[Eisfair] Fetchmail bei T-Online

Marcus Röckrath marcus.roeckrath at gmx.de
Sa Okt 24 13:16:54 CEST 2026 

Hallo Stefan,

Stefan H. wrote:

> hat noch jemand anders Probleme beim Mailabruf von T-Online?

Hatte, zunächst schon vor ein paar Tagen.

Telekom hat eine neues Zertifikat erstellt, welches eine ganz andere Kette 
und insbesondere ein gänzlich anderes Root-Zertifikat hat.

Nachdem es Probleme mit dem neuen Zertifikat gab, es stimmte was mit der 
Kette nicht, wurde es zunächst wieder zurückgezogen, wurde es nun doch - 
möglicherweise auch ein nochmal neu erstelltes - freigeschaltet.

Hier die Kette des neuen Zertifikates:

# /var/install/bin/certs-show-chain --nogui 
/var/certs/ssl/certs/securepop.t-online.de.pem 
Show certificate chain (run as 'root')
*
| certificate : securepop.t-online.de.pem (522233bc)
| subject     : C=DE ST=Nordrhein-Westfalen L=Bonn O=Deutsche Telekom AG 
CN=securepop.t-online.de
| issuer      : C=DE O=Deutsche Telekom Security GmbH 
organizationIdentifier=NTRDE-DER3201.HRB15241 CN=Telekom Security OV RSA CA 
26A
| MD5 f-print : D1:9C:1E:42:0F:A6:91:1D:2F:7C:64:AA:0B:04:E7:63
| SHA1 f-print: 64:3F:DE:7E:77:AB:B1:02:7F:ED:B5:A6:C4:20:F7:07:B4:11:7A:FD
|
+->| certificate : telekom_security_ov_rsa_ca_26a.pem (7c25680e)
   | subject     : C=DE O=Deutsche Telekom Security GmbH 
organizationIdentifier=NTRDE-DER3201.HRB15241 CN=Telekom Security OV RSA CA 
26A
   | issuer      : C=DE O=Deutsche Telekom Security GmbH CN=Telekom Security 
TLS RSA Root 2023
   | MD5 f-print : 0F:2C:74:67:91:34:82:30:7F:97:69:22:85:59:01:61
   | SHA1 f-print: 
91:89:A9:4B:C3:B7:EA:4A:53:63:CF:4F:7C:5F:C0:9C:4B:D3:EC:B6
   |
   +->| certificate : telekom_security_tls_rsa_root_2023.pem (7fa05551)
      | subject     : C=DE O=Deutsche Telekom Security GmbH CN=Telekom 
Security TLS RSA Root 2023
      | issuer      : C=DE O=T-Systems Enterprise Services GmbH OU=T-Systems 
Trust Center CN=T-TeleSec GlobalRoot Class 3
      | MD5 f-print : CF:81:A3:19:17:09:9F:1D:39:67:16:4E:DE:8C:90:90
      | SHA1 f-print: 
37:BC:9C:F8:5B:29:08:0D:E6:6C:2C:EA:F7:A3:EA:3F:18:28:42:D8
      |
      +->| certificate : t-telesec_globalroot_class_3.pem (5443e9e3)
         | subject     : C=DE O=T-Systems Enterprise Services GmbH OU=T-
Systems Trust Center CN=T-TeleSec GlobalRoot Class 3
         | issuer      : C=DE O=T-Systems Enterprise Services GmbH OU=T-
Systems Trust Center CN=T-TeleSec GlobalRoot Class 3
         | MD5 f-print : CA:FB:40:A8:4E:39:92:8A:1D:FE:8E:2F:C4:27:EA:EF
         | SHA1 f-print: 
55:A6:72:3E:CB:F2:EC:CD:C3:23:74:70:19:9D:2A:BE:11:E3:81:D1
         |
         +-> end of chain!

Dir dürfte auf dem System das t-telesec_globalroot_class_3.pem fehlen.

> Ich habe seit Tagen das hier:
> 
> Oct 24 12:25:00 fetchmail: Server certificate verification error: unable
> to get local issuer certificate
> Oct 24 12:25:00 fetchmail: Broken certification chain at:
> /C=DE/O=T-Systems Enterprise Services GmbH/OU=T-Systems Trust
> Center/CN=T-TeleSec GlobalRoot Class 3
^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^^

> Eigentlich sieht das passende Zertifikat securesmtp.t-online.de.pem doch
> ganz gut aus:
> 
> *
> | certificate : securesmtp.t-online.de.pem (9e61abb9)

Das ist das alte, dessen Kette natürlich noch stimmt, aber das neue hat 
folgende Kette:

# /var/install/bin/certs-show-chain --nogui 
/var/certs/ssl/certs/securesmtp.t-online.de.pem   Show certificate chain 
(run as 'root')
*
| certificate : securesmtp.t-online.de.pem (9e61abb9)
| subject     : C=DE ST=Nordrhein-Westfalen L=Bonn O=Deutsche Telekom AG 
CN=securesmtp.t-online.de
| issuer      : C=DE O=Deutsche Telekom Security GmbH 
organizationIdentifier=NTRDE-DER3201.HRB15241 CN=Telekom Security OV RSA CA 
26A
| MD5 f-print : 03:4A:85:47:6D:5A:75:7F:94:C4:0F:06:FE:87:26:A0
| SHA1 f-print: E2:55:28:2D:4F:F1:AD:BE:20:0D:E4:84:8B:7E:17:27:14:21:3A:FD
|
+->| certificate : telekom_security_ov_rsa_ca_26a.pem (7c25680e)
   | subject     : C=DE O=Deutsche Telekom Security GmbH 
organizationIdentifier=NTRDE-DER3201.HRB15241 CN=Telekom Security OV RSA CA 
26A
   | issuer      : C=DE O=Deutsche Telekom Security GmbH CN=Telekom Security 
TLS RSA Root 2023
   | MD5 f-print : 0F:2C:74:67:91:34:82:30:7F:97:69:22:85:59:01:61
   | SHA1 f-print: 
91:89:A9:4B:C3:B7:EA:4A:53:63:CF:4F:7C:5F:C0:9C:4B:D3:EC:B6
   |
   +->| certificate : telekom_security_tls_rsa_root_2023.pem (7fa05551)
      | subject     : C=DE O=Deutsche Telekom Security GmbH CN=Telekom 
Security TLS RSA Root 2023
      | issuer      : C=DE O=T-Systems Enterprise Services GmbH OU=T-Systems 
Trust Center CN=T-TeleSec GlobalRoot Class 3
      | MD5 f-print : CF:81:A3:19:17:09:9F:1D:39:67:16:4E:DE:8C:90:90
      | SHA1 f-print: 
37:BC:9C:F8:5B:29:08:0D:E6:6C:2C:EA:F7:A3:EA:3F:18:28:42:D8
      |
      +->| certificate : t-telesec_globalroot_class_3.pem (5443e9e3)
         | subject     : C=DE O=T-Systems Enterprise Services GmbH OU=T-
Systems Trust Center CN=T-TeleSec GlobalRoot Class 3
         | issuer      : C=DE O=T-Systems Enterprise Services GmbH OU=T-
Systems Trust Center CN=T-TeleSec GlobalRoot Class 3
         | MD5 f-print : CA:FB:40:A8:4E:39:92:8A:1D:FE:8E:2F:C4:27:EA:EF
         | SHA1 f-print: 
55:A6:72:3E:CB:F2:EC:CD:C3:23:74:70:19:9D:2A:BE:11:E3:81:D1
         |
         +-> end of chain!

Lege in /var/certs/ssl/certs das Zertifikat t-telesec_globalroot_class_3.pem

mit folgendem Inhalt an (Obacht mein Rauskopieren aus der Mail, denn da 
können komische Zeichen mit reinrutschen):

-----BEGIN CERTIFICATE-----
MIIDwzCCAqugAwIBAgIBATANBgkqhkiG9w0BAQsFADCBgjELMAkGA1UEBhMCREUxKzApBgNVBAoM
IlQtU3lzdGVtcyBFbnRlcnByaXNlIFNlcnZpY2VzIEdtYkgxHzAdBgNVBAsMFlQtU3lzdGVtcyBU
cnVzdCBDZW50ZXIxJTAjBgNVBAMMHFQtVGVsZVNlYyBHbG9iYWxSb290IENsYXNzIDMwHhcNMDgx
MDAxMTAyOTU2WhcNMzMxMDAxMjM1OTU5WjCBgjELMAkGA1UEBhMCREUxKzApBgNVBAoMIlQtU3lz
dGVtcyBFbnRlcnByaXNlIFNlcnZpY2VzIEdtYkgxHzAdBgNVBAsMFlQtU3lzdGVtcyBUcnVzdCBD
ZW50ZXIxJTAjBgNVBAMMHFQtVGVsZVNlYyBHbG9iYWxSb290IENsYXNzIDMwggEiMA0GCSqGSIb3
DQEBAQUAA4IBDwAwggEKAoIBAQC9dZPwYiJvJK7genasfb3ZJNW4t/zN8ELg63iIVl6bmlQdTQyK
9tPPcPRStdiTBONGhnFBSivwKixVA9ZIw+A5OO3yXDw/RLyTPWGrTs0NvvAgJ1gORH8EGoel15YU
NpDQSXuhdfsaa3Ox+M6pCSzyU9XDFES4hqX2iys52qMzVNn6chr3IhUciJFrf2blw2qAsCTz34ZF
iP0Zf3WHHx+xGwpzJFu5ZeAsVMhg02YXP+HMVDNzkQI6pn97djmiH5a2OK61yJN0HZ65tOVgnS9W
0eDrXltMEnAMbEQgqxHY9Bn20pxSN+f6tsIxO0rUFJmtxxr1XV/6B7h8DR/Wgx6zAgMBAAGjQjBA
MA8GA1UdEwEB/wQFMAMBAf8wDgYDVR0PAQH/BAQDAgEGMB0GA1UdDgQWBBS1A/d2O2GCahKqGFPr
AyGUv/7OyjANBgkqhkiG9w0BAQsFAAOCAQEAVj3vlNW92nOyWL6ukK2YJ5f+AbGwUgC4TeQbIXQb
fsDuXmkqJa9c1h3a0nnJ85cp4IaH3gRZD/FZ1GSFS5mvJQQeyUapl96Cshtwn5z2r3Ex3XsFpSzT
ucpH9sry9uetuUg/vBa3wW306gmv7PO15wWeph6KU1HWk4HMdJP2udqmJQV0eVp+QD6CSyYRMG7h
P0HHRwA11fXT91Q+gT3aSWqas+8QPebrb9HIIkfLzM8BMZLZGOMivgkeGj5asuRrDFR6fUNOuIml
e9eiPZaGzPImNC1qkp2aGtAw4l1OBLBfiyB+d8E9lYLRRpo7PHi4b6HQDWSieB4pTpPDpFQUWw==
-----END CERTIFICATE-----

Kann eventuell besser aus dem HowTo unter 
https://www.eisfair.org/doku.php?id=eisfair:hilfe:howtos:zertifikate:mozillabundle 
nach Aufklappen des speziellen Zertifikates rauskopiert werden.

Danach im Certs-Menu rehashen!

Oder installiere das komplette Mozillabundle über das Certs-Menu.

Aktualisiere die Telekom-Mailzertifikate, wenn du die neuen Zertifikate auch 
auf dem lokalen Zertifikatsspeicher haben illst. Hattest du die alten auch 
lokal vorliegen?:

# /var/install/bin/certs-request-cert --writecert --replace smtp 
securesmtp.t-online.de

# /var/install/bin/certs-request-cert --writecert --replace pop securepop.t-
online.de

-- 
Gruß Marcus
[eisfair-Team]

Mehr Informationen über die Mailingliste Eisfair