Was ist eine .p7m-Datei?
Eine .p7m-Datei ist ein signierter Umschlag im Format CMS (Cryptographic Message Syntax, PKCS#7). Darin stecken der eigentliche Inhalt, die elektronische Signatur des Absenders und dessen Zertifikat. Ohne passendes Programm sieht man nur die Hülle – deshalb lässt sich eine P7M-Datei oft nicht einfach öffnen.
Im deutschsprachigen Raum begegnet Ihnen .p7m vor allem auf zwei Wegen: als smime.p7m, also als S/MIME-signierte E-Mail, die das Mailprogramm nicht anzeigen kann, und als signiertes Dokument aus Italien, etwa eine Rechnung (fattura.xml.p7m) oder ein Vertrag (contratto.pdf.p7m).
smime.p7m: eine signierte E-Mail, die nicht angezeigt wird
Eine S/MIME-signierte E-Mail kann auf zwei Arten verpackt sein. Bei der sogenannten „opaken“ Signatur steckt die ganze Nachricht – Text, Formatierung und Anhänge – in einem Anhang namens smime.p7m. (Bei der Klartextsignatur bleibt der Text lesbar, und nur die Signatur hängt als smime.p7s an.) Unterstützt Ihr Programm S/MIME nicht oder nicht vollständig (häufig bei Webmail, auf Smartphones oder bei weitergeleiteten Nachrichten), sehen Sie nur den Anhang smime.p7m und eine leere E-Mail.
Wenn Sie smime.p7m hier öffnen, zeigen wir die enthaltene Nachricht: Text oder HTML-Inhalt, die Anhänge zum Herunterladen und – sofern im signierten Teil enthalten – Absender, Empfänger, Betreff und Datum. Fehlen diese Angaben, stehen sie in der ursprünglichen E-Mail. Externe Bilder in der Nachricht laden wir nicht, sonst würde der Absender erfahren, dass Sie die Nachricht geöffnet haben.
Verschlüsselte smime.p7m: nur mit Ihrem Schlüssel
Auch eine verschlüsselte S/MIME-Nachricht heißt oft smime.p7m. Signiert und verschlüsselt sind zwei verschiedene Dinge: Verschlüsselte Nachrichten lassen sich nur mit dem privaten Schlüssel des Empfängers entschlüsseln, der in dessen Mailprogramm oder auf einer Smartcard liegt. Keine Website kann sie öffnen – auch wir nicht. Wir erkennen diesen Fall und weisen Sie darauf hin.
Öffnen Sie verschlüsselte Nachrichten daher in dem Programm, in dem Ihr S/MIME-Zertifikat eingerichtet ist (zum Beispiel Outlook oder Thunderbird), oder bitten Sie den Absender, die Nachricht erneut zu senden – ohne Verschlüsselung, sofern der Inhalt das zulässt.
Signierte Dokumente und E-Rechnungen aus Italien
In Italien werden Verträge, Bescheinigungen und viele elektronische Rechnungen mit einer qualifizierten oder fortgeschrittenen elektronischen Signatur im Format CAdES versehen. Die Endung .p7m wird dabei an den Dateinamen angehängt: fattura.xml.p7m ist eine signierte Rechnung, contratto.pdf.p7m ein signiertes PDF.
Steckt eine italienische E-Rechnung im Format FatturaPA darin (dem XML-Standard für Rechnungen, die in Italien über das staatliche Austauschsystem SdI laufen), zeigen wir sie als lesbare Rechnung: Lieferant und Kunde, Positionen, MwSt.-Übersicht, Steuereinbehalt, Fälligkeiten und IBAN. Die Beträge erscheinen genau wie in der Datei, ohne Rundung. Beigefügte PDFs laden Sie mit einem Klick herunter. Das Format ist auf fatturapa.gov.it beschrieben (auf Italienisch).
Was wir prüfen – und was nicht
Für jede Signatur zeigen wir jede Prüfung einzeln an statt eines pauschalen „gültig“:
- Unversehrtheit: Wir berechnen den Hashwert des Inhalts neu und vergleichen ihn mit dem signierten Wert. Schon die kleinste Änderung fällt dabei auf.
- Signatur: Wir prüfen die kryptografische Signatur mit dem öffentlichen Schlüssel des Zertifikats (RSA oder elliptische Kurven).
- Bindung an das Zertifikat: Wir prüfen, ob die Signatur genau das mitgelieferte Zertifikat nennt.
- Gültigkeitszeitraum: Wir prüfen, ob das Zertifikat zum Zeitpunkt der Signatur gültig war – anhand eines Zeitstempels, wenn vorhanden.
- Aussteller: Wir prüfen, ob das Zertifikat von einem Vertrauensdiensteanbieter der öffentlichen EU-Vertrauenslisten (Trusted Lists) Italiens und Rumäniens stammt, und zwar anhand der Signatur der ausstellenden Zertifizierungsstelle, nicht nur anhand ihres Namens. Andere Listen fragen wir nicht ab: Für ein deutsches S/MIME-Zertifikat ist „nicht auf den Listen“ daher der Normalfall und kein Hinweis auf eine Fälschung.
- Sperrstatus: nicht geprüft. Ob ein Zertifikat widerrufen wurde, erfährt man nur durch eine Online-Abfrage beim Aussteller; diese führen wir nicht durch. Für eine vollständige Prüfung nutzen Sie die Software Ihres Signaturanbieters. Unsere Anzeige ist eine technische Prüfung, keine rechtliche Bewertung.
Abgelaufenes Zertifikat: Gilt die Signatur noch?
Signaturzertifikate laufen nach einigen Jahren ab. Entscheidend ist, ob das Zertifikat zum Zeitpunkt der Signatur gültig war.
Die in der Datei eingetragene Signaturzeit stammt von der Uhr des signierenden Computers und beweist nichts. Ein Zeitstempel eines unabhängigen Zeitstempeldienstes dagegen schon: Enthält die Datei einen und war das Zertifikat zu diesem Zeitpunkt gültig, bleibt die Signatur auch nach Ablauf des Zertifikats technisch gültig. Wir zeigen immer an, welchen der beiden Zeitpunkte wir verwendet haben.
Wohin geht Ihre Datei?
Nirgendwohin. Ihr Browser liest und prüft die Datei mit Code, der auf Ihrem Gerät läuft. Die Sicherheitsregeln der Website (Content Security Policy) blockieren Verbindungen zu anderen Websites, und an unsere eigene Domain übertragen wir weder die Datei noch ihren Namen. Gerade bei E-Mails und Rechnungen mit personenbezogenen Daten ist das der Unterschied zu Diensten, bei denen Sie die Datei hochladen. Schließen Sie den Tab, ist nichts davon mehr im Browser.