Beantragung von Nutzerzertifikaten (Signieren und Verschlüsseln von E-Mails)
Diese Anleitung beschreibt, wie Sie ein Nutzerzertifikat beantragen und erhalten können. Diese Nutzerzertifikate können für die Signierung und Verschlüsselung von E-Mails verwendet werden.
Wir stellen keine Zertifikate für Studierende oder andere Personen aus, die nicht @th-mannheim.de als E-Mailadresse haben.
In dieser Anleitung geht es explizit um das Beantragen und Erstellen von Nutzer:innenzertifikaten und Funktionsemailzertifikate (Gruppen-Zertifikate) über Harica.
Nutzerzertifikate dürfen nur ausgestellt werden, wenn die Identität des Nutzers bei der Einstellung durch den GB Personal geprüft worden ist.
Funktionsemailzertifikate werden von einer hauptverantwortlichen Person beantragt.
Bei der Beantragung eines digitalen Nutzerzertifikats wird auf Ihrem PC unter Ihrer Benutzerkennung und in dem von Ihnen verwendeten Webbrowser ein Schlüsselpaar generiert, welches im weiteren Verlauf durch Harica signiert und ausgestellt wird.
Wenn Sie ein solches Benutzerzertifikat haben möchten, dann folgen Sie bitte diesem Schema.
Anleitung in Textform - Sie finden eine Bilderstrecke im blauen Bereich:
1. Loggen Sie sich bei Harica per Academic Login ein. Das sind Ihre zentralen Nutzerdaten.
2. Im Feld „Email Confirmation“ und geben Sie Ihre E-Mailadresse ein. Drücken Sie Submit. Sie erhalten die Information: "You should receive an email shortly with further instructions.Email was sent to <ihre E-Mailadresse>". Sie erhalten eine neue E-Mail mit der Bestätigung Ihrer E-Mailadresse. Über den Link (der nur 24h gültig ist!), gehen Sie erneut auf die Webseite von Harica. Auf der darauf folgenden Webseite können Sie Ihre Daten ergänzen. Vorgegeben ist Ihre E-Mailadresse und die Gültigkeit von 2 Jahren und der Key Type. Sie tragen hier bitte folgendes ein:
Name: Ihr Vor- und Nachname, wenn Sie möchten, auch einen evtl. weiteren Namen.
Verwenden Sie keine Umlaute, Akzente oder Sonderzeichen in Ihrem Namen! Aus Müller muss Mueller werden. Aus Beißer muss Beisser werden.
Um das Nutzerzertifikat später herunterladen zu können und den privaten Schlüssel zu schützen vergeben Sie ein Passwort Ihrer Wahl (PKCS#12 Password).
Bitte notieren Sie sich das Passwort! Es ist für die Installation/Nutzung des Zertifikats nötig und kann nicht vom CIT oder HARICA geändert/zurückgesetzt werden.
Falls Sie das Passwort vergessen, so ist es nicht möglich sich dieses Zertifikat bei anderen Endgeräten einzubinden. Falls mit diesem Zertifikat E-Mails verschlüsselt wurden, so kann man diese E-Mails nicht auf neuen Endgeräten lesen.
3. Stimmen Sie den Nutzungsbedingungen der EULA (I have read and agree to the terms of the Sectigo Client Certificate EULA) durch Aktivierung der Checkbox zu Übermitteln Sie das Formular durch einen Klick auf die Schaltfläche „Submit“.
4. Das Nutzerzertifikat wird nun generiert und automatisch als Datei im Format PKCS#12 (Dateiendung .p12) ausgestellt. Je nach Webbrowser Einstellung liegt die Zertifikatsdatei mit dem Namen certs.p12 in der Regel im Ordner „Downloads“.
Achtung: Das erneute Herunterladen der Zertifikatsdatei ist nicht mehr möglich.
Benennen Sie die Zertifikatsdatei nach Ihrem Wunsch um. Wir empfehlen folgende Form: <JJJJ-MM-TT>_Zertifikat_<Vorname_Nachname>.p12
Speichern Sie die Zertifikatsdatei an einem geeigneten Ort ab.
Merken Sie sich das dazugehörige Passwort, um das digitale Nutzerzertifikat in Ihren Endgeräten einzuspielen.
Sie können später jederzeit auf die Webseite von Harica gehen und sich die Gültigkeit Ihres Zertifikats ansehen und eine Neubeantragung anstoßen. Das erneute Herunterladen des Zertifikats ist nicht mehr möglich.
Wenn Sie aus der Hochschule ausscheiden, können Sie das Zertifikat nicht mehr nutzen, weil Sie Ihre E-Mailadresse verlieren. Dies gilt nicht für Professor:innen und Beamte der Hochschule, die per se nicht ausscheiden.
FAQ
Mit der kryptographischen Signatur stellt der Absender einer Mail Informationen zur Verfügung, die Empfängern die Verifikation seiner Identität ermöglichen. Es reicht aus, dass der Versender ein Nutzerzertifikat hat.
Mit der Verschlüsselung stellt der Absender einer Mail sicher, dass diese nur vom Empfänger gelesen werden kann. Sender und Empfänger müssen ein Nutzerzertifikat haben
Nutzerzertifikate können von Ihnen in Outlook oder andere Mainklienten eingebunden werden. Da das Vorgehen bei jedem Klienten anders ist, können wir Ihnen hier nicht persönlich helfen. Wir verlinken Ihnen eine Reihe von Anleitungen.
Vergessene Passwörter für Nutzerzertifikate können von niemanden zurück gesetzt werden. Sichern Sie daher dieses Passwort gut. Denken Sie bitte daran, dass mit Zertifikaten verschlüsselte E-Mails nicht mehr gelesen werden können, wenn Sie das Passwort nicht mehr wissen. Alte E-Mails mit gültigen sowie ungültigen (abgelaufenen) Signaturen sind stets lesbar.
Wenn Sie alte, verschlüsselte E-Mails aufbewahren, können diese nur mit dem ursprünglichen Zertifikat wieder gelesen werden. Sie müssen daher immer auch alte Zertifikate aufbewahren.
For enterprises or organizations (IV+OV):
In diesem Bereich wird nach einem Upload vom Ausweisdokument gefragt.
Aufgrund der gesetzlichen Einschränkungen bei der Verwendung von Ausweisdokumenten in Deutschland und der Komplexität der datenschutzrechtlichen Beurteilung raten wir davon ab. Siehe (Unterschied zwischen „Email-Only“ und „(IV+OV)“)
Nachdem Sie das Passwort eingegeben haben, bestätigen Sie die Hinweise durch Setzen des Hakens und klicken Sie auf „Enroll Certificate“.
Hinweis: Dies ist die einzige Gelegenheit zum Download Ihres Zertifikats zusammen mit dem privaten Schlüssel. Der private Schlüssel wird nicht auf den Servern von Harica gespeichert. Sie haben später keine Möglichkeit mehr, den privaten Schlüssel des Zertifikats zu erhalten.
Benennen Sie die Zertifikatdatei nach Ihrem Wunsch um. Wir empfehlen folgende Form: <JJJJ-MM-TT>_Zertifikat_<Vorname_Nachname>.p12
Einige Einrichtungen setzen voraus, dass die E-Mail-Kommunikation (auch mit Funktions-E-Mail-Adressen, wie rechnungen@) verschlüsselt ablaufen muss.
Da die Funktions-E-Mail-Adresse von mehren Personen benutzt wird, muss bei einer Beantragung eines Zertifikats für diese Funktions-E-Mail-Adresse eine hauptverantwortliche Person genannt werden.
Diese Person ist dafür zuständig, dass alle für dieses Funktions-E-Mail-Zertifikat erforderlichen Regeln und Vorschriften eingehalten werden (z. B. Wahrung der Integrität des Zertifikats, Schutz des privaten Schlüssels). Das beinhaltet z.B. auch die sichere Übergabe an Dritte und die evtl. Sperrung. Die hauptverantwortliche Person legt bei Harica einen Account für die Funktions-E-Mail-Adresse an. Die Ansprechperson muss Beschäftigter/Beschäftigte der TH-Mannheim sein.
Wenn eine Person, an die das Zertifikat weitergegeben wurde, nicht mehr berechtigt ist, das Zertifikat zu nutzen (z.B. wegen eines Tätigkeitswechsels), muss das Zertifikat gesperrt und ein neues Zertifikat ausgestellt und verteilt werden.
Hinweis: Wenn Sie Daten/E-Mails verschlüsseln, sind bei Verlust des privaten Schlüssels alle diese verschlüsselten Inhalte verloren. Bedenken Sie bei dienstlichen Daten auch, dass Dritte keinen Zugriff auf verschlüsselte Inhalte bekommen können. Speziell bei Funktionspostfächern kann das zu Problemen führen, wenn die Verantwortlichkeit wechselt.
Die Voraussetzung ist, eine Funktions-E-Mail-Adresse existiert.
Die entsprechende Anleitung finden Sie weiter unten.
Öffnen Sie die Seite und klicken Sie auf „Sign Up“.
Wichtig: Verwenden Sie nicht das Passwort Ihrer E-Mail-Adresse, sondern vergeben Sie ein neues Passwort.
Öffnen Sie diese E-Mail und klicken Sie auf „Confirm email“, um Ihren Account zu aktivieren.
Klicken Sie dort auf „Activate“.
Klicken Sie auf „Go to login page“.
Klicken Sie auf das Burger-Menü und wählen Sie „Email“ aus.
For enterprises or organizations (IV+OV):
In diesem Bereich wird nach einem Upload vom Ausweisdokument gefragt.
Aufgrund der gesetzlichen Einschränkungen bei der Verwendung von Ausweisdokumenten in Deutschland und der Komplexität der datenschutzrechtlichen Beurteilung raten wir davon ab.
Nachdem Sie das Passwort eingegeben haben, bestätigen Sie die Hinweise durch Setzen des Hakens und klicken Sie auf „Enroll Certificate“.
Hinweis: Dies ist die einzige Gelegenheit zum Download Ihres Zertifikats zusammen mit dem privaten Schlüssel. Der private Schlüssel wird nicht auf den Servern von Harica gespeichert. Sie haben später keine Möglichkeit mehr, den privaten Schlüssel des Zertifikats zu erhalten.
Benennen Sie die Zertifikatdatei nach Ihrem Wunsch um. Wir empfehlen folgende Form: <JJJJ-MM-TT>_Zertifikat_<Funktionsname>.p12
Harica unterstützt keine Sonderzeichen oder Akzente etc. in den Namensfeldern. Eingabe von weiteren Sonderzeichen oder mehreren Wörtern ist nicht erlaubt. Namen müssen transkribiert werden (z. B. "Jürgen Müller" wird zu "Juergen Mueller").
Sie können sich Ihre Zertifikate jederzeit ansehen und die Ablaufzeiten kontrollieren, um rechtzeitig einen neuen Antrag zu stellen. Hierzu loggen Sie sich, wie beschrieben bei Harica ein.
Das Verlängern ist nicht möglich. Es ist immer eine Neu-Beantragung.
Ein Zertifikat sollte in folgenden Fällen widerrufen werden:
- Wenn Ihr Account kompromittiert wurde (z. B. durch einen Hackerangriff).
- Wenn Sie nicht mehr an der Hochschule tätig sind.
- Wenn sich Ihr Name geändert hat.
unter „Valid Certificates“ Ihre ausgestellten Zertifikate.
Neben Ihrem Zertifikat befindet sich ein Download-Symbol.
Klicken Sie daneben auf die drei Punkte (⋮) und wählen Sie „Revoke“ aus.
Wählen Sie unter „Revocation reason“ den Grund aus, warum Sie das Zertifikat widerrufen möchten, und klicken Sie anschließend auf „Revoke“.
Hinweis: Sorgen Sie dafür, dass Sie Ihre Zertifikate aus Ihrem E-Mail-Klienten entfernen.
- Email-Only
Dieses Zertifikat enthält nur E-Mail-Adressen. Es dient dazu, E-Mails zu signieren und zu verschlüsseln und ist für die meisten Nutzer (Mitarbeitende und Professoren/innen) geeignet. Auch für Funktions-E-Mail-Adressen ist dieses Zertifikat-Typ möglich. Die Ausstellung funktioniert vollautomatisch ohne Aktionen der Campus IT. - For enterprises or organizations (IV+OV)
Diese Variante enthält im Zertifikat neben Vor- und Nachname noch zusätzliche Identitätsprüfungen (Identity Validation / Organization Validation) und werden z. B. für offizielle oder zentrale E-Mail-Adressen verwendet. Für dieses Zertifikat ist ein Upload Ihres Personalausweises nach Griechenland zu Harica notwendig! Das Personalausweisgesetz erlaubt das Ablichten nur mit Zustimmung des Inhabers. Es wird empfohlen, nicht zwingend erforderliche Daten auf dem Ausweis zu schwärzen.
Wichtiger Hinweis:
Wenn Sie ein Zertifikat vom Typ „For enterprises or organizations (IV+OV)“ benötigen, müssen Sie hierfür ein Ticket über support.cit@th-mannheim.de erstellen. Wir bekommen keine Informationen, wenn Zertifikate beantragt werden!
Um die Identität gegenüber HARICA nachzuweisen (z. B. für ein S/MIME-Zertifikat), müssen folgende Daten lesbar bleiben: Es ist ratsam, die Kopie deutlich als solche zu markieren, z. B. durch einen halbtransparenten Schriftzug „Kopie für HARICA-Zertifikat“.
- Vor- und Nachname
- Geburtsdatum
- Anschrift
- Gültigkeitsdatum des Ausweises
- Lichtbild (zur Identifikation der Person)
Folgende Daten sollten geschwärzt werden:
- Zugangsnummer (CAN): Die sechsstellige Nummer rechts unten auf der Vorderseite.
- Maschinenlesbare Zone (MRZ): Der Textblock auf der Rückseite.
- Biometrische Daten: Augenfarbe und Körpergröße.
- Religionszugehörigkeit/Ordensname (falls vorhanden).
Einbinden von Zertifikaten
Wer kann E-Mail Zertfikate beantragen?
Alle Beschäftigten der Hochschule Mannheim mit einer Mailadresse in der Form @th-mannheim.de.
Zertifikat läuft aus/ist abgelaufen
Eine Erneuerung gibt es nicht. Sie müssen ein neues Zertifikat beantragen. Sie können jederzeit ein neues Zertifikat beantragen, auch wenn es nicht abgelaufen ist.
Beachten Sie den Hinweis zu den abgelaufenen Zertifikaten!
Umlaute und Akzente
Verwenden Sie keine Umlaute in den Zertifikaten - auch nicht bei Baden-Württemberg (dann Wuerttemberg) und auch keine Akzente (é, è, à, ç, z.B. André). Namen sollten nur einen Vornamen beinhalten. Bei IV/OV Zertifikaten müssen die Namen wie auf dem Ausweis eingetragen werden!
Vergessene Passwörter/abgelaufene Zertifikate
Ein vergessenes Passwort kann weder durch uns, noch durch HARICA zurück gesetzt werden. Mit einem Zertifikat verschlüsselte E-Mails können auf einem anderen Endgerät nur dann gelesen werden, wenn das Zertifikat dort installiert wurde. Zertifikate sind nur für 2 Jahre gültig. Wenn Sie das alte Zertifikat löschen, können Sie keine E-Mails mehr lesen, die mit diesem verschlüsselt wurden. Gleiches gilt für ein vergessenes Passwort für ein Zertifikat.
Sollte ihr Zertifikat abgelaufen sein, so dürfen Sie es nicht löschen. Alte signierte und verschlüsselte E-Mails können nur mit dem alten Zertifikat gelesen werden. Manche Mailklienten lassen nur ein eingebundenes Zertifikat zu.