die Datei oder lassen Sie Ihr IT-Team sie direkt an BlueMail pushen, wofür der untenstehende Managed-Configuration-Weg gedacht ist.

Nach dem Import wird der private Schlüssel in BlueMail's eigenem Schlüsselbund-Eintrag gehalten und so eingestellt, dass er niemals mit iCloud synchronisiert oder auf ein anderes Gerät migriert wird, sodass der Schlüssel auf dem Gerät bleibt, auf dem Sie ihn importiert haben.

Importieren Ihres Zertifikats

1. Gehen Sie zu Einstellungen | Datenschutz & Sicherheit | Ende-zu-Ende-Verschlüsselung.
2. Tippen Sie auf S/MIME-Verschlüsselung & -Signatur.
3. Wählen Sie das Konto, das Sie einrichten.
4. Unter Zertifikate für dieses Konto tippen Sie neben Signierzertifikat auf Auswählen….
5. Wählen Sie Ihre .p12- oder .pfx-Datei im iOS-Dateiauswahlfenster.
6. Geben Sie das Dateipasswort bei der Eingabeaufforderung Zertifikatspasswort ein und tippen Sie auf Importieren.

Sie sehen Zertifikat importiert, und das Zertifikat zeigt nun seine Gültigkeitsdaten und einen SHA-256-Fingerabdruck, damit Sie bestätigen können, dass Sie das richtige geladen haben.

Machen Sie dasselbe für Verschlüsselungszertifikat. Viele Zertifikate decken sowohl Signatur als auch Verschlüsselung ab, in diesem Fall importieren Sie dieselbe Datei in beide Felder.

Wenn die Datei auf eine andere Adresse ausgestellt ist, sagt BlueMail Ihnen klar: "Dieses Zertifikat ist ausgestellt an …, nicht an dieses Konto …", was Ihnen erspart, nach einem Konfigurationsproblem zu suchen, das nicht existiert.

Automatisches Pushen Ihres Zertifikats

Wenn Ihr Gerät von Ihrer Organisation verwaltet wird, müssen Sie vielleicht nichts von dem oben Beschriebenen tun. BlueMail unterstützt iOS Managed App Configuration, sodass Ihr IT-Team Ihre S/MIME-Identität zusammen mit der App bereitstellen kann. Sie öffnen BlueMail und Ihr Zertifikat ist bereits vorhanden, signiert und entschlüsselt sofort. Nichts zum Herunterladen, kein Passwort wird herumgeschickt und keine Chance, die falsche Datei zu importieren.

BlueMail ordnet ein gepuschtes Zertifikat dem richtigen Konto anhand der E‑Mail-Adresse im Zertifikat zu, sodass es von selbst im richtigen Postfach landet. Der Import läuft einmal und wird danach übersprungen, sodass das erneute Öffnen der App ihn nicht wiederholt. Das Ersetzen eines Zertifikats bei Erneuerung pusht einfach das neue durch.

Für Administratoren. Drei Schlüssel in der Managed-App-Konfiguration erledigen die Arbeit:

• smimeP12: die Identität selbst, als base64-codierte .p12
• smimeP12Password: das Passwort, das jene .p12 schützt
• enableSmime: gewährt das S/MIME-Berechtigungsrecht, sodass ein verwaltetes Gerät nichts separat eingerichtet haben muss

iOS liest die verwaltete Konfiguration erneut, wenn BlueMail als Nächstes in den Vordergrund kommt, sodass eine von Ihnen veröffentlichte Änderung beim nächsten Öffnen der App gilt. Das vollständige Set verwalteter Einstellungen, einschließlich der Policy-Schlüssel, die zusammen mit diesen ausgeliefert werden, finden Sie in S/MIME Support], und die erweiterte Menge verwalteter Einstellungen ist in Kann ich BlueMail mit MDM bereitstellen?.

Android wird auf gleiche Weise über Android Enterprise konfiguriert; siehe Wie verwende ich S/MIME auf Android?.

Vertrauen der ausstellenden Behörde für eine Signatur

Der Abschnitt Vertrauenswürdige CAs ist das, was BlueMail erlaubt, die Signaturen anderer Personen zu bestätigen: "Zertifizierungsstellen, die zur Überprüfung signierter E‑Mails als vertrauenswürdig gelten. Das Importieren einer .p12 vertraut auch ihrer ausstellenden Kette."

Das Importieren Ihres eigenen Zertifikats deckt in der Regel auch Ihre Kollegen ab, da Sie einen Aussteller teilen. Für jeden außerhalb dieser Kette tippen Sie auf CA-Zertifikat importieren und wählen deren .pem- oder .cer-Datei. Der Abschnitt führt eine Zählung, wie viele Behörden Sie vertrauen.

Festlegen, was mit jeder E‑Mail passiert

Sobald ein Zertifikat vorhanden ist, erscheint beim Verfassen rechts neben der Betreff-Zeile eine Sicherheitstaste. Tippen Sie darauf und wählen Sie, wie Sie diese Nachricht senden möchten:

Die Auswahl gilt für die gerade offene E‑Mail, sodass Sie Routine‑Mails signieren und gelegentlich vertrauliche Nachrichten verschlüsseln können, ohne Einstellungen zu ändern.

Um nicht jedes Mal entscheiden zu müssen, legen Sie Ihre Standardwerte im S/MIME-Bildschirm unter Standardverhalten für ausgehende Mail fest:

• Alle ausgehenden Nachrichten digital signieren: jede Nachricht wird signiert versendet.
• Nachrichten standardmäßig verschlüsseln, wenn alle Empfänger S/MIME unterstützen: Verschlüsselung wird automatisch angewendet, wenn BlueMail ein Zertifikat für alle Empfänger der Nachricht hat, und bleibt aus, wenn sie fehlschlagen würde.
• Klar signierte Kopien zur Kompatibilität senden: hält signierte Mail in Apps lesbar, die S/MIME‑Signaturen nicht verarbeiten.

Verschlüsseln an andere Personen

Für die Verschlüsselung wird das Zertifikat des Empfängers benötigt, und BlueMail sucht diese für Sie, während Sie die Nachricht adressieren; Sie sehen kurz "Suchen nach S/MIME-Zertifikaten für Empfänger…". Wenn jemand in der Liste kein Zertifikat verfügbar hat, listet BlueMail ihn unter Fehlende S/MIME-Zertifikate auf, anstatt etwas zu senden, das er nicht öffnen könnte, sodass Sie diese Nachricht stattdessen signieren oder ihn um sein Zertifikat bitten können.

Der zuverlässige Weg, Zertifikate zu sammeln, besteht einfach darin, signierte Post auszutauschen: eine signierte Nachricht trägt das Zertifikat des Absenders mit sich, sodass Sie, sobald ein Kontakt Ihnen eine E‑Mail signiert, von da an an ihn verschlüsseln können.

Signierte und verschlüsselte Mail lesen

Eingehende S/MIME‑Nachrichten tragen ein Abzeichen in der Nachrichtenkopfzeile, das anzeigt, was BlueMail bestätigt hat:

• Signiert: die Signatur ist in Ordnung.
• Verschlüsselt: die Nachricht war an Sie verschlüsselt und wurde auf Ihrem Gerät entschlüsselt.
• Signiert & Verschlüsselt: beides.
• Signiert · nicht verifizierter Absender: die Nachricht ist signiert, aber BlueMail konnte die Signatur noch nicht mit einer vertrauenswürdigen Behörde verknüpfen.

Sie sehen möglicherweise einen Moment lang Signatur wird überprüft... oder Entschlüsselung..., während es arbeitet.

Tippen Sie auf das Abzeichen für S/MIME‑Nachrichteninformationen, das Signiert mit, Entschlüsselt mit, Ihr Zertifikat, Verschlüsselt an und den SHA-256-Fingerabdruck anzeigt — alles, was Sie benötigen, um genau zu bestätigen, welches Zertifikat verwendet wurde.

Wenn eine Signatur als nicht verifiziert angezeigt wird, erklärt BlueMail warum, und der Grund weist auf die Lösung hin:

• "Das Zertifikat des Unterzeichners stammt nicht von einer vertrauenswürdigen Behörde. Importieren Sie dessen CA, um sie zu vertrauen.", fügen Sie diese Behörde oben unter Vertrauenswürdige CAs hinzu.
• "Die E‑Mail im Zertifikat stimmt nicht mit der Adresse des Absenders überein."
• "Das Zertifikat des Unterzeichners ist abgelaufen." oder "noch nicht gültig."
• "Das Zertifikat ist nicht für E‑Mail-Schutz autorisiert." oder "für Signaturen."

Bevorzugen Sie PGP?

BlueMail unterstützt PGP ebenfalls, auf demselben Ende-zu-Ende‑Verschlüsselung-Bildschirm, und PGP ist völlig kostenlos, keine Enterprise‑Lizenz, nichts zu kaufen. Wenn Sie lieber PGP‑Schlüssel statt einer Zertifizierungsstelle verwenden möchten, siehe PGP‑Schlüssel in BlueMail.

Entfernen eines Zertifikats

Tippen Sie neben einem Zertifikat auf Entfernen. BlueMail bestätigt zuerst: "Dies löscht das S/MIME-Zertifikat und seinen privaten Schlüssel von diesem Gerät. Sie können es später erneut importieren."

Beim Entfernen des gesamten Kontos fragt BlueMail ob der private Schlüssel auf dem Gerät behalten werden soll. Das Beibehalten bedeutet, dass das erneute Hinzufügen des Kontos Ihre vergangene S/MIME‑Mail ohne weiteren Import entschlüsselt; die Wahl Schlüssel löschen bedeutet, dass Sie die .p12-Datei erneut benötigen.

Die Verwaltung von Zertifikaten auf iOS erfolgt vollständig von diesem Bildschirm aus, die Desktop‑Apps bieten zusätzlich einen Link in den eigenen Zertifikatmanager des Betriebssystems.

Ebenfalls verfügbar auf Android, Windows, Mac und Linux, und zusammengefasst in S/MIME Support.