E-Mail verschlüsseln und signieren

• Infektiöse Attachments oder andere technische Manipulationen
• Betrügerische Nachrichten verleiten die Empfänger*innen zu Handlungen, die sie besser unterlassen hätten
• Abhören oder Verändern von Nachrichten während des Transportes
• Hack eines ganzen Postfaches: Informationen über Eigentümer*in und alle Korrespondent*innen geraten in falsche Hände

Wer einem eine Nachricht gesendet hat, ist oft ausschlaggebend dafür, ob man ein Attachment öffnet oder der Aufforderung nachkommt, etwas Bestimmtes zu tun. Dieses normale Sozialverhalten machen sich Angreifer*innen zunutze, indem sie sich beispielsweise als Helpdesk oder die Hausbank ausgeben. 

Der*die Absender*in ist bei einem E-Mail ebenso leicht zu fälschen wie bei einem Papierbrief. Das ist kein technischer Mangel, sondern Folge der globalen Vernetzung. Normalerweise ist das kein Problem: Nachrichten wie „Ich habe die Kinokarten abgeholt” oder auch „Die Prüfungsergebnisse zu Einführung in die Kryptographie III sind nun verfügbar” erfordern wohl keine übertriebene Identitätsüberprüfung. 

Wenn es wichtig ist, unterschreiben wir in der realen Welt ein Dokument, um seine Authentizität zu bestätigen. Die digitale Signatur macht bei E-Mails genau dasselbe und noch etwas mehr: Sie gewährleistet, dass die Nachricht nicht verändert wurde und von der Person stammt, die sie signiert hat. (Daher kann man übrigens auch nicht einfach eine digitale Unterschrift kopieren und unter ein anderes E-Mail setzen.)

Digitale Unterschriften können Fälschungen von Absender*in und Inhalt entlarven. In der Praxis geschieht das aber zumeist nicht, da zwei grundlegende Voraussetzungen selten gegeben sind:

• Die*der Absender*in muss die Nachricht signieren.
• Die*der Empfänger*in muss die Signatur kontrollieren.

Dafür mag es mehrere Ursachen geben, vorrangig wohl den geringen Bedarf einerseits und andererseits den notwendigen Lernaufwand. Die Nutzer*innenfreundlichkeit hängt von den verwendeten Verfahren und der Software ab, eine Einschulung ist aber jedenfalls empfehlenswert.

Wenn in der Nachricht selbst Sicherheitslogos oder dergleichen eingefügt sind, ist das zumindest wertlos, eher sogar ein Alarmzeichen: Beliebige Logos kann auch ein*e Betrüger*in einfügen.

Verfolgt man den Weg eines E-Mails, sind drei Brennpunkte zu erkennen, an denen Gefahr droht: 

• Der Transportweg
• Die Postfächer (Mailserver) von Absender*n und Empfänger*in
• Deren jeweilige PCs bzw. Smartphones 

Am Weg von Server zu Server wird das E-Mail in der Tat nur teilweise verschlüsselt transportiert. Das ist weniger ein technisches Gebrechen, als dem weltumspannenden Netz geschuldet: Wie sollten die Millionen von Mailserver-Betreibern wechselseitig ihre Identität nachprüfen, geheime Schlüssel vereinbaren und das alles auch noch aktuell halten?

Allerdings ist ein E-Mail normalerweise nur wenige Sekunden unterwegs und somit nur sehr kurze Zeit angreifbar. Danach liegt es aber oft jahrelang in den Gesendet- und Empfangen-Ordnern der jeweiligen Postfächer und kann attackiert werden. 

Der Stand der Technik ist daher ein kombinierter Ansatz: 

• Soweit es leicht möglich ist, bemüht sich die Infrastruktur um verschlüsselten Transport.
• Wirklich sensible Nachrichten werden bei der*dem Absender*n individuell verschlüsselt (Verfahren: S/MIME oder GPG) und sind damit sowohl während des Transports als auch bei der Aufbewahrung in den Postfächern sicher, bis sie bei dem*der Empfänger*in entschlüsselt werden.

Die Verschlüsselung einzelner Nachrichten (End To End, Ende-zu-Ende-Verschlüsselung) schützt hervorragend gegen jedes Abhören in der Infrastruktur samt Server. Natürliche Grenzen sind auch dieser Methode gesetzt:

• Absender*in und Empfänger*in müssen das Ver- und Entschlüsseln besorgen.
• Sie schützt nicht vor Schadsoftware oder Abhöreinrichtungen am Computer von Absender*in oder Empfänger*in, da dort die Nachricht ja unverschlüsselt vorliegt.

E-Mail-Verschlüsselung ist sehr effektiv und nach einer Eingewöhnungsphase auch im Alltag (fast) problemlos nutzbar. Die Einführung im großen Stil (beispielsweise an Organisationseinheiten) ist allerdings nicht ganz frei von Fallstricken. Holen Sie bei Bedarf fachkundigen Rat ein, beispielsweise bei der IT-Security.