Warum Unternehmen mehr Wert auf E-Mail-Verschlüsselung legen müssen

Elektronische Post ist zu einem festen Bestandteil des heutigen Alltags geworden. Besonders in der beruflichen Kommunikation sind Sie nicht mehr wegzudenken. Um die Authentizität und Vertraulichkeit der ausgetauschten Informationen zu gewährleisten, müssen die unterschiedlichsten Anforderungen erfüllt werden. Im Zuge der anstehenden europäischen Datenschutzgrundverordnung werden diese für Unternehmen noch einmal umfangreicher werden. Der Schutz personenbezogener Daten wird auch im Bereich der E-Mail-Verschlüsselung zur Pflicht.

Das ist nicht verwunderlich, denn E-Mails stellen ein hohes Sicherheitsrisiko dar. Sie können auf dem Weg vom Absender zum Empfänger abgefangen werden und so können empfindliche Informationen in falsche Hände gelangen. Um dies zu vermeiden, sollten Unternehmen Wert auf eine umfassende E-Mail-Verschlüsselung legen.

Was man bei der Verschlüsselung von E-Mails beachten sollte:

Um E-Mail-Verschlüsselung in Unternehmen sinnvoll einzusetzen, ist eine entsprechende Awareness für Cybersicherheit bei allen Mitarbeitern, unabhängig ihrer Tätigkeiten notwendig. Auch wenn medienwirksame Sicherheitsvorfälle, wie z.B. WannaCry dieses Bewusstsein gestärkt haben, ziehen nur wenige Unternehmen wirkliche Konsequenzen daraus. Woran liegt das?

Das Hauptproblem einer sicheren E-Mail-Kommunikation stellt der Aufwand dar, den Administratoren und Benutzer zur Erfüllung der Anforderungen betreiben müssen. Hinzu kommen Unsicherheiten, ob alle Empfänger auch wirklich die Möglichkeit über einen sicheren Zugriff vorweisen können.

Eine gute Vorbereitung ist die halbe Miete
Als erstes sollte geklärt werden, welche Arten von E-Mails verschlüsselt werden sollten. Dabei gilt zu beachten, dass alles was als vertraulich eingestuft wird einer besonderen Sicherheit bedarf. Hier sollte nicht nur an die von Menschen verschickten Nachrichten, sondern auch an automatische Versendungen von Programmen und Systemen gedacht werden. Ebenfalls ist es an dieser Stelle notwendig sich Gedanken zu der fachgerechten Archivierung der E-Mails zu machen.

Die Qual der Wahl
Mit dem Konzept zur Umsetzung sollte abgesteckt werden, welche Art der E-Mail-Verschlüsselung verwendet wird. Zunächst ist dies ein technischer Aspekt, der abhängig von der Sensibilität der Daten betrachtet werden muss. Weiterhin muss definiert werden, welche Verschlüsselung sich nicht nur für die externe, sondern auch für die interne Kommunikation anbietet.

Technisch lassen sich zwei Verschlüsselungsvarianten unterscheiden:

  • Inhaltsverschlüsselung: Die gesendeten Informationen werden für Dritte unleserlich gemacht; mit Ausnahme der Metadaten, wie Absender, Empfänger und Betreff. Gängige Verfahren hierfür sind S/MIME oder OpenPGP. Wird ein Gateway zur Inhaltverschlüsselung eingesetzt, sollte man seinem Netzwerk vertrauen können, da die E-Mail im Haus selbst noch nicht verschlüsselt ist.
       
  • Transportverschlüsselung: Die Daten werden bei dieser Form der Verschlüsselung durch einen „gesicherten Tunnel“ geschickt – bezeichnet wird das Verfahren als Transport Layer Security (TLS) und definiert eine Standort-zu-Standort-Verschlüsselung. Der eigentliche Inhalt der Mitteilung wird dabei allerdings unverschlüsselt versandt. Sollten mehrere MailHops zwischen Sender und Empfänger liegen, befindet sich die E-Mail für kurze Zeit auf jedem Hop unverschlüsselt. Es handelt sich also nicht um eine Ende-zu-Ende Verschlüsselung.
    Besonders effektiv wäre der Einsatz beider Verschlüsselungsformen in Kombination miteinander. Allerdings müssen dafür Absender und Empfänger die gleiche Technik verwenden, was in den meisten Fällen einen hohen Mehraufwand bedeutet.

Der Teufel steckt im Detail
Um E-Mail-Verschlüsselung sinnvoll und umfassend einzuführen, dürfen folgende Punkte nicht außer Acht gelassen werden:

  • E-Mails mit großen Anhängen werden oft von E-Mail-Servern abgewiesen. Die ausgewählte Verschlüsselungslösung sollte das berücksichtigen.
     
  • Die Abwehrmechanismen von Antivirensoftware und Firewalls erkennen verschlüsselte E-Mails oftmals nicht. Daher sollte auch hier geprüft werden, ob die Lösungen miteinander kooperieren.
     
  • Nicht nur im privaten Umfeld haben mobile Geräte Einfluss auf den Alltag genommen, auch in Unternehmen wird der Einsatz von Smartphones und Tablets immer bedeutender. E-Mails werden nicht mehr ausschließlich von stationären Systemen aus versendet. Es sollte sichergestellt werden, dass die verwendete Verschlüsselungsmethode auch mit mobilen Geräten kompatibel ist.

S/MI ME und PGP Verschlüsselung

In der Praxis haben sich zwei Standards etabliert: S/MIME und PGP. Die beiden Verfahren unterscheiden sich grundlegend und sind nicht miteinander kompatibel.

S/MIME

S/MIME bietet eine Signaturfunktion, die über den Inhalt der E-Mail berechnet wird und daher vergleichbar mit einer eigenhändigen Unterschrift ist. Der Empfänger kann so sicherstellen, dass die E-Mail vom angegebenen Absender stammt und nicht manipuliert wurde. 

Für den Einsatz von S/MIME sind Zertifikate notwendige, die von einer offiziellen Zertifizierungsstelle ausgestellt werden. Dabei stehen vier Zertifizierungsklassen zur Auswahl. Vereinfacht lässt sich sagen: Je höher die Klasse, desto höher auch die Vertrauenswürdigkeit des Absenders. Die Verschlüsselung selbst ist jedoch bei allen vier Zertifizierungsklassen gleich hoch.

  • Klasse 1: Die Zertifizierungsstelle prüft nur, ob die E-Mail-Adresse existiert. Sie wird in das Zertifikat übernommen.
  • Klasse 2: Die Zertifizierungsstelle prüft neben der E-Mail-Adresse auch den Namen des Antragstellers sowie die Organisation oder Firma.
  • Klasse 3: Die Überprüfung durch die Zertifizierungsstelle ist intensiver als bei Klasse-2-Zertifikaten. Hier wird anhand des Post-Ident-Verfahrens auch der Handelsregisterauszug überprüft.
  • Klasse 4: Der Antragssteller muss persönlich mit Originaldokumenten bei der Zertifizierungsstelle erscheinen und wird anhand dieser Unterlagen verifiziert.

Funktionsweise von S/MIME

Um verschlüsselte E-Mails versenden zu können, müssen Empfänger und Absender ihre Zertifikate austauschen. Die Zertifikate enthalten den öffentlichen Schlüssel des Kommunikationspartners, mit dem dann die E-Mails an den Empfänger verschlüsselt werden. Mit seinem privaten Schlüssel kann dieser dann die E-Mail entschlüsseln und die Identität des Absenders überprüfen.

PGP

Die PGP Verschlüsselung basiert auf dem Public Key Verschlüsselungsverfahren, bei dem sowohl öffentliche als auch private Schlüssel zum Einsatz kommen. Anders als bei S/MIME wird das Schlüsselpaar von jedem Kommunikationspartner selbst erzeugt. PGP funktioniert ohne zentrale Zertifizierungsstelle, da es auf dem Web-of-Trust-Vertrauensmodell basiert und von den Benutzern selbst verwaltet wird. Jeder Nutzer muss den öffentlichen Schlüssel mit seinem privaten beglaubigen. So wird bestätigt, dass der öffentliche Schlüssel garantiert der Person gehört, die ihn veröffentlicht hat.
Neben der Verschlüsselung hat der öffentliche Schlüssel noch eine Signaturfunktion, mit der die Echtheit der E-Mail bestätigt wird.
Über den Inhalt der E-Mail erstellt der E-Mail-Client eine Prüfsumme, den sogenannten Hash-Wert. Mit seinem privaten Schlüssel zertifiziert der Absender diesen Hashwert. Auch der E-Mail-Client des Absenders erzeugt beim Empfang einen Hash und entschlüsselt den vom Sender erstellten Wert mit dessen öffentlichem Schlüssel. Anschließend vergleicht er beide Werte. Sind beide Hash-Werte gleich, ist sichergestellt, dass der Inhalt nicht manipuliert wurde und die Identität des Absenders verifiziert ist.

Funktionsweise von PGP

Bei der Installation von PGP wird ein Schlüsselpaar erzeugt, das aus einem öffentlichen und einem privaten Schlüssel besteht. Mit dem Public Key können E-Mails verschlüsselt, aber nicht entschlüsselt werden. Dieser Schlüssel kann für jeden verfügbar sein, entweder über eine Veröffentlichung auf der Webseite des Absenders, oder auch öffentlich abfragbaren Keyservern. Um sicher mit einem Kommunikationspartner in Kontakt zu treten, ist es wichtig, dass beide PGP eingerichtet und ihre öffentlichen Schlüssel ausgetauscht haben. Der sogenannte Private Key ist der zweite Schlüssel des Paares und mit ihm kann dann nur der Empfänger einer E-Mail die zugesandte verschlüsselte E-Mail auch entschlüsseln.

Die Vorteile von S/MIME und PGP

  • Nachträglich manipulierte E-Mails werden erkannt
  • Unberechtigte Personen können nicht mitlesen
  • Die Identität des Absenders kann überprüft werden

14. Mai 2018 Schlagzeile: Verschlüsselte E-Mails nicht sicher

Mitte Mai diesen Jahres berichteten die Medien darüber, dass die beiden verbreitetsten Verschlüsselungsverfahren S/MIME und PGP schwerwiegende Lücken aufweisen würden. So hieß es in einem Artikel der süddeutschen Zeitung: „Einem Forscherteam der FH Münster, der Ruhr-Universität Bochum und der KU Löwen in Belgien ist es in einem Test gelungen, einen der zentralen Bausteine für sichere Kommunikation im digitalen Zeitalter zu zertrümmern.“ (siehe: http://www.sueddeutsche.de/digital/exklusiv-verschluesselte-e-mails-sind-nicht-sicher-1.3978608 | Stand 28.06.2018)

Der Angriff des Forscherteams basiert auf dem Besitz des sogenannten Ciphertexts, dem verschlüsselten Betreff und Inhalt der E-Mail sowie der Bedingung, dass der verwendete E-Mail Client HTML erlaubt. Der Fehler liegt hierbei nicht am Verschlüsselungsalgorithmus selbst, sondern daran, in welcher Form E-Mail Clients mit dem Inhalt verschlüsselter E-Mails umgehen. So hängt das Kernproblem von aktiven bzw. HTML-Inhalten in E-Mails mit dem Nachladen dieser zusammen: Wird eine E-Mail mit einem Hypertext-Link, z.B. einem kleinen unsichtbaren Bild versendet, wird ein unsicherer E-Mail-Client das Bild beim Öffnen der E-Mail nachladen und der Angreifer erhält Zugriff auf den Text der E-Mail.

Für die andere Variante ist es notwendig, dass der Cyberkriminelle Teile des Inhalts der E-Mail kennt. Mit diesem Wissen kann er verschlüsselte E-Mails umschreiben und sobald die E-Mail entschlüsselt wird, erhält der Angreifer auch hier Zugriff auf den Inhalt.

Ein Krimineller, der diesen Angriff durchführen möchte, bräuchte im Vorfeld bereits eine verschlüsselte E-Mail seines Angriffsziels. Diese müsste auf dem Versandweg manipuliert oder im Nachhinein erneut modifiziert von ihm versendet werden.

Es ist wichtig festzuhalten, dass nicht die Verschlüsselungsverfahren an sich gebrochen wurden, sondern dass der Fehler in den E-Mail Clients liegt. Um sich gegen diese Schwachstelle abzusichern empfiehlt sich folgendes Vorgehen:

  • keine automatische Entschlüsselung über E-Mail-Clients verwenden
  • das Nachladen externer Inhalte deaktivieren
  • ein Mailprogramm verwenden, das HTML oder aktive Inhalte nicht darstellt

Wird eine Gateway-Lösung für die Verschlüsselung von E-Mails verwendet, entfällt ebenfalls die Möglichkeit, dass Cyberkriminelle über die zuvor beschriebenen Verfahren Zugriff auf verschlüsselte E-Mails erhalten.

Sichere E-Mail-Kommunikation mit „unbekannten“ Empfängern

SEPPmail verspricht sichere E-Mails mit geringem Aufwand zu ermöglichen, selbst wenn die kontaktierte Person keine eigene Verschlüsselungsmethode verwendet. Dazu wurde ein Verfahren entwickelt, das es erlaubt einem bisher „unbekannten“ Empfänger spontan eine verschlüsselte E-Mail zu senden. Zur Entschlüsselung und einer sicheren Antwort benötigt der Empfänger hierbei nur Standardkomponenten, wie einen beliebigen E-Mail Client, Browser sowie Zugang zum Internet. Die eingesetzte Technologie ist unter dem Namen GINA von SEPPmail patentiert worden.

Die GINA Technologie

Die Funktionsweise der GINA Technologie basiert darauf, dass zu verschlüsselnde E-Mails immer vollständig ausgeliefert werden. Auf diese Weise bleibt der Speicherplatz auf der Appliance nahezu immer identisch. Daraus ergeben sich im Wesentlichen zwei Vorteile: Administratoren müssen sich an dieser Stelle nicht mit der Datensicherung auseinandersetzen und der Betreiber der SEPPmail-Appliance ist nicht darauf angewiesen sich um die Archivierung nicht abgeholter E-Mails zu kümmern.

Auch für den Anwender ist der Einsatz von SEPPmail unkompliziert: Er wählt in seinem Standard-E-Mail-Programm die Option „Vertraulich“ aus und die E-Mail wird im Hintergrund verschlüsselt und versendet. Die E-Mail wird an den Empfänger übermittelt und in dessen Mailbox gespeichert. Zunächst ist der Inhalt nicht lesbar. Erst wenn der verschlüsselte Anhang geöffnet wird, wird dieser an den SEPPmail Secure E-Mail Gateway übertragen. Dies geschieht durch eine sichere SSL-Verbindung. Nach Eingabe des Passworts wird der Inhalt entschlüsselt angezeigt. Die Zwei-Faktor-Authentifizierung gewährleistet die Vertraulichkeit der E-Mail.

Das Besondere ist jedoch, dass nicht nur die Übermittlung und Anzeige der Nachricht mit dieser Lösung abgesichert ist: Der Empfänger ist nun in der Lage auf diesem Weg auch eine verschlüsselte E-Mail an den Absender zurückzuschicken. Das gesamte Vorgehen findet im Browser statt und erfordert keine weiteren, gesonderten Softwareprogramme oder Schlüssel zum Lesen und Antworten der E-Mails.

SEPPmail verwendet für Signatur und Verschlüsselung die E-Mail-Standards S/MIME und OpenPGP. Aber auch die Domainverschlüsselung ist in der Basislizenz der Appliance für das gesamte Unternehmen enthalten. Die hochfrequente und vertrauliche E-Mailkommunikation ist so durch die Standardtechnologien transparent und umfassend abgedeckt. Der niederfrequente und spontane E-Mail-Kontakt kann mit dem patentierten GINA-Verfahren problemlos eingefangen werden.

Mehr Sicherheit durch E-Mail-Verschlüsselung

Verschlüsselte Kommunikation verhindert das Mitlesen von Dritten und wahrt so den Aspekt der Vertraulichkeit. Gleichzeitig werden Daten und Informationen vor Kriminellen geschützt. Auf E-Mail Verschlüsselung zu verzichten war auch bisher keine gute Option, doch mit dem Inkrafttreten der DSGVO wird der Verzicht auf diesen Schutz immens teuer.

Eine optimale Lösung verschlüsselt unbemerkt im Hintergrund und lässt sich in die täglichen Arbeitsabläufe unkompliziert integrieren. Dabei bietet sie nicht nur Sicherheit in der Kommunikation mit bekannten und unbekannten externen Partnern, sondern sichert auch interne E-Mails sinnvoll ab. Gerne unterstützen wir Sie bei Auswahl und Installation der besten Lösung für Ihr Unternehmen.

Sie haben Fragen zum Thema E-Mail-Verschlüsselung? Wir helfen Ihnen gerne jederzeit weiter. Sprechen Sie uns einfach an!

Hinweis: E-Mails zu verschlüsseln, gehört zu den wichtigsten Maßnahmen der IT-Sicherheit. Diese Meinung vertritt Security-Experte Kim Nguyen. eGovernment Computing sprach mit dem Geschäftsführer der D-Trust GmbH > zum Interview


Über die Autorin:

Marie-Christin Flöhl

Marie-Christin Flöhl

Marie-Christin Flöhl unterstützt das Marketing Team der bitbone AG seit Mai 2016. Ihre Themenschwerpunkte umfassen redaktionelles Marketing, Content Marketing, PR und Social Media. Sie hat an der Julius-Maximilians-Universität in Würzburg Germanistik und Philosophie & Religion studiert.


Noch Fragen?

Wir helfen Ihnen gerne zu allen Fragen rund um dieses Thema weiter:

*
*
*

Kontaktieren Sie mich bitte

Sofern ich personenbezogene Daten angegeben habe, bin ich damit einverstanden, dass meine personenbezogenen Daten von der bitbone AG zum angegebenen Zweck gespeichert und genutzt werden, um mit mir per Telefon oder E-Mail in Kontakt zu treten.

← zurück