Nachdem ich ein halber Tag daran "investiert" habe, möchte ich gerne zusammenfassen wie es funktioniert. Wenn es euch hilft, freue ich mich :)

1. Zertifikate
Bevor Thunderbird eine sichere LDAP-Verbindung (LDAPS) zur KocoBox aufbauen kann, müssen folgende Zertifikate importiert werden:
- HTTPS-Serverzertifikat der KocoBox (der gleiche von der Weboberfläche, mann kann es z.B. in Firefox die Admin-Oberfläche öffnen und das Zertifikat abspeichern)
- Gematik-Root- und Intermediate-Zertifikate (z. B. GEM.RCA6 und GEM.KOMP-CA7). Diese findet man download.tsl.ti-dienste.de/SUB-CA/ und download.tsl.ti-dienste.de/ROOT-CA/
- Client-Zertifikat, das von der KocoBox für die Authentifizierung ausgestellt wird (das gleiche wie beim Primärsystem, z.B. für Evident)

In Thunderbird werden die Zertifikate unter Einstellungen → Datenschutz & Sicherheit → Zertifikate → Zertifikate anzeigen importiert:
- Root- und Intermediate-CAs unter Zertifizierungsstellen (alle Anwendungsfälle soll man bestätigen)
- Das Client-Zertifikat unter Ihre Zertifikate

2. DNS-Konfiguration

Das LDAP-Serverzertifikat ist auf den Hostnamen konnektor.konlan ausgestellt. Daher muss dieser Name per DNS auf die IP der KocoBox (z. B. 192.168.1.60) aufgelöst werden.

Falls ein eigener DNS-Server (z. B. BIND unter Fedora) genutzt wird, genügt eine Zone .kolan zu definieren und dort es zu deklarieren: konnektor.konlan. IN A 192.168.13.207. Oder sogar in der lokalen Datei (C:\Windows\System32\drivers\etc\hosts). Auf jedem Fall der konnektor.konlan muss auflösbar sein auf die Maschine wo Thunderbird läuft und zu der richtigen IP Adresse zeigen.

3. Thunderbird-LDAP-Verzeichniseinstellungen

In Thunderbird ein neues LDAP-Verzeichnis (bei Addressbücher) anlegen mit:
- Hostname: konnektor.konlan
- Port: 636
- Verbindungssicherheit: SSL/TLS
- Authentifizierung: Einfach
- Bind-DN:
- Basis-DN: dc=data,dc=vzd


4. Ablauf der ersten Verbindung
- Thunderbird baut eine LDAPS-Verbindung zu konnektor.konlan:636 auf.
- Das Serverzertifikat wird anhand der importierten Root- und Intermediate-CAs geprüft.
- Thunderbird fragt nach einer Sicherheitsausnahme für den KocoBox-Server → bestätigen.
- (4.4) Anschließend fordert Thunderbird ein Client-Zertifikat für die Authentifizierung an.
- Hier das in Schritt 1 importierte Client-Zertifikat auswählen.
- Die Verbindung wird hergestellt und LDAP-Abfragen (Adressvervollständigung, Suche) sind möglich.

PS.
- Ich kann leider die Admin-Schnittstelle nicht über konnektor.konlan bedienen, nur über IP (mit Sicherheitsausnahme in Firefox). Die Webschnittstelle in KoCoBox ist nicht soweit, oder es muss irgendwo noch eingetragen werden.
- Es gibt wenige Möglichkeiten zu sehen was genau nicht passt in Thunderbird, die Debug Konsole listet immer nur Netzwerk-Fehler. Auf jedem Fall: Zertifikate müssen importiert und als erlaubt deklariert werden, konnektor.konlan als hostname für den Konnektor sonst match nicht mit dem Zertifikat und das Clientzertifikat vor der Verbindung importiert sein, sonst kann Thunderbird ihn in Schritt 4.4 nicht vorschlagen.

Bei der Umstellung der KocoBox auf ECC (ECDSA/SHA256) stellt das System für die LDAP-Schnittstelle ein Serverzertifikat aus, das auf Brainpool-Kurven basiert. Diese Kurven stammen aus europäischen bzw. deutschen Standardisierungsinitiativen, werden jedoch von Thunderbird aktuell nicht unterstützt.

Ich arbeite derzeit an einer kompatiblen Lösung und werde die Vorgehensweise hier dokumentieren, sobald sie getestet ist.

Die oben beschriebenen Konfigurationsschritte beziehen sich ausschließlich auf RSA-basierte Klient-Zertifikate.

Man hat leider keine Wahl. Die Zertifikate die von Konnektor verwendet werden kommen aus der Konnektor Karte was in Kartenleser steckt. Bei mir sind darauf ein RSA-2408 Zertifikat für den Port 9443 und ein ECC-256 BrainPool für 636 (LDAP) und 443 (eRezept). Ich habe eine Lösung für LDAP gefunden mit stunnel (praktisch ein Proxy der die Authentifizierung sauber macht). Ich werde es in 1-2 Tage zusammenschreiben und posten.

Wenn die Karte das falsche Zertifikat hat lässt man hat das passende in den Konnektor.
https://wiki.gematik.de/spaces/GAKB/page...onnektor+nutzen

Leider nicht korrekt. Das Thema ist zu umfangreich deswegen habe ich ein separates Post Funktionsweise der mTSL-Verbindung zwischen Client und KoCoBox dafür geschrieben.

Nachtrag für ECC Zertifikate.

Da aktuelle Thunderbird-Versionen keine ECC-Brainpool-Kurven unterstützen, kann man den Zugriff über einen lokalen Proxy (stunnel von www.stunnel.org) realisieren. Der Proxy übernimmt die TLS-Verbindung zur KoCoBox und stellt lokal ein RSA-basiertes Zertifikat bereit, das Thunderbird versteht.

Ich nutze generische IP Addressen, hier muss man natürlich seine eigene reinschreiben. Ich habe mein stunnel als Dienst auf die gleiche Machine wie der KIM Dienst laufen lassen (Rechner bei der Rezeption wo die Karten eingelesen werden). Aber es kann theoretisch auf eine beliebige Machine laufen.

Thunderbird → stunnel auf LDAPProxy (192.168.x.y:636) → KoCoBox (192.168.x.x:636)

Thunderbird verbindet sich zu ldapproxy:636, während stunnel intern eine TLS-Verbindung zur KoCoBox herstellt. Dafür benötigt man lokale Zertifikate für den Proxy, so dass Thunderbird oder ein PVS System den Proxy vertrauen.

1. Zertifikate für den LDAPProxy

Erzeuge eine Datei san.ext mit dem Inhalt:

subjectAltName=DNS:ldapproxy,IP:127.0.0.1,IP:192.168.x.y
keyUsage=digitalSignature,keyEncipherment
extendedKeyUsage=serverAuth


Zertifikat-Generierung (bitte <eigenes Passwort> setzen und aufschreiben, den braucht man später beim Import in PVS z.B.):

Lokale CA
openssl genrsa -out ca.key 2048
openssl req -x509 -new -key ca.key -days 3650 -subj "/CN=Local TLS Proxy CA" -out ca.pem

Serverzertifikat für LDAPProxy
openssl genrsa -out ldapproxy.key 2048 openssl req -new -key ldapproxy.key -subj "/CN=ldapproxy" -out ldapproxy.csr
openssl x509 -req -in ldapproxy.csr -CA ca.pem -CAkey ca.key -CAcreateserial -out ldapproxy.pem -days 1825 -extfile san.ext
openssl pkcs12 -export -in ldapproxy.pem -inkey ldapproxy.key -certfile ca.pem -name "LDAP Proxy" -out ldapproxy.p12 -passout pass:<eigenes Passwort>


Die connector-cert.* werden aus dem .p12 file von Client-Zertifikat erzeugt (auch mit openssl). Das ist der gleiche Zertifikat wie für den PVS.

2. Trust Chain für gematik

Download der offiziellen Root- und Sub-CAs von

download.tsl.ti-dienste.de/ECC/SUB-CA/GEM.KOMP-CA6.der
download.tsl.ti-dienste.de/ECC/ROOT-CA/GEM.RCA4.der

Konvertieren nach PEM
openssl x509 -inform der -in GEM.RCA4.der -out GEM.RCA4.pem
openssl x509 -inform der -in GEM.KOMP-CA6.der -out GEM.KOMP-CA6.pem


Zusammenführen
type GEM.KOMP-CA6.pem GEM.RCA4.pem > gematik-chain.pem


Diese Datei (gematik-chain.pem) wird von stunnel unter CAfile verwendet.

3. stunnel-Konfiguration

C:\stunnel kann man natürlich irgendwo sinnvoll wählen. verify = 0 ist für Testzwecke ok, später sollte man auf verify = 1 oder 2 es setzten.

[koco-ldap-front]
accept = 0.0.0.0:636
connect = 127.0.0.1:16362
cert = C:\stunnel\ldapproxy.pem
key = C:\stunnel\ldapproxy.key
CAfile = C:\stunnel\ca.pem
verify = 0

[koco-ldap-back]
accept = 127.0.0.1:16362
connect = 192.168.x.x:636
client = yes
sslVersion = TLSv1.2
curves = brainpoolP256r1:P-256:P-384
ciphers = ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-GCM-SHA256
CAfile = C:\stunnel\gematik-chain.pem
verify = 2
cert = C:\stunnel\connector-cert.pem
key = C:\stunnel\connector-cert.key
sni = konnektor.konlan

Jetzt kann man stunnel starten.

4. Thunderbird LDAP-Server

Hostname: 192.168.x.y
Port: 636
Verbindungssicherheit: SSL/TLS
Basis-DN: dc=data,dc=vzd

Importiere ca.pem als Zertifizierungsstelle.

Thunderbird sieht einen normalen RSA-Server auf ldapproxy:636, während stunnel im Hintergrund mit der KoCoBox über ECC-Brainpool kommuniziert. Damit funktioniert LDAPS wieder. Man kann natürlich sein PVS an dem Proxy auch verbinden. Aber eigentlich sollte der PVS die ECC-Brainpool unterstützen. Leider, (stand evident 6.05 von Okt.2025) wird es nicht sauber unterstützt und ich musste über die Proxy-Lösung auch für mein evident laufen lassen.