Fragen & Antworten zu DGNcert

DGNcert ist ein Zertifikat der Klasse 1 bzw. Type E. Das DGN-Trustcenter als Certification Authority (CA) prüft hierbei das Vorhandensein der Mailadresse und den Zugriff auf das entsprechende Postfach durch den Antragsteller zum Zeitpunkt der Zertifikatserstellung. Zwar werden auch Name und Vorname des Antragstellers in das Zertifikat übernommen, deren Richtigkeit jedoch nicht durch die CA überprüft.

S/MIME (Secure/Multipurpose Internet Mail Extensions) ist ein Standardverfahren zur Verschlüsselung und Signatur von E-Mail-Nachrichten und wird von den meisten gängigen Mailclients unterstützt. Es packt die E-Mail in einen Container, fügt eine digitale Signatur hinzu und verschlüsselt auf Wunsch den Container anschließend. Für die Verwendung ist stets die Erstellung eines Zertifikats durch eine Zertifizierungsstelle erforderlich. Auch das DGN-Trustcenter ist eine solche "Certification Authority" (kurz CA).

S/MIME baut auf dem Prinzip der asymmetrischen Verschlüsselung auf (auch Public-Key-Verfahren genannt). Dabei wird ein Schlüsselpaar genutzt, das aus einem privaten Schlüssel (= Private Key) und einem öffentlichen Schlüssel (= Public Key) besteht. Der öffentliche Schlüssel ist im Zertifikat enthalten, der private Schlüssel wird in einem so genannten Zertifikatsstore geschützt gespeichert. Mit dem privaten (geheimen) Schlüssel, den nur Sie kennen sollten, werden Daten entschlüsselt oder eine digitale Signatur erzeugt. Mit dem öffentlichen Schlüssel kann man Daten verschlüsseln und erzeugte Signaturen auf ihre Authentizität überprüfen.

Beim einfachen, ungesicherten Versand einer E-Mail kann ein beliebiger Absender angegeben werden. Damit sind auch Dritte in der Lage, E-Mails unter Ihrem Namen zu verschicken. Durch das Signieren kann der Empfänger sicherstellen, dass die E-Mail tatsächlich von Ihnen bzw. Ihrer Mailadresse stammt und dass die Nachricht auf dem Transportweg nicht manipuliert wurde. Die Mail selbst liegt - falls sie nicht zusätzlich verschlüsselt wurde - weiterhin im Klartext vor. Dies hat den Vorteil, dass auch Mailprogramme ohne S/MIME-Unterstützung die Mail problemlos anzeigen können.

Wenn Sie eine Mail verschlüsseln möchten, benötigen Sie dazu den öffentlichen Schlüssel des Empfängers. Der Empfänger wiederum braucht seinen privaten Schlüssel, um die von Ihnen verschlüsselte Mail zu entschlüsseln. So ist gewährleistet, dass nur Sie beide die Mail lesen können. Bevor zwei E-Mail-Kontaktpartner die Verschlüsselung effektiv nutzen können, muss also der "öffentliche Schlüssel" des einen Partners auf den Computer des anderen gelangen und umgekehrt.

Dies ist wichtig, weil Ihre Mailkontakte Ihnen sonst keine verschlüsselten Mails senden können, denn dafür benötigen sie ja Ihren öffentlichen Schlüssel. Sie können Ihren Public Key recht unkompliziert dadurch verbreiten, dass Sie ausgehende Nachrichten stets "signiert" versenden. Jede versendete E-Mail trägt auf diese Weise den öffentlichen Schlüssel des eigenen Zertifikats.

Auch wenn Sie bislang noch nicht S/MIME verwendet haben, haben Sie vermutlich bereits einige öffentliche Schlüssel gesammelt. Denn der wird ja mit jeder signierten E-Mail zusammen mit dem zugehörigen Zertifikat automatisch mitgeschickt. Wenn Sie viele Mailkontakte haben und Ihr Programm schon lange in Betrieb ist, schauen Sie doch einmal nach, wie viele persönliche Zertifikate Ihr Mailclient ohne Ihr Zutun bereits gesammelt hat. In Thunderbird etwa finden Sie die abgespeicherten Schlüssel von Mail-Partnern unter "Extras" in den "Konteneinstellungen". Wählen Sie in der linken Spalte unter dem entsprechenden Mailkonto "S/MIME-Sicherheit", klicken Sie auf "Zertifikate verwalten" und dort auf den Karteireiter "Personen".

Bitte folgen Sie dem Link in der (zweiten) Mail, die Sie nach Bestätigung Ihrer Registrierung erhalten haben. Dort können Sie Ihre Angaben, die Sie bei der Registrierung gemacht haben, überprüfen und ggfls. korrigieren.

Im zweiten Reiter "Neues Zertifikat" können Sie ein neues Zertifikat beantragen und im Folgenden herunterladen. Dabei wird Ihnen dann auch eine neue Kennwort-SMS an Ihre korrigierte Handynummer zugestellt.

Eine Verlängerung Ihres DGNcert Zertifikats ist nicht möglich, da die Gültigkeit auf die Dauer von zwölf Monaten beschränkt ist. Sie können jedoch unter Ihrem Benutzer-Account ein neues Zertifikat abrufen. Dieses stellen wir Ihnen ebenfalls für die Dauer von zwölf Monaten gratis zur Verfügung. Bitte folgen Sie dazu dem Link zur Pflege Ihrer Daten, den Sie von uns per E-Mail erhalten hatten.

Sie können sich unter Angabe Ihrer bei der Registrierung verwendeten E-Mail-Adresse diese Mail erneut zuschicken lassen. Folgen Sie dazu bitte diesem Link.

In diesem Fall sind Thunderbird die CA- und Root-Zertifikate nicht bekannt bzw. noch nicht als vertrauenswürdig eingestuft.

Bitte gehen Sie hierzu im Menü Extras » Einstellungen » Erweitert » Zertifikate » Zertifikate verwalten » Zertifizierungsstellen auf DGN Deutsches Gesundheitsnetz Service GmbH und wählen Sie das Zertifikat dgnservice Root 7:PN. Klicken Sie dann auf Vertrauen bearbeiten und setzen in allen Punkten einen Haken. Gleichermaßen sollten auch im Zertifkat dgnservice CA 2 Type E:PN nach Klick auf Vertrauen bearbeiten alle Haken gesetzt werden.

Bitte starten Sie Thunderbird dann neu und importieren nochmals Ihr persönliches DGNcert-Softzertifikat.