Verschlüsselte E-Mails mit Outlook senden & öffnen: Mit S/MIME-Zertifikat oder deutlich einfacher mit Microsoft 365 Purview (Anleitung)

Eine Outlook verschlüsselte Mail zu senden ist für Unternehmen und Behörden essenziell, da vertrauliche und sensible Daten nicht in falsche Hände geraten dürfen. Dafür stehen in Outlook zwei verschiedene Verschlüsselungsmethoden zur Verfügung: die klassische S/MIME-Verschlüsselung, die inzwischen jedoch ein externes Zertifikat erfordert, und die neuere, deutlich komfortablere Microsoft-Purview-Nachrichtenverschlüsselung in Microsoft 365, die ohne den Aufwand für das Beantragen und Austauschen von Zertifikaten auskommt. Die folgende Büro-Kaizen®-Anleitung zeigt Ihnen Schritt für Schritt, wie Sie mit beiden Methoden vertrauliche E-Mails in Outlook verschlüsseln, versenden und öffnen können.

1. Hintergrund: Welche E-Mails sollte man in Outlook alles verschlüsseln? Warum?

Wenn eine E-Mail in Outlook nicht verschlüsselt, sondern im Klartext versendet, kann potenziell jeder, der die Nachricht abfängt, den Nachrichtentext und auch den Anhang lesen. Ganz ähnlich wie bei einer klassischen Postkarte. Das ist für alle vertraulichen Inhalte und sensiblen Daten im Unternehmenskontext, die rechtlichen Anforderungen unterliegen (z. B. DSGVO, Compliance-Vorgaben, branchenspezifische Standards), natürlich fatal. Die Mail-Verschlüsselung in Outlook funktioniert nun wie ein Briefumschlag mit Vorhängeschloss. Der Inhalt inklusive der Anhänge werden darin unlesbar chiffriert und mit einem Schloss geschützt. Und nur die vorgesehene Empfangsperson erhält die Möglichkeit, diese Verschlüsselung zu öffnen und damit den Inhalt zu dechiffrieren. So wird sichergestellt, dass sensible Daten nicht in unbefugte Hände gelangen können.

Fazit: Laut dem zuständigen Bundesamt für Sicherheit in der Informationstechnik (BSI) ist der Schutz sensibler Daten durch das Versenden verschlüsselter E-Mails (z. B. in Outlook) mittlerweile keine Option mehr, sondern fast schon Pflicht. Das ist für die Kommunikation von Behörden schon länger gängige Praxis und wird vom BSI nun auch dringend für das Geschäftsumfeld empfohlen.

• Für Privatnutzer empfiehlt das BSI den Verschlüsselungsstandard OpenPGP.
• Für Unternehmen und Behörden empfiehlt das BSI hingegen den etwas aufwendigeren Verschlüsselungsstandard S/MIME (auf Basis von Zertifikaten).
• Speziell für Microsoft 365-Geschäftskunden gibt es aber alternativ auch die Microsoft Purview-Nachrichtenverschlüsselung in Microsoft 365 und Outlook. Dies ermöglicht eine deutlich bequemere und dennoch sichere Mail-Verschlüsselung ohne vorherigen Zertifikataustausch. Hier die Übersicht mit Vergleich.

2. Wie funktioniert das Senden verschlüsselter E-Mails in Outlook? Einfach erklärt

• S/MIME (für Unternehmen und Behörden): Klassischer Verschlüsselungsstandard für E-Mails mittels Zertifikaten, die von einer offiziellen Zertifizierungsstelle (CA) ausgestellt und verteilt werden (kontrolliert, transparent, überprüf- und nachvollziehbar). Die S/MIME-Zertifikate fungieren dabei wie eine Art „amtlich beglaubigter digitaler Ausweis“ und müssen nur einmalig geordert und in Outlook hinterlegt werden. Das Protokoll ist sehr sicher, aber beide Seiten (Sender und Empfänger) müssen dafür zuvor ein S/MIME-Zertifikat angefordert haben und besitzen. Laut dem BSI eignet sich S/MIME daher vor allem für den sicheren E-Mail-Verkehr in Unternehmen und Behörden, aber weniger für den privaten Gebrauch.
• OpenPGP (für Privatnutzer): Diese E-Mail-Verschlüsselungsmethode funktioniert ohne den vorherigen Bezug eines Zertifikats. Denn das Vertrauensmodell für die kryptografischen Schlüssel ist im OpenPGP-System dezentral gestaltet (ein „Web of Trust“ statt zentralen Zertifizierungsstellen). Das bedeutet, dass einem unbekannten Schlüssel indirekt vertraut wird, wenn er bereits durch eine vertrauenswürdige Instanz signiert wurde. Jeder Nutzer kann somit seine eigenen Schlüssel erstellen und verwalten. Das BSI empfiehlt, die OpenPGP Verschlüsselungsmethode nur für das private Umfeld. In Outlook ist diese Option zudem erst durch die Installation eines zusätzlichen OpenPGP-Add-on möglich.
• Microsoft Purview-Nachrichtenverschlüsselung (in Microsoft 365 integriert): Die Microsoft Purview-Nachrichtenverschlüsselung hieß bis Juli 2023 noch „Office 365 Message Encryption“ (OME) und ist eine Cloud-basierte Verschlüsselungslösung, die in Microsoft 365 integriert ist. Dabei werden die Outlook-E-Mails automatisch serverseitig verschlüsselt (basierend auf Azure Rights Management), ohne dass man dafür extra ein Zertifikat benötigt. Der kryptografische Schlüssel zum Entschlüsseln der E-Mail wird stattdessen an die Identität des Empfängers gebunden. Erst nach erfolgreicher Identitätsprüfung (Authentifizierung mittels Microsoft-Konto, Einmalcode oder Unternehmenslogin) erhält der Empfänger Zugriff auf den Inhalt. Weder Sender noch Empfänger benötigen dafür ein gesondertes Zertifikat. So kann man auch an externe Kunden und Partner eine sicher verschlüsselte E-Mail senden, ohne sich Gedanken darüber machen zu müssen, ob diese Person ein Zertifikat besitzt. Das Purview-Verfahren unterstützt neben der E-Mail-Verschlüsselung auch gängige Richtlinien wie Weiterleitungs- und Kopierschutz – optimal also für den Einsatz in Unternehmen, die ohnehin mit Microsoft 365 arbeiten.

Lizenzvoraussetzungen: Für welche Microsoft 365-Abonnements ist die Mail-Verschlüsselung mit Microsoft Purview in Outlook verfügbar?

• Die Microsoft Purview-Nachrichtenverschlüsselung ist in folgenden Office 365- und Microsoft 365-Abonnements enthalten: Business Premium, Enterprise E3 und E5, Bildung A1, A3 und A5 sowie Government G3 und G5. Hier werden keine zusätzlichen Lizenzen benötigt.
• Für Microsoft 365 Business Basic, Business Standard, Enterprise E1 sowie Exchange Plan 1 und Plan 2 wird hingegen zusätzlich der „Azure Information Protection Plan 1“ benötigt, um die Microsoft Purview Mail-Verschlüsselung zu erhalten. Der Plan ist für unter 2 Euro pro Nutzer und Monat hinzubuchbar. Alternativ kann auch gleich die ganze Purview-Suite bezogen werden.

3. Eine mit Microsoft Purview verschlüsselte E-Mail in Outlook senden

Für die Microsoft Purview-Nachrichtenverschlüsselung in Outlook benötigen Sie eine gültige Microsoft 365-Lizenz (siehe oben). Die Größe der zu verschlüsselnden E-Mail darf einschließlich der Anlagen zudem 25 MB nicht überschreiten. Wichtig: Ihr Microsoft 365-Administrator muss die Purview Richtlinien aktivieren und damit die Funktion aktiv freischalten, ansonsten erscheint die Schaltfläche in Ihrem Outlook gar nicht erst. Gehen Sie dann wie folgt vor.

• Outlook Desktop-Client: Öffnen Sie eine → neue Nachricht in Ihrem Outlook, klicken Sie im Menüband oben auf → Optionen und dann auf das Schloss-Symbol für → Verschlüsseln. Wählen Sie anschließend entweder → Nur verschlüsseln oder → Vertraulich verschlüsseln aus. Bei Letzterem können Sie über die Verschlüsselung hinausgehend zusätzliche Richtlinien aktivieren (z. B. kein Weiterleiten, kein Kopieren, kein Drucken möglich).
• Outlook im Web (Outlook.com): Öffnen Sie eine → neue Nachricht. Hier finden Sie direkt im Menü oben die Funktion → Verschlüsseln und können dann zwischen → Nur verschlüsseln und → Vertraulich verschlüsseln wählen.
• Wechselnde Layouts: Je nach Outlook-App (Desktop klassisch oder neu, Web, mobil) finden Sie die Option für das Verschlüsseln einer E-Mail auch unter → Berechtigungen, → Weitere Optionen (die drei Punkte „…“) oder → Nachricht verschlüsseln.

4. Eine mit Microsoft Purview verschlüsselte E-Mail in Outlook öffnen

Das Entschlüsseln einer mit Purview verschlüsselten Outlook-E-Mail auf Empfängerseite ist an eine Identitätsprüfung gekoppelt.

• Empfänger, die selbst ein Microsoft 365-Abonnent besitzen, müssen dafür lediglich in einem Microsoft-Dienst eingeloggt sein. Das genügt. Diesen wird die verschlüsselte E-Mail dann nahtlos in deren Outlook-Postfach angezeigt und kann wie gewohnt direkt geöffnet werden. Outlook entschlüsselt die Mail dann automatisch beim Öffnen.
• Benutzer mit einem E-Mail-Client eines Drittanbieters (z. B. Gmail, Yahoo, Thunderbird, GMX, Freenet oder Outlook-Nutzer ohne Microsoft 365-Abonnement) werden durch eine Wrapper-E-Mail mit einem Link auf Microsofts verschlüsseltes Nachrichtenportal für verschlüsselte E-Mails weitergeleitet. Dort müssen sie sich eingangs authentifizieren (z. B. durch einen Einmalcode) und können dann in dieser sicheren Umgebung über ihren Web-Browser den Nachrichtentext lesen und darauf antworten.

5. Wie man eine verschlüsselte E-Mail in Outlook per S/MIME versendet

Auch bei dem klassischen Verschlüsselungsstandard S/MIME hat sich in Outlook etwas geändert. Bislang konnte man sich das dafür benötigte Zertifikat direkt aus Outlook heraus bei einer der vielen zuständigen Zertifizierungsstellen (CA) besorgen und dann via Outlook in die eigene digitale Signatur integrieren. Die meisten Anleitungen für die E-Mail-Verschlüsselung in Outlook beschreiben immer noch dieses inzwischen veraltete und nun nicht mehr mögliche Vorgehen (via → Datei → Optionen → Trust-Center → Einstellungen für das Trust-Center).

Wichtig: Das S/MIME-Zertifikat kann nicht mehr aus Outlook heraus beantragt werden!

Outlook stellt mittlerweile keine Funktion mehr bereit, um direkt aus Outlook heraus ein Zertifikat bei einer Zertifizierungsstelle (CA) zu beantragen. Das Zertifikat muss nun extern außerhalb von Outlook bei einer CA bezogen, dann zunächst in den → Windows-Zertifikatsspeicher importiert und erst danach über das → Trust Center und → E-Mail-Sicherheit in Outlook eingebunden werden.

• Die wichtigsten S/MIME-Zertifizierungsstellen für Unternehmen in Deutschland sind D-Trust (Bundesdruckerei), SwissSign, GlobalSign und Sectigo (ehemals Comodo).
• Eine gute Übersicht über die CA und ihre Preise finden Sie beispielsweise auf hosttest.de oder SSLplus.de.

5.1 Anleitung für das Beantragen eines S/MIME-Zertifikats für die Verschlüsselung in Outlook:

Outlook bietet keine integrierte Funktion für den Bezug eines S/MIME-Zertifikats mehr an. Sie müssen die digitale Signatur extern bei einer der oben genannten CA beantragen, diese dann zuerst in Windows importieren und können es erst danach in Outlook aktivieren.

• Beantragen Sie ein S/MIME-Zertifikat für die E-Mail-Verschlüsselung bei einer Zertifizierungsstelle Ihres Vertrauens.
• Doppelklicken Sie auf die Zertifikatsdatei, um das Zertifikat in den Windows-Zertifikatsspeicher zu importieren. Geben Sie dafür das dazugehörige Passwort ein und achten Sie darauf, den Schlüssel als → exportierbar zu markieren.
• Öffnen Sie anschließend Ihr Outlook und klicken Sie auf → Datei → Optionen → Trust Center → Einstellungen für das Trust Center und → E-Mail-Sicherheit. Gehen Sie dann unter „Digitale IDs (Zertifikate)“ auf → Importieren/Exportieren und wählen Sie das entsprechende S/MIME-Zertifikat aus dem Speicher.
• Aktivieren Sie anschließend die Optionen → Ausgehenden Nachrichten digitale Signatur hinzufügen, → Signatur als Klartext senden sowie → Inhalt und Anlagen verschlüsseln.

5.2 Anleitung für das Senden einer mit S/MIME verschlüsselten E-Mail in Outlook:

Bevor Sie eine S/MIME-verschlüsselte E-Mail in Outlook so versenden können, dass der Empfänger sie auch öffnen kann, müssen Sender und Empfänger einmalig ihre digitalen Signaturen austauschen. Denn für die Generierung des kryptografischen Schlüssels, der für das Dekodieren der chiffrierten Mail benötigt wird, nutzt die Senderseite den öffentlich sichtbaren Teil der Empfänger-Signatur. Und nur der geheime Teil der Empfänger-Signatur kann dann die so verschlüsselte Nachricht entschlüsseln und öffnen. Sobald Sie eine E-Mail mit digitaler Signatur erhalten, speichert Outlook das darin eingebettete S/MIME-Zertifikat automatisch ab und ordnet es der entsprechenden Kontaktdatei der betreffenden Person zu. Wichtig: Diese Person muss bereits als Kontakt in Ihrem Outlook angelegt sein, nur dann bleibt das Zertifikat dauerhaft verfügbar und kann für spätere Verschlüsselungen genutzt werden. Gehen Sie dann wie folgt vor.

• S/MIME-Verschlüsselung im klassischen Outlook: Nachdem Sie Ihr S/MIME-Zertifikat in Outlook hinterlegt und die Option einmalig aktiviert haben (siehe oben), müssen Sie für das Versenden einer verschlüsselten E-Mail in Outlook künftig nur noch auf → Neue E-Mail → Optionen → Weitere Optionen → Nachrichteneinstellungen → Sicherheitseinstellungen klicken und das Häkchen bei → Inhalt verschlüsseln aktivieren.
• S/MIME-Verschlüsselung im neuen Outlook für Windows (seit 2023): Erstellen Sie eine → neue Nachricht, gehen Sie im Menüband auf → Optionen und im Bereich Sicherheit auf → Verschlüsseln. Wählen Sie → S/MIME-Verschlüsselung aus und versenden Sie die Nachricht.
• S/MIME-Verschlüsselung in Outlook im Web (OWA, Outlook.com): Erstellen Sie eine neue E-Mail, klicken Sie im Nachrichtenfenster oben auf → Weitere Optionen und dann auf → Verschlüsseln und → S/MIME-Verschlüsselung. Gegebenenfalls werden Sie jetzt aufgefordert, das S/MIME‑Add‑in für Outlook im Web zu installieren. Anschließend wird Ihnen im Menüband die Option → S/MIME eingeblendet. Klicken Sie auf diese Schaltfläche und aktivieren Sie die Option → Nachricht verschlüsseln.

6. Wie man eine S/MIME-verschlüsselte E-Mail in Outlook öffnet

Sind die Voraussetzungen erfüllt (eigenes S/MIME‑Zertifikat installiert und einmalig mit dem Kommunikationspartner mittels einer digital signierten E-Mail ausgetauscht), ist das Öffnen einer S/MIME-verschlüsselten E-Mail in Outlook ganz einfach.

• Sie müssen die E-Mail lediglich in Ihrem Posteingang anklicken.
• Outlook entschlüsselt und öffnet die Nachricht dann automatisch, sofern die Bedingungen korrekt erfüllt werden.
• Lediglich in Outlook im Web ist dafür zusätzlich initial die Installation des S/MIME‑Add‑in erforderlich.

7. Problemlösung: Das Öffnen einer verschlüsselten Mail in Outlook funktioniert nicht?

• Outlook kann die Mail nicht entschlüsseln und öffnen: Überprüfen Sie, ob und welches Zertifikat in Ihrem Outlook hinterlegt ist. Das geht im klassischen Outlook über → Datei → Optionen → Trust Center → E-Mail-Sicherheit. Im neuen Outlook über → Einstellungen → Konten → Sicherheit. Vergleichen Sie das Zertifikat dann auch mit den Informationen Ihrer Kontaktperson.
• Kein Öffnen/Versenden übers Handy möglich: Auf allen Endgeräten (PC, Mac, Laptop, Smartphones, Tablets) funktioniert die S/MIME-Verschlüsselung nur, wenn das Zertifikat auch jeweils lokal auf dem jeweiligen Endgerät in der Outlook-App installiert ist.
• Schaltfläche „Verschlüsseln“ ist in Ihrem Outlook nicht vorhanden: Die Möglichkeit zum Versenden verschlüsselter E-Mails in Outlook hängt nicht nur von den richtigen Einstellungen in Outlook, sondern auch von der Lizenz, dem Versionsstand der Anwendungen, den Unternehmensrichtlinien sowie der Konfiguration und dem Aktivieren der Funktion im Admin-Center ab. Bitten Sie daher bei anderweitigen Problemen am besten gleich Ihre IT-Abteilung um Rat und Hilfe.

8. Extra-Tipps für Outlook – mit den Top 15 Outlook-Tipps als Video-Tutorial!

Der E-Mail-Client Outlook besitzt viele sehr nützliche Funktionen, die aber leider oft nicht selbsterklärend sind. Die E-Mail-Verschlüsselung in Outlook ist nur ein Beispiel von vielen. Auch das Freigeben eines Kalenders, das Erstellen eines gemeinsamen Gruppenkalenders, das Einfügen einer Signatur, die bedingte Formatierung, die individuelle Gestaltung der Menüleiste oder das Hinzufügen eines weiteren Kontos können die wenigsten Nutzer aus dem Stehgreif erledigen, ohne den Lösungsweg dafür extra nachschlagen zu müssen. Das alles – und wie Sie darüber hinaus Outlook zur Bewältigung Ihrer E-Mail-Flut einsetzen, mit Teams verknüpfen, Textbausteine verwenden und Vorlagen erstellen – erfahren Sie in unseren folgenden Anleitungen, sowie in unserem nachfolgenden YouTube-Video-Tutorial!

→ Unsere Themenseite zu Outlook: Alle Büro-Kaizen® Anleitungen zu den Funktionen und Möglichkeiten in Microsoft Outlook auf einen Blick.
→ Kostenloses Büro-Kaizen® eBook: „E-Mail-Challenge – wie Sie jeden Tag mühelos Ihren Posteingang leer bekommen“ (als kostenlosen Download).
→ Outlook Schulung: Weiterbildung durch Präsenzseminare, Inhouse-Schulungen und Online-Kurse.
→ Kostenloses Download-Center: Hier finden Sie viele weitere praxisnahe Checklisten, Tipps und Vorlagen für mehr Effizienz und Produktivität im Büro.

15 unbekannte Outlook-Funktionen für mehr Produktivität! 

(Dauer: 11:17 Minuten)

Inhalt des Videos:

1. Einleitung 00:00 
2. E-Mails später versenden 00:18
3. Schlummertaste für E-Mails 00:58 
4. Aufgaben im Posteingang einblenden 01:31 
5. E-Mails mit einem Klick in Aufgaben umwandeln 01:54 
6. Die Suche effektiver nutzen 02:50 
7. Fehlerhafte E-Mails schnell zurückrufen 03:52 
8. Dateien per Drag & Drop in eine Mail einfügen 04:56 
9. Schneller Dateien in eine Mail einfügen 05:23 
10. Personen in E-Mails erwähnen 06:01 
11. Zeit sparen mit Textbausteinen 06:57 
12. E-Mails nicht automatisch als gelesen markieren 07:43 
13. Wichtige E-Mails anheften 08:29 
14. Ordner einfärben für mehr Klarheit 09:03 
15. Wechseln zwischen E-Mail und Kalender 09:31 
16. Zeitfenster für eigene Aufgaben im Kalender freihalten (Timeboxing) 10:07