Encrypting and signing e-mail (in German)

• Infektiöse Attachments oder andere technische Manipulationen
• Betrügerische Nachrichten verleiten die EmpfängerInnen zu Handlungen, die sie besser unterlassen hätten
• Abhören oder Verändern von Nachrichten während des Transportes
• Hack eines ganzen Postfaches: unabschätzbar viele Informationen über EigentümerIn und alle KorrespondentInnen geraten in falsche Hände

Wer einem eine Nachricht gesendet hat, ist oft ausschlaggebend dafür, ob man ein Attachment öffnet oder der Aufforderung nachkommt, etwas Bestimmtes zu tun. Dieses normale Sozialverhalten machen sich AngreiferInnen zunutze, indem sie sich als beispielsweise als Helpdesk oder die Hausbank ausgeben. 

Der/die AbsenderIn ist bei einem E-Mail ebenso leicht zu fälschen wie bei einem Papierbrief. Das ist kein technischer Mangel, sondern Folge der globalen Vernetzung. Normalerweise ist das kein Problem: Nachrichten wie „Ich habe die Kinokarten abgeholt” oder auch „Die Prüfungsergebnisse zu Einführung in die Kryptographie III sind nun verfügbar” erfordern wohl keine übertriebene Identitätsüberprüfung. 

Wenn es wichtig ist, unterschreiben wir in der realen Welt ein Dokument, um seine Authentizität zu bestätigen. Die digitale Signatur macht bei E-Mails genau dasselbe und noch etwas mehr: Sie gewährleistet, dass die Nachricht nicht verändert wurde und von der Person stammt, die sie signiert hat. (Daher kann man übrigens auch nicht einfach eine digitale Unterschrift kopieren und unter eine andere E-Mail setzen.)

Digitale Unterschriften können Fälschungen von AbsenderIn und Inhalt entlarven. In der Praxis geschieht das aber zumeist nicht, da zwei grundlegende Voraussetzungen selten gegeben sind:

• Die/der AbsenderIn muss die Nachricht signieren.
• Die/der EmpfängerIn muss die Signatur kontrollieren.

Dafür mag es mehrere Ursachen geben, vorrangig wohl den geringen Bedarf einerseits und andererseits den notwendigen Lernaufwand. Die Benutzerfreundlichkeit hängt von den verwendeten Verfahren und der Software ab, eine Einschulung ist aber jedenfalls empfehlenswert.

Wenn in der Nachricht selbst irgendwelche Sicherheitslogos oder dergleichen eingefügt sind, ist das zumindest wertlos, eher sogar ein Alarmzeichen: Beliebige Logos kann schließlich jede/r BetrügerIn auch einfügen.

Verfolgt man den Weg eines E-Mails, sind drei Brennpunkte zu erkennen, an denen Gefahr droht: 

• der Transportweg
• die Postfächer (Mailserver) von AbsenderIn und EmpfängerIn 
• deren jeweilige PCs bzw. Smartphones 

Am Weg von Server zu Server wird das E-Mail in der Tat nur teilweise verschlüsselt transportiert. Das ist weniger ein technisches Gebrechen, als dem weltumspannenden Netz geschuldet: Wie sollten die Millionen von Mailserver-Betreibern wechselseitig ihre Identität nachprüfen, geheime Schlüssel vereinbaren und das alles auch noch aktuell halten?

Allerdings ist ein E-Mail normalerweise nur wenige Sekunden unterwegs und somit nur sehr kurze Zeit angreifbar. Danach liegt sie aber oft jahrelang in den Gesendet- und Empfangen-Ordnern der jeweiligen Postfächer und kann attackiert werden. 

Der Stand der Technik ist daher ein kombinierter Ansatz: 

• Soweit es leicht möglich ist, bemüht sich die Infrastruktur um verschlüsselten Transport.
• Wirklich sensible Nachrichten werden bei der/beim AbsenderIn individuell verschlüsselt (Verfahren: S/MIME oder GPG) und sind damit sowohl während des Transports als auch bei der Aufbewahrung in den Postfächern sicher, bis sie beim/bei der EmpfängerIn entschlüsselt werden.

Die Verschlüsselung einzelner Nachrichten (End To End, Ende-zu-Ende-Verschlüsselung) schützt hervorragend gegen jedes Abhören in der Infrastruktur samt Server. Natürliche Grenzen sind auch dieser Methode gesetzt:

• AbsenderIn und EmpfängerIn müssen das Ver- und Entschlüsseln besorgen.
• Sie schützt nicht vor Schadsoftware oder Abhöreinrichtungen am Computer von AbsenderIn oder EmpfängerIn, da dort die Nachricht ja unverschlüsselt vorliegt.

E-Mail-Verschlüsselung ist sehr effektiv und nach einer Eingewöhnungsphase auch im Alltag (fast) problemlos nutzbar. Die Einführung im großen Stil (beispielsweise an Organisationseinheiten) ist allerdings nicht ganz frei von Fallstricken. Holen Sie in diesem Fall fachkundigen Rat ein, beispielsweise bei der IT-Security.