Outlook S/Mime Signatur nach Abruf defekt/nicht vorhanden

[Mack 10]

Hallo liebe Gemeinde,

 

folgende Situation:

- lokaler Exchange 2019 (aktuell gepatcht)

- Outlook 2016 (aktuell gepatcht)

- Emaildomain wird per Pop3 Holer abgerufen und lokal zugestellt

- auf dem Exchange läuft das G Data AV/Spam Plugin

- S/Mime Zertifikate werden lokal im Outlookprofil konfiguriert und nicht in einem Gateway

 

Intern zugestellte E-Mails werden beim Empfänger als S/Mime signiert angezeigt, alles ok.

Von Extern kommende verschlüsselt und signiert zugestellte E-Mails können entschlüsselt werden und die Signatur wird korrekt angezeigt.

Von Extern kommende nur signierte E-Mails werden zugestellt, aber die S/Mime Signatur wird im Outlook nicht angezeigt. 

Beim Provider ist die Signatur aber noch als Anhang im Webmailer zu sehen.

Da das G Data Plugin ja auch bei internen E-Mails durchlaufen wird, würde ich es eher ausschließen.

Die leider etwas sparsamen Logs geben da aber auch nichts her, dass da etwas entfernt worden wäre.

Der Pop3 Holer (PopCon) ist ja auch schon lange am Markt und dazu habe ich auch keine entsprechenden bekannte Bugs gefunden 

 

Schaue ich mir generell den Header einer signierten E-Mail an, wo die Signatur sauber angezeigt wird, steht dort beim wohl relevanten Teil:

"Content-Type: multipart/signed; protocol="application/pkcs7-signature";"

 

Bei der "kaputten" E-Mail hier steht dort stattdessen:

"Content-Type: multipart/alternative;"

 

Ich bin leider nicht so firm, was hier die technischen Details angeht.

Ich habe dazu nur gefunden, dass letztes bedeutet, dass die E-Mail in 2 Teilen vorliegt, dem Text und HTML Teil.

Ich kann das aber nicht weiter deuten, auf was das ggf. hindeuten würde.

 

Generell finde ich zu der Problematik, dass digital signierte E-Mails ohne Signatur ankommen leider auch wenig bis nichts.

 

Deswegen hoffe ich, ihr könnt mir ein paar Tipps oder Hinweise geben, was ich noch ausprobieren kann, bzw. in welche Richtung ich recherchieren sollte.

 

Besten Dank.

 

[Nobbyaushb 1.471]

Dein Problem ist der PopConnector

Auch wenn der PopCon mal einer der guten war...

 

Warum könnt ihr nicht auf direkte Zustellung umbauen?

 

[cj_berlin 1.315]

Moin,

auch wenn diese POP3-Puller schon immer verpönt waren und das Konzept in mehr als einer Hinsicht Sch**ße ist, ist anhand der geschilderten Anamnese nicht eindeutig, dass es nur daran liegt.

Hol doch mal eine signierte, aber nicht verschlüsselte Mail direkt mit einem POP3-Client vom Hoster ab und schau, wie der Header bzw. die Struktur aussieht. Vielleicht ist es bereits der Hoster, der das zerhaut. In diesem Fall hast Du wirklich keine Wahl, die Mails statt zum Hoster entweder direkt an den Exchange oder, besser, an einen Gateway davor zustellen zu lassen. "Gateway davor" kann ein Online-Dienst sein, muss nicht zwingend on-premises sein.

[Nobbyaushb 1.471]

vor 2 Stunden schrieb cj_berlin:

...

Hol doch mal eine signierte, aber nicht verschlüsselte Mail direkt mit einem POP3-Client vom Hoster ab und schau, wie der Header bzw. die Struktur aussieht.

Sehr gute Idee - nichts desto trotz sind Popconnectoren noch für viele andere Probleme verantwortlich

Suche dir einen Cloud-Service, z.B. NoSpamProxy Cloud
https://www.nospamproxy.de/de/email-security-cloud/?keyword=&device=c&network=x&gad_source=1&gclid=EAIaIQobChMIz4rKorvxgwMVuZFoCR2D_wvPEAAYASAAEgLxn_D_BwE

und der stellt dann prima gefiltert an deinen Exchange zu - und den Provider fragen was der da macht...

[Mack 10]

vor 19 Stunden schrieb cj_berlin:

Hol doch mal eine signierte, aber nicht verschlüsselte Mail direkt mit einem POP3-Client vom Hoster ab und schau, wie der Header bzw. die Struktur aussieht. 

Guten Morgen, ich konnte es gestern Abend an dem Platz noch testen und die Mail kommt tatsächlich sauber an. G Data Support sagt, sie kennen diesbezüglich keine Probleme.

Bleibt nur noch der Pop Holer, oder ggf. Exchange, was ich aber auch ausschließen würde, da die Mails ja intern sauber laufen. 
Besten Dank für den Input. 👍 

vor 19 Stunden schrieb Nobbyaushb:

Warum könnt ihr nicht auf direkte Zustellung umbauen?

Die Domain ist wild verstreut und der Exchange macht nur einen Teil. 

Soll aber zukünftig auf SMTP Zustellung umgestellt werden.

[Nobbyaushb 1.471]

vor 10 Minuten schrieb Mack:

Die Domain ist wild verstreut und der Exchange macht nur einen Teil. 

Soll aber zukünftig auf SMTP Zustellung umgestellt werden.

Solche Konstrukte sind immer Fehleranfällig

Was ist denn mit dem Rest?

Eigentlich klassicher Fall für O365 oder so...

 

[Mack 10]

Die holen ihre E-Mails in lokalen Outlooksen per Pop, oder greifen per Imap zu.

Perspektivisch kommen allen in den Exchange.

Cloud ist von der GF abgelehnt.

 

[Nobbyaushb 1.471]

vor 1 Minute schrieb Mack:

Die holen ihre E-Mails in lokalen Outlooksen per Pop, oder greifen per Imap zu.

Perspektivisch kommen allen in den Exchange.

Cloud ist von der GF abgelehnt.

Dann sorge dafür, das die externen Mitarbeiter ihre Daten direkt vom Exchange holen

Ist unterm Strich einfacher als alles andere

Anleitungen zur richtigen Konfiguration gibt es ohne Ende

Zumindest für das Gateway vor dem Exchange würde ich eine externe Lösung bevorzugen, wenngleich man das natürlich auch On-Premises betreiben kann 

Ist aber mehr Aufwand und nicht ohne Stolpersteine, wenn man das nicht schon mal gemacht hat

Sag Bescheid, wenn du dabei unterstützt werden möchtest