Natürlich gibt es auch in Deutschland Zertifizierungsstellen für Privatpersonen. Z.B. bieten viele Banken Zertifikate der Klasse 3 (d.h. mit persönlicher Identifizierung). Leider sind diese Angebote aber alle nicht kostenlos. Kostenlose Zertifikate der Klasse 3 gibt es aktuell von Fraunhofer SIT und dessen Partner, wobei hierbei zusätzliche Schritte notwendig sind, da die eingesetzte CA in den meisten E-Mail-Clients nicht eingetragen ist (d.h. nicht als 'wohlbekannt' gilt). Die erwähnten zusätzlichen Schritte kann jedoch die bereitgestellte Software Volksverschlüsselung übernehmen und automatisiert ausführen. Allerdings muss man einer CA gar nicht vollständig vertrauen, um von ihr ein Zertifikat zu nutzen. Zunächst muss man sich klar machen, dass die CAs auf den privaten Schlüssel (den gelben) zu keinem Zeitpunkt Zugriff hat. Und was sie nicht kennen, können sie auch keiner Behörde rausgeben. Damit bleibt als letzter Angriffsvektor ein Angriff, der ganz allgemein auf das PKI-System mit Zertifikate zutrifft: Eine beliebige CA kann ein falsches Zertifikat, z.B. für einen Geheimdienst, ausstellen, welches so aussieht als würde es zu Bob (d.h. dem Kommunikationspartner) gehören. Der eigene E-Mail-Client wird es akzeptieren, da es korrekt von einer CA unterschrieben ist. Dadurch, dass der E-Mail-Client nun aber ein falsches ('böses') Zertifikat gespeichert hat, kann derjenige mit dem zugehörigen privaten Schlüssel (z.B. der Geheimdienst) alle Nachrichten entschlüsseln. Damit auch der Kommunikationspartner nichts merkt, wird der Inhalt anschließend neu verschlüsselt mit dem richtigen öffentlichen Schlüssel des eigentlichen Empfängers. Dies ist ein sogenannter "Man-in-the-Middle"-Angriff. Um diesen Angriff zu verhindern, reicht es, wenn man auf einem anderen Weg den sogenannten Fingerprint des empfangenen Zertifikats mit dem vom Empfänger direkt vergleicht (wie es z.B. bei OpenPGP auch standard ist). Das kann z.B. bei einem kurzen Telefonat oder auch einem persönlichen Treffen passieren. Wenn dieser Fingerprint übereinstimmt, dann kann kein "Man-in-the-Middle" stattfinden. An dieser Stelle wäre es wünschenswert, wenn die E-Mail-Clients eine Warnung aussprechen würden, sobald sich das Zertifikat eines Teilnehmers ändert. Bei Thunderbird passiert dies leider stillschweigen im Hintergrund, auf iOS hingegen muss man das neue Zertifikat hingegen manuell ersetzen. Das sind die beiden Extremen, die beide nicht optimal sind. Optimal wäre eine automatische Ersetzung mit einem kurzen Nachfragen/Hinweis, dass das Zertifikat sich geändert hat und man eine Möglichkeit hat, sich das neue Zertifikat anzusehen, bevor man es akzeptiert. Wohlgemerkt, dies ist aber kein Angriff einer ganz spezifischen CA, die Ihr Zertifikat ausstellt, sonder ein ganz allgemeiner auf die PKI. Im Umkehrschluss bedeutet es aber, dass es keinen Grund gibt, einer CA trauen zu müssen, um von ihr ein Zertifikat zu beantragen.
Alternativ zu oben erwähnten kostenfreien Zertifikaten der Klassse 3 von Fraunhofer SIT gibt es die Möglichkeit, Zertifikate der Klassse 1 von der Firma Actalis zu bekommen. Es handelt sich hierbei um eine italienische Firma, deren eingesezte CA allerdings in den meisten E-Mail-Clients bereits eingetragen ist. Hierbei ist zu beachten, dass das kryptographische Schlüsselpaar auf dem Server von der CA (nicht auf Ihrem Rechner) erzeugt und anschließend per E-Mail in PKCS#12-Format [PFX] an Sie gesendet wird. Laut Actalis-Policy, behält die CA den privaten Schlüssel des Benutzers, nachdem sie ihn ihm versendet hat, nicht.
Eine weitere Möglichkeit, kostenfreie Zertifikate der Klasse 1 zu bekommen, ist die gemeinschaftsbetriebene Zertifizierungsstelle CAcert. Sie agiert weltweit und hat ihren Sitz in Australien. Beim Einrichten eines S/MIME-Zertifikates von CAcert sind zusätzliche Schritte notwendig, da diese CA in den meisten E-Mail-Clients nicht eingetragen ist. Zwar wird von CAcert keine Software für das automatisierte Einrichten wie bei Volksverschlüsselung angeboten, es steht jedoch eine genaue Anleitung zur Verfügung (abrufbar unter https://wiki.cacert.org/EmailCertificates).