# S/MIME Zertifikate (Nutzerzertifikate)
# Allgemeines zu S/MIME Zertifikaten
Mit einem S/MIME lässt sich nachweisen, wer der Absender einer E-Mail ist oder von welchem Autor eine Textdatei stammt. Diese sogenannten Nutzerzertifikate können weiterhin eingesetzt werden, um E-Mails zu verschlüsseln, eine Identität im Internet nachzuweisen oder aber sich an Webseiten oder Diensten anzumelden.
An der TU-Braunschweig bieten wir über die Public Key Infrastructure (PKI) des Deutschen Forschungsnetzes (DFN) und den Zertifikatsaussteller HARICA S/MIME Zertifikate an. Diese Zertifikate decken die meisten der oben genannten Anwendungsgebiete ab, eignen sich aber nicht zum Signieren von Dokumenten.
### Übersicht der vorhanden S/MIME Zertifikate
Um in die Zertifikatsverwaltung für S/MIME Zertifikate zu gelangen, navigieren Sie bitte zu folgender URL: [https://netbridge.rz.tu-bs.de/](https://netbridge.rz.tu-bs.de/) und loggen sich per SSO ein.
[](https://books.rz.tu-bs.de/uploads/images/gallery/2026-01/QmoWErVGWICPriaN-screenshot-2025-12-17-at-14-13-33.png)
Sie gelangen auf eine Startseite, auf der Sie im linken Menü den Unterpunkt "S/MIME Certificates" auswählen.
[](https://books.rz.tu-bs.de/uploads/images/gallery/2026-01/MTHhiUWZ8VIGiJxN-screenshot-2025-12-17-at-14-14-18.png)
Je nach Anzahl der vorhandenen Zertifikate kann es einige Zeit dauern, bis die Übersichtsseite geladen ist. Hier sehen Sie eine Auflistung der aktuellen und gültigen Zertifikate des aktuellen (HARICA) und des vorherigen Zertifikatsanbieters (Sectigo). Zurückgerufene oder abgelaufene Zertifikate werden nicht aufgelistet. Beide Listen sind unterschiedlich aufgebaut und an die jeweiligen Informationen angepasst. Ein Zertifikat von HARICA wird mit einer ID, der Seriennummer, dem sogenannten Common Name, dem Status, dem Ablaufdatum und dem Typ angegeben. Der Typ unterscheidet sich, je nachdem, ob Sie das Zertifikat mit Passwort (PKCS12) oder mit CSR (PKSC7) beantragt haben. Weiterhin können Sie HARICA Zertifikate herunterladen oder zurückrufen.
[](https://books.rz.tu-bs.de/uploads/images/gallery/2026-01/hdDV5jExl7RScXKM-screenshot-2025-12-17-at-14-22-42.png)
(Das rote "Entfernen-Symbol" bei den Sectigo-Zertifikaten wurde in der Zwischenzeit entfernt.)
Mit einem Klick auf "+ Request certificate" gelangen Sie auf die Beantragungseite, wo sie zwischen Beantragung per Passwort und per CSR wählen können.
### Beantragen eines S/MIME Zertifikates
Für die Beantragung von Nutzerzertifikaten stehen zwei Arten zur Verfügung, die Beantragung per Passwort und die Beantragung per CSR. Entscheidet man sich für die Beantragung mit Passworteingabe, so werden serverseitig ein CSR (Zertifikatsantrag) und ein privater Schlüssel erstellt. Der erstellte CSR wird dann bei dem Zertifikatsaussteller (HARICA) eingereicht. Der Zertifikatsaussteller erzeugt eine Datei, in der das digitale Zertifikat und die Zwischenzertifikate enthalten sind (P7B-Format). Mit dieser Datei, dem zuvor erzeugten privaten Schlüssel und dem eingegebenen Passwort wird dann ein P12-Zertifikat erstellt. Der private Key und alle Zwischendateien werden serverseitig nicht gespeichert. Lediglich das P12-Zertifikat wird gespeichert, um es dem Antragsteller jederzeit zum Download anzubieten. Der Antragsteller ist für die sichere Verwahrung des Passworts zuständig. Bei Passwortverlust kann das Zertifikat nicht neu eingebunden werden und verschlüsselte Daten gehen verloren. Eine detaillierte Anleitung zur Beantragung durch Passworteingabe erhalten Sie [hier](https://books.rz.tu-bs.de/books/zertifikate/page/beantragung-eines-smime-zertifikates-durch-passworteingabe "Beantragung per Passwort").
Wird die Beantragung per CSR gewählt, so werden der private Schlüssel und der Zertifikatsantrag auf dem Nutzersystem erstellt. Auch das Zusammenfügen des privaten Schlüssels und des P7B-Zertifikates erfolgt auf dem Nutzersystem. Lediglich das P7B-Zertifikat wird serverseitig gespeichert. Der Antragsteller ist für eine sichere Verwahrung des privaten Schlüssels verantwortlich. Bei Verlust des privaten Schlüssels kann das P12-Zertifikat nicht neu erstellt werden. Eventuell verschlüsselte Daten gehen verloren. Eine detaillierte Anleitung zur Beantragung nach Erzeugen eines CSRs erhalten Sie [hier](https://books.rz.tu-bs.de/books/zertifikate/page/beantragung-mit-einem-zertifikatsantrag-csr "Beantragung per CSR")
#### Verschieden Zertifikatstypen und Nutzerkonten
HARICA bietet zwei Arten von Zertifikaten an, sogenannte "email\_only" und "IV+OV" Zertifikate.
"Email\_only" Zertifikate enthalten nur die validierte Email-Adresse. Solche Zertifikate werden für Studenten und Funktionsaccounts (Gruppenemailadressen) ausgestellt. "IV+OV" Zertifikate enthalten darüber hinaus den validiertem Vor- und Nachnamen sowie Organisationsinformationen. Diese Art von Zertifikaten können aus rechtlichen Gründen nur Angestellte erhalten, diese Zertifikate können weder für Srudenten noch für Funktionsaccounts ausgestellt werden.
Es können, limitiert durch den Zertifikatsanbieter, Zertifikate für bis zu drei Emailadressen beantragt werden. Ist mindestens eine persönliche Emailadresse einer angestellten Person enthalten, wird der Typ "IV+OV" beantragt. Wird ein Zertifikat durch die Eingabe eines Passwortes beantragt, so wird eine persönliche Emailadresse immer bevorzugt als "Common Name" im Zertifikat verwendet. Weitere Emailadressen tauchen als "alternative" Emailadressen im Zertifikat auf. Die Reihenfolge der Emailadressen im Zertifikat lässt sich nur bei Beantragung mittels eines CSRs durch denn Nutzer beeinflussen.
### Zurückziehen eines Zertifikates
Durch Klicken auf das rote Kreuz am Ende einer Zeile, können Sie ein Zertifikat zurückrufen. Nach erfolgreichem Rückruf gelangen Sie wieder auf die Übersichtsseite. Das Zertifikat ist aus der Auflistung verschwunden.
Sectigo Zertifikate lassen sich nicht mehr automatisiert zurückziehen. Dazu wenden Sie sich bitte per Email an noc@tu-braunschweig.de.
[](https://books.rz.tu-bs.de/uploads/images/gallery/2026-01/IAHKLqQsYoXiYDhX-screenshot-2025-12-17-at-09-39-41.png)
### Ändern des Zertifikates für das DFN.Security-Portal
1.
Bevor das alte Zertifikat ungültig wird, muss ein neues beantragt werden!
2.
Einloggen ins [DFN.Security Portal](https://portal.security.dfn.de/ "https://portal.security.dfn.de/") mit dem alten Zertifikat!
3.
Oben rechts auf den Pfeil neben dem Nutzernamen und auf ***Meinen Login ändern*** klicken. [](https://books.rz.tu-bs.de/uploads/images/gallery/2026-01/heYn5bPvSKFf32HW-login-aendern-dfn-cert.png)
4.
Es erscheint ein PopUp-Fenster. Hier bitte auf ***Zertifikat ändern*** klicken. Man erhält eine Email an die im Portal eingerichtete Email-Adresse mit weiteren Anweisungen. [](https://books.rz.tu-bs.de/uploads/images/gallery/2026-01/Jg0M7tYIossSD6yj-aktive-zertifikate-dfncert.png)
Die Email-Adresse im Zertifikat muss mit der Email-Adresse übereinstimmen, mit der man im DFN.Security Portal angemeldet ist.
### Verwenden Nutzerzertifikates
Eine Anleitung zum Einbinden des erhaltenen Zertifikates in Outlook finden Sie hier: [Zertifikatsimport S/MIME Outlook](https://books.rz.tu-bs.de/books/e-mail/chapter/zertifikatsimport-smime-outlook)
# Beantragung eines S/MIME Zertifikates durch Passworteingabe
##### Beantragung per Passwort
[](https://books.rz.tu-bs.de/uploads/images/gallery/2026-06/EmvnABitXdvlB38F-2df8c97b-0f90-4524-92f2-2334a6d3bce8.png)
Um ein Zertifikat mit Eingabe eines Passwortes zu beantragen, wählen Sie bitte bis zu drei Email-Adressen aus. Mehrere Email-Adressen gleichzeitig können zusammenhängend mit der Shift-Taste oder unabhängig voneinander mit der STRG- (Windows) bzw. Command-Taste (MacOS) in der Liste angeklickt werden. Nur personenbezogene Email-Adressen sind berechtigt und werden hier aufgelistet. Fehlt eine Ihrer Email-Adressen, wenden Sie sich bitte per Email an . Im Folgenden vergeben Sie bitte ein Passwort und geben es ein zweites Mal ein. Bitte verwahren Sie dieses Passwort sicher. Sie benötigen es, um das Zertifikat später in den Zertifikatsspeicher ihres Betriebssystems zu importieren.
[](https://books.rz.tu-bs.de/uploads/images/gallery/2026-06/sNUQusLW11fmTemh-dc50916e-106a-4d27-b485-75b67d64f546.png)
Nach erfolgreicher Beantragung, welche einen Moment dauern kann, gelangen Sie wieder auf die Übersichtsseite. Dort können Sie ihr P12-Zertifikat herunterladen und sofort nutzen.
Es gibt zwei verschiedene Arten von S/MIME-Zertifikaten. Studenten und Funktionsaccounts erhalten sogenannte "**email\_only**" Zertifikate. "email\_only" Zertifikate enthalten nur die ausgewählten Email-Adressen und bezeugen somit, dass diese Email-Adressen an der TU Braunschweig existieren. An der TU Braunschweig angestellte Personen erhalten ein sogenanntes "**IV+OV**" Zertifikat. Diese Zertifikate enthalten zusätzlich den validiertem Vor- und Nachnamen sowie Organisationsinformationen.
# Beantragung mit einem Zertifikatsantrag (CSR)
### Erstellen einer CSR-Datei
Haben Sie die Beantragung durch einen Zertifikatsantrag gewählt, müssen Sie zuerst einen solchen erstellen. Dazu gehen Sie bitte wie folgt vor.
1. Laden Sie sich folgenden OpenSSL .cnf-Datei runter: [smime\_config.cnf](https://books.rz.tu-bs.de/attachments/113)
2. Öffnen Sie die Datei mit einem Texteditor und passen Sie folgende Textzeilen an:
- Erforderlich:
- OU = `Ihr(e) Institut/ Abteilung`
```
openssl req -new -newkey rsa:4096 -keyout .key -out .csr -config .cnf
```
- CN = `Ihr Name laut Personalausweis`
- emailAddress = `Ihre EMail-Adresse, für die sie das Zertifikat erstellen wollen`
- Optional, falls Sie eine oder zwei alternative Email-Adressen eintragen möchten:
- Entfernen Sie die Raute (#) aus dem Anfang der letzten Zeile (`#subjectAltName = @alt_names`) sowie die Rauten vor email.1 bzw. email.2, je nachdem, welche Sie benutzen.
- email.1 = `Ihre erste alternative Email-Adresse`
- email.2 = `Ihre zweite alternative Email-Adresse`
3. Belassen Sie den Rest der Datei mit den bereits eingetragenen Werten und speichern sie diese unter einem beliebigen Namen ab.
4. Öffnen Sie das Terminal auf Ihrem Computer.
5. Mit folgendem Befehl erstellen Sie eine CSR-Datei:
```
openssl req -nodes -newkey rsa:4096 -keyout .key -out .csr -config .cnf
```
6. Die beiden Dateien <certificate\_key>.key und <certificate\_request>.csr finden Sie nun in dem Verzeichnis, aus dem Sie den Befehl ausgeführt haben.
Mit dem Befehl unter Punkt 5 wird ein Zertifikatsantrag mit privatem Schlüssel ohne Passwort erstellt. Für den Fall, dass ein privater Schlüssel mit Passwort gewünscht ist, nutzen Sie bitte folgenden Befehl:
```
openssl req -new -newkey rsa:4096 -keyout .key -out .csr -config .cnf
```
### Beantragung des Zertifikates
Kehren Sie nun zur Beantragungsoberfläche zurück und kopieren Sie den CSR in das dafür vorgesehene Feld. Nur personenbezogene Email-Adressen sind berechtigt und werden hier aufgelistet. Fehlt eine Ihrer Email-Adressen, wenden Sie sich bitte per Email an .
[](https://books.rz.tu-bs.de/uploads/images/gallery/2026-06/LvtchCC4r3L367uu-image.png)
Nach erfolgreicher Beantragung gelangen Sie auch hier wieder zurück auf die Übersichtsseite und können dort Ihr P7B-Zertifikat herunterladen. Um dieses Zertifikat nutzen zu können, müssen sie zusammen mit dem privaten Schlüssel zuerst ein P12-Zertifikat erstellen. Die Anleitung dazu finden Sie weiter unten.
[](https://books.rz.tu-bs.de/uploads/images/gallery/2026-06/AumoMTycASfIZj06-image.png)
### Konvertieren der erhaltenen P7B-Datei
Nach erfolgreicher Beantragung eines Zertifikats mit eigenem CSR erhalten sie eine Datei mit der Endung ".p7b". Der Dateiname entspricht der ID des erstellten Zertifikates. Hierbei handelt es sich noch nicht um ein vollständiges Zertifikat. Sie müssen aus dieser Datei und dem bei Erstellung des CSRs erzeugten privaten Schlüssel erst noch eine Datei mit der Endung ".p12" erstellen. Dazu gehen Sie wie folgt vor:
1. Konvertieren der P7B-Datei in das PEM Format:
```
openssl pkcs7 -print_certs -in .p7b -out .pem -inform der
```
2. Exportieren der PEM Datein in das P12 Format:
```
openssl pkcs12 -export -certpbe PBE-SHA1-3DES -keypbe PBE-SHA1-3DES -inkey .key -in .pem -out .p12
```
Bei diesem Befehl werden Sie aufgefordert, ein Passwort einzugeben. Dieses Passwort schützt Ihr Zertifikat vor Missbrauch. Es wird gebraucht, um es in den Zertifikatsspeicher Ihres Betriebssystems zu importieren.
# Mit Adobe Acrobat ein PDF signieren
#### 
Mit einem S/MIME‑Zertifikat lassen sich PDF‑Dokumente digital signieren. Der Empfänger kann dadurch eindeutig nachvollziehen, dass das Dokument wirklich von Ihnen unterschrieben wurde. Das gleiche Zertifikat kann in verschiedenen Programmen verwendet werden, die das Signieren von PDFs unterstützen. In dieser Anleitung zeigen wir, wie Sie die Signaturfunktion in **Adobe Acrobat** nutzen.
#### 1. S/MIME Zertifikat beantragen
Als erstes müssen Sie das S/MIME Zertifikat selbst beantragen, falls Sie bisher noch keins besitzen. Folgen Sie dafür der Anleitung "[Beantragung eines S/MIME Zertifikates durch Passworteingabe](https://books.rz.tu-bs.de/books/zertifikate/page/beantragung-eines-smime-zertifikates-durch-passworteingabe)" und kehren hierher zurück, sobald sie das Zertifikat beantragt und gespeichert haben.
#### 2. Zertifikat zu Adobe Acrobat hinzufügen
Als nächstes wird das S/MIME Zertifikat importiert, um damit eigene PDFs zu signieren. Halten Sie dafür ihr S/MIME Zertifikat im .p12-Format bereit und fahren Sie mit der Schritt-Für-Schritt-Anleitung fort.
Anleitung: Zertifikat zu Adobe hinzufügen
1\. Adobe Reader öffnen und die Einstellungen über "Menü - Einstellungen" öffnen.
2. In der Kategorie "Unterschriften" den Button "Weitere" im Bereich "Identitäten und vertrauenswürdige Zertifikate" auswählen.
3\. Wählen Sie nun "Digitale IDs" aus und fügen Sie über das "+"-Symbol eine neue eigene ID hinzu.
4\. Die digitale ID soll über eine Datei importiert werden.
5\. Wählen Sie nun Ihr persönliches Nutzerzertifikat im .p12-Format für den Import aus.
6\. Geben Sie das Passwort des Nutzerzertifikats ein, um dieses zu entsperren. Dieses Passwort haben Sie beim Beantragen des Zertifikats selbst festgelegt.
7\. Nach dem erfolgreichen Entsperren des Nutzerzertifikates werden Informationen zum Zertifikat angezeigt. Klicken Sie auf "Fertigstellen".
Das Zertifikat wird nun als "Digitale ID" angezeigt und kann im Folgenden für das Signieren von PDFs verwendet werden.
#### 3. PDF signieren
Nachdem diese Vorbereitungen abgeschlossen sind, können Sie nun PDFs signieren.
Anleitung: PDF in Adobe signieren
1\. Öffnen Sie eine PDF mit dem Adobe Reader. Gehen Sie dann in das Menü "Werkzeuge" und wählen "Zertifikate" aus.
2. Klicken Sie auf "Digital unterschreiben". Sie können mit der Maus nun ein Rechteck in den Teil des PDFs ziehen, in welchem Ihre digitale Unterschrift angezeigt werden soll.
3. Wählen Sie nun Ihr zuvor importiertes Nutzerzertifikat zum Signieren aus. Eine Vorschau der Signatur wird angezeigt. Sie müssen Ihr Passwort vom Nutzerzertifikat eingeben, um dieses zu entsperren und für die Signatur zu verwenden.
4. Das signierte Dokument wird in einer neuen Datei gespeichert. Wählen Sie einen passenden Dateinamen und speichern Sie die signierte PDF ab. Die originale PDF-Datei wird nicht überschrieben.
5. In dem neuen Dokument taucht nun die Signatur auf. Diese kann auf Ihre Gültigkeit überprüft werden - Adobe Acrobat tut dies beim Öffnen des Dokuments automatisch und zeigt die Ergebnisse über dem Dokument an.
#### 
#### Problemlösungen
Die Signatur konnte nicht validiert werden
Adobe benutzt bestimmte Signaturen innerhalb Ihres Zertifikats, um zu bestätigen, das dieses tatsächlich gültig ist. Dafür wird auf einen internen Speicher von bereits bekannten und vertrauten sogennanten Wurzelzertifikaten zurückgegriffen. Es ist möglich, das das Wurzelzertifikat von Harica, welche für die TU Braunschweig die S/MIME Zertifikate ausstellt, nicht auf ihrem Gerät vorinstalliert ist. Um dieses Wurzelzertifikat von Harica dem Speicher hinzuzufügen, gehen Sie daher wie folgt vor:
1\. Laden Sie das Wurzelzertifikat über diesen Link auf ihr Gerät: [HARICA-Client-Root-2021-RSA.p7b](https://books.rz.tu-bs.de/attachments/137)
2\. Öffnen Sie die Einstellung von Adobe Reader über Menü > Einstellungen.
3. Wählen Sie in der Kategorie "Unterschriften" den Button "Weitere" im Bereich "Identitäten und vertrauenswürdige Zertifikate" aus.
4. Im Bereich "Vertrauenswürdige Zertifikate" kann nun über den "Import"-Button das Wurzelzertifikat importiert werden.
5. Weiter geht es über den Button "Durchsuchen".
6. Wählen Sie nun das zuvor heruntergeladene Wurzelzertifikat aus.
7. Nach dem Öffnen wird das Wurzelzertifikat angezeigt. Klicken Sie zuerst auf den Namen des Wurzelzertifikats im Bereich "Kontakte", dann erneut auf den Namen im Bereich "Zertifikate" und anschließend auf den Button "Vertrauenswürdigkeit".
8. Das Wurzelzertifikat soll als vertrauenswürdiger Stamm verwendet und für zertifizierte Dokumente als vertrauenswürdig gelten. Dies ist notwendig, damit Signaturen von Nutzerzertifikaten von HARICA im PDF-Viewer als gültig angezeigt werden.
9. Nun kann das Wurzelzertifikat mit den richtigen Einstellungen importiert werden.
10. Der Import des Wurzelzertifikats ist erfolgreich. Das Wurzelzertifikat wird nun in der Liste angezeigt und Signaturen, welche mit Zertifikaten von HARICA ausgestellt wurden, sollten nun als valide angezeigt werden.
Sollte Ihr eigenes Zertifikat weiterhin als ungültig angezeigt werden, bitten wir Sie, ein neues Zertifikat - wie unter Punkt 1 dieser Dokumentation beschrieben - zu beantragen.