S/MIME-verschlüsselte E-Mail in PDF umwandeln (ohne deine Schlüssel herauszugeben)

Du hast die E-Mail geöffnet und problemlos gelesen. Dann hast du versucht, sie in ein PDF umzuwandeln, und das Tool hat sie abgelehnt, oder du hast eine nutzlose Datei namens smime.p7m erhalten. Die kurze Antwort: Du kannst eine verschlüsselte E-Mail nicht unverändert hochladen, denn die Datei enthält noch den verschlossenen Umschlag und nicht den Text, den du auf dem Bildschirm gesehen hast. Erstelle zuerst eine unverschlüsselte Kopie, indem du die Nachricht ohne Verschlüsselung an dich selbst weiterleitest, und wandle dann diese Kopie um. Deinen privaten Schlüssel lädst du nie bei jemandem hoch.

Dieser Unterschied ist wichtig für Anwältinnen und Anwälte, Notarinnen und Notare und alle, die sensible Korrespondenz archivieren. Die Entschlüsselung muss auf deinem Rechner stattfinden, wo dein Schlüssel ohnehin liegt. Dieser Leitfaden erklärt, warum das so ist, und führt dich Schritt für Schritt durch die sichere Methode.

Das Wichtigste in Kürze

• Eine verschlüsselte E-Mail-Datei (smime.p7m) enthält einen verschlossenen Umschlag. Dein Mailprogramm entschlüsselt ihn nur zur Anzeige, nicht zum Speichern.

• „Speichern unter .msg“ oder das Ziehen der E-Mail auf den Desktop speichert diesen weiterhin verschlüsselten Umschlag, sodass jeder Konverter eine unlesbare Datei erhält.

• Die zuverlässige Lösung: E-Mail öffnen, mit ausgeschalteter Verschlüsselung an die eigene Adresse weiterleiten und dann die empfangene Kopie umwandeln.

• Lade niemals eine .pfx- oder .p12-Datei mit privatem Schlüssel bei einem Online-Dienst hoch. Ein .cer-Zertifikat ist nur der öffentliche Schlüssel und kann nichts entschlüsseln.

• Signierte E-Mails (smime.p7s) sind vollständig lesbar und lassen sich problemlos umwandeln. Nur verschlüsselte E-Mails (smime.p7m) werden blockiert.

Was bedeutet „S/MIME-verschlüsselt“ eigentlich?

S/MIME ist der Standard zur Absicherung von E-Mails mit einem Paar kryptografischer Schlüssel, definiert in RFC 8551 (IETF, 2019). Jede beteiligte Person hat einen öffentlichen Schlüssel, mit dem jeder eine Nachricht verschlüsseln kann, und einen privaten Schlüssel, den nur die Inhaberin oder der Inhaber besitzt. Die beiden sind mathematisch verbunden, aber nicht austauschbar.

Wenn dir jemand eine verschlüsselte E-Mail schickt, wird sie mit deinem öffentlichen Schlüssel verschlossen. Ab diesem Moment kann nur dein privater Schlüssel sie öffnen. Der Standard verpackt das Ergebnis in einen PKCS#7-Umschlag, den Teil smime.p7m, den du manchmal als Anhang siehst.

Deshalb zeigt dein eigenes Outlook oder Apple Mail die Nachricht ganz normal an. Dein privater Schlüssel liegt bereits in diesem Mailprogramm und entschlüsselt den Umschlag in dem Moment, in dem du die E-Mail öffnest. Ein separater Dienst hat diesen Schlüssel nicht, und die Mathematik bietet ihm keine Abkürzung.

S/MIME verschließt eine E-Mail mit dem öffentlichen Schlüssel des Empfängers. Nur sein privater Schlüssel, der bereits in seinem Mailprogramm liegt, kann sie öffnen.

Warum kann PDFengine (oder irgendein Online-Tool) meine verschlüsselte E-Mail nicht einfach öffnen?

Kein Online-Konverter kann deine verschlüsselte E-Mail lesen, denn dafür braucht es deinen privaten Schlüssel, und kein seriöser Dienst wird je danach fragen. PDFengine erkennt S/MIME-verschlüsselte E-Mails bewusst und überspringt sie, statt Schlüssel anzufordern, die es nicht besitzen sollte.

Hier stolpern viele. Das „Zertifikat“, das du vielleicht weitergibst, eine Datei vom Typ .cer oder .crt, ist nur der öffentliche Schlüssel. Er kann verschlüsseln, aber nicht entschlüsseln. Ihn an einen Dienst zu schicken, schaltet deine Mails nicht frei.

Der private Schlüssel ist etwas anderes. Er liegt in einer .pfx- oder .p12-Datei, dem PKCS#12-Format, das in RFC 7292 (IETF) beschrieben ist. Diese Datei ist deine digitale Identität. Wer sie besitzt, kann jede verschlüsselte Nachricht lesen, die du je erhalten hast, und Korrespondenz in deinem Namen signieren.

Für eine Kanzlei oder ein Notariat ist das Hochladen dieser Datei zu einem Webdienst ein ernstes Haftungsrisiko und keine Bequemlichkeit. PDFengine geht deshalb den entgegengesetzten Weg. Findet es eine verschlüsselte E-Mail, nennt es den Grund und macht weiter. Die aktuelle Meldung lautet: „Diese E-Mail ist S/MIME-verschlüsselt und kann nicht umgewandelt werden. Bitte entschlüssele die E-Mail zuerst in deinem Mailprogramm und versuche es dann erneut.“

Warum erhalte ich mit „Speichern unter“ trotzdem eine unlesbare Datei?

Beim Speichern einer verschlüsselten E-Mail wird der verschlossene Umschlag gespeichert und nicht der Text auf deinem Bildschirm, denn dein Mailprogramm entschlüsselt nur zur Anzeige. Das ist die Falle, in die die meisten tappen, und fast keine Anleitung erklärt sie.

Überlege, was Outlook tatsächlich tut. Wenn du eine verschlüsselte Nachricht öffnest, entschlüsselt es den Inhalt im Arbeitsspeicher, damit du ihn lesen kannst. Die Nachricht auf der Festplatte bleibt aber unverändert. „Speichern unter .msg“ oder das Ziehen der E-Mail auf den Desktop kopiert den ursprünglichen smime.p7m-Umschlag, weiterhin verschlossen.

Du lädst also diese gespeicherte Datei hoch, in der Erwartung, die lesbare E-Mail zu erhalten, und der Konverter bekommt Geheimtext. Laut Microsoft Support können verschlüsselte und rechtegeschützte E-Mails außerdem das Drucken blockieren, sodass „Als PDF drucken“ manchmal aus demselben Grund scheitert. Die Entschlüsselung dient deinen Augen, nicht dem Export.

„Speichern unter“ behält den verschlossenen Umschlag, sodass der Konverter Geheimtext erhält. Wenn du die E-Mail ohne Verschlüsselung an dich selbst weiterleitest, entsteht eine Kopie, die PDFengine lesen kann.

Wie wandle ich eine verschlüsselte E-Mail sicher in ein PDF um?

Leite die E-Mail mit ausgeschalteter Verschlüsselung an dich selbst weiter und wandle dann die empfangene Kopie um. Das funktioniert in jeder Outlook-Version, lässt deinen privaten Schlüssel auf deinem Rechner und gibt PDFengine eine saubere Datei zur Verarbeitung.

Gehe in Outlook so vor:

1. Öffne die verschlüsselte E-Mail. Sie wird auf dem Bildschirm automatisch entschlüsselt, da dein privater Schlüssel bereits dort liegt.

2. Klicke auf Weiterleiten, nicht auf Speichern unter. Beim Weiterleiten wird die Nachricht aus dem entschlüsselten Inhalt neu aufgebaut.

3. Achte auf der Registerkarte Optionen darauf, dass Verschlüsseln ausgeschaltet ist. Outlook übernimmt manchmal die ursprüngliche Verschlüsselung in die Weiterleitung, was den Zweck zunichtemachen würde. Prüfe das jedes Mal.

4. Sende die Nachricht an deine eigene E-Mail-Adresse.

5. Öffne die Kopie, die du erhältst. Sie ist jetzt eine ganz normale, unverschlüsselte E-Mail.

6. Speichere diese Kopie als .eml oder .msg, und lade sie dann im E-Mail-zu-PDF-Tool von PDFengine hoch.

Dein privater Schlüssel verlässt nie deinen Computer. Die Entschlüsselung findet genau dort statt, wo sie hingehört, bei der Schlüsselinhaberin oder dem Schlüsselinhaber, und nur das saubere Ergebnis wird weitergegeben.

Apple Mail folgt derselben Logik. Öffne die entschlüsselte Nachricht und leite oder verschiebe sie ohne S/MIME-Verschlüsselung an dich selbst. Exportiere die empfangene Kopie und lade sie hoch.

Warum nicht einfach selbst als PDF drucken? Das kannst du, aber dir entgeht, was PDFengine zusätzlich bietet: umgewandelte Anhänge, vollständige Header und Metadaten als Beweis sowie eine saubere PDF/A-Archivierung. Der Weg über die Weiterleitung an dich selbst gibt PDFengine eine vollständige, lesbare E-Mail, die es komplett verarbeiten kann.

Eine .cer- oder .crt-Datei ist nur der öffentliche Schlüssel und kann nichts entschlüsseln. Der private Schlüssel liegt in einer passwortgeschützten .pfx- oder .p12-Datei, die deinen Rechner nie verlassen sollte.

Signiert oder verschlüsselt: Welche E-Mails lassen sich problemlos umwandeln?

Signierte E-Mails lassen sich ohne Probleme umwandeln; nur verschlüsselte E-Mails werden blockiert. Dieser Unterschied ist wichtig, weil Forenbeiträge die beiden ständig verwechseln und die Lösung eine ganz andere ist.

Eine signierte E-Mail enthält einen Anhang smime.p7s oder verwendet multipart/signed. Die Signatur belegt, wer die Nachricht gesendet hat und dass sie nicht verändert wurde, aber der Inhalt bleibt vollständig lesbar. PDFengine wandelt diese E-Mails ohne Beanstandung um.

Eine verschlüsselte E-Mail enthält smime.p7m mit Enveloped-Data, gemäß RFC 8551 (IETF, 2019). Der Inhalt ist verschlossen. Nur dieser Typ löst das Überspringen durch PDFengine aus.

Die Verwechslung zeigt sich in echten Foren. Eine Person im Microsoft-Q&A-Forum konnte PDF-Anhänge auf dem Desktop öffnen, sah aber in Outlook für Android nur smime.p7m. Ein Bericht im EspoCRM-Forum betraf eine signierte, nicht verschlüsselte Nachricht, bei der der Ablauf trotzdem scheiterte. Dasselbe Symptom, eine andere Ursache.

Was gilt bei Beweismitteln oder forensischen Fällen?

Für die Beweissicherung kann der Modus E-Mail-zu-Beweis von PDFengine auch für eine verschlüsselte E-Mail einen Echtheitsbericht erstellen, obwohl er den Inhalt nicht entschlüsselt. Er hält fest, dass die Nachricht signiert oder verschlüsselt war, und das ist für sich genommen eine Tatsache, die in einer Akte aufbewahrt werden sollte.

Das ist wichtig für Rechtsfachangestellte und Notariate, die eine belastbare Beweiskette brauchen und nicht nur eine lesbare Kopie. Der Bericht erfasst strukturelle und Echtheitsdetails, ohne je deinen privaten Schlüssel zu berühren. Brauchst du zusätzlich den eigentlichen Inhalt, nutze zuerst die Methode der Weiterleitung an dich selbst und lasse dann die unverschlüsselte Kopie durch das Tool laufen.

Für die alltägliche Archivierung genügt der normale E-Mail-zu-PDF-Ablauf, sobald du eine saubere, unverschlüsselte Datei hast.

PDFengine und Adobe Acrobat bei verschlüsselten E-Mails im Vergleich

Beide können ein PDF erzeugen, gehen dabei aber unterschiedliche Wege. Acrobat ist leistungsstark und desktopbasiert; PDFengine läuft online und will nie deine Schlüssel.

Wenn deine Schlüssel bereits auf deinem eigenen Desktop eingerichtet sind, kann Acrobat die Nachricht lokal verarbeiten. PDFengine hält sich bewusst ganz aus deinem Schlüsselspeicher heraus, was zu Teams passt, die keinen privaten Schlüssel in die Nähe eines Webdienstes bringen können.

Häufig gestellte Fragen

Warum sehe ich nur eine smime.p7m-Datei statt des E-Mail-Inhalts?

Die Datei smime.p7m ist der verschlüsselte Umschlag. Dein Mailprogramm konnte sie nicht zur Anzeige entschlüsseln, oft weil der private Schlüssel auf diesem Gerät fehlt. Der Thread im Microsoft-Q&A-Forum zeigt, wie das in Outlook für Android passiert, während der Desktop die Nachricht problemlos öffnet.

Warum ist meine gespeicherte .msg-Datei einer verschlüsselten E-Mail trotzdem noch verschlüsselt?

Weil „Speichern unter“ den ursprünglichen verschlossenen Umschlag kopiert und nicht den Text auf dem Bildschirm. Dein Mailprogramm entschlüsselt nur zur Ansicht. Leite die E-Mail stattdessen ohne Verschlüsselung an dich selbst weiter und speichere dann die empfangene Kopie.

Kann ich die verschlüsselten E-Mails nicht einfach an eine neue Nachricht anhängen und an mich selbst schicken?

Nein, das ist dieselbe Falle wie bei „Speichern unter“. Wenn du eine E-Mail anhängst (per Ziehen oder mit „Als Anlage weiterleiten“), hängst du die gespeicherte Nachrichtendatei an, und die ist bei einer verschlüsselten E-Mail weiterhin der verschlossene smime.p7m-Umschlag. Die äußere Nachricht, die du sendest, ist unverschlüsselt, aber jede angehängte Nachricht bleibt verschlossen, sodass PDFengine sie extrahiert und trotzdem auf verschlüsselte Dateien stößt. Verwende stattdessen das direkte Weiterleiten mit ausgeschalteter Verschlüsselung, damit dein Mailprogramm die Nachricht aus dem entschlüsselten Inhalt im Textkörper neu aufbaut.

Kann ich eine verschlüsselte Outlook-E-Mail in ein PDF umwandeln, ohne meinen privaten Schlüssel hochzuladen?

Ja. Leite die E-Mail mit ausgeschalteter Option „Verschlüsseln“ an deine eigene Adresse weiter, öffne die empfangene Kopie, speichere sie als .eml oder .msg und lade diese hoch. Dein privater Schlüssel verlässt nie deinen Computer.

Was ist der Unterschied zwischen einer signierten (smime.p7s) und einer verschlüsselten (smime.p7m) E-Mail?

Eine signierte E-Mail belegt Herkunft und Integrität, bleibt aber vollständig lesbar. Eine verschlüsselte E-Mail verschließt den Inhalt, sodass nur der private Schlüssel des Empfängers sie öffnen kann, gemäß RFC 8551. Nur verschlüsselte E-Mails verhindern die Umwandlung.

Muss ich mein .cer- oder .pfx-Zertifikat an einen Online-Dienst schicken, um verschlüsselte Mails zu lesen?

Nein, und du solltest es auch nicht tun. Eine .cer-Datei ist nur der öffentliche Schlüssel und kann nichts entschlüsseln. Eine .pfx- oder .p12-Datei enthält deinen privaten Schlüssel, deine vollständige digitale Identität, und sie irgendwo hochzuladen ist ein Sicherheitsrisiko.

Warum kann ich die E-Mail auf dem Desktop lesen, aber nicht auf dem Handy?

Dein privater Schlüssel ist auf dem Desktop installiert, meist aber nicht auf dem Handy. Ohne diesen Schlüssel zeigt Outlook für Android oder iOS den rohen smime.p7m-Umschlag statt der entschlüsselten Nachricht.

E-Mail umwandeln, sobald sie unverschlüsselt ist

Sobald du eine saubere, unverschlüsselte Kopie hast, ist die Umwandlung ganz einfach. Lade die Datei im Format .eml oder .msg im E-Mail-zu-PDF-Tool von PDFengine hoch. Es verarbeitet Inhalt, Anhänge und Header und archiviert im PDF/A-Format.

Für juristische oder forensische Arbeit ergänzt E-Mail-zu-Beweis einen Echtheitsbericht. Er hält fest, ob eine Nachricht signiert oder verschlüsselt war, auch wenn er den verschlossenen Inhalt nicht lesen kann, und liefert dir so einen belastbaren Nachweis für die Akte.

Das Prinzip bleibt durchgehend gleich: dort entschlüsseln, wo dein Schlüssel ohnehin liegt, und dann die saubere Kopie umwandeln. Dein privater Schlüssel hat keinen Grund, irgendwohin zu wandern.

Daan van Tongeren, Gründer von PDFengine.