Im Zuge der DSGVO ist das Thema eMail-Verschlüsselung aktueller denn je. Aus diesem Grunde wird in den nächsten Artikeln ausführlich auf die Einrichtung der eMail-Verschlüsselung mit OpenPGP unter Ubuntu, Windows und Android eingegangen.
Zunächst jedoch ein paar allgemeine Gedanken zur Erstellung, Übertragung und Verschlüsselung von eMails, da es bereits hier einige Unterschiede gibt. Sowie dem Grund, weshalb die Entscheidung für OpenPGP gefallen ist.
Möglichkeiten der Erstellung
Für die Erstellung von eMails gibt es generell zwei Möglichkeiten. Entweder werden eMails mittels eines lokal auf dem Gerät installiertem Mail-Programm wie Outlook (Windows/Mac), Thunderbird (Windows/Mac/Linux), Clawsmail (Windows/Linux), KMail (Linux) oder K-9 Mail (Android) erstellt und versendet oder über das Webinterface des eMail-Anbieters, beispielsweise bei GMX, 1&1, Web.de oder Yahoo.
Es sollte dabei berücksichtigt werden, das beide Möglichkeiten parallel genutzt werden können.
Möglichkeiten der Übertragung
Versender -> Mail-Server des Versenders / Mail-Server des Empfängers -> Empfänger
Bei Nutzung des Webinterfaces sollte dies immer über eine HTTPS-Verbindung, sprich verschlüsselt erfolgen. Bei Nutzung eines Mail-Programmes immer per TLS-Verschlüsselung.
Mail-Server des Versenders <-> Mail-Server des Empfängers
Im Idealfall unterstützen sowohl eMail-Anbieter des Versenders, wie auch der eMail-Anbieter des Empfängers die DANE-Technik und übertragen zwischen Ihren Mail-Servern die eMails per TLS-Verschlüsselung.
Selbst wenn die DANE-Technik nicht unterstützt wird, ist die TLS-Verschlüsselung für die eMail-Übertragung zwischen den eMail-Anbietern bereits eine Verbesserung der Sicherheit gegenüber der zuvor gängigen Praxis der unverschlüsselten Übertragung, welche nicht mehr eingesetzt werden sollte.
Möglichkeiten der Verschlüsselung
Für die Verschlüsselung der eMails gibt es aktuell zwei etablierte aber leider bisher zu wenig genutzte Verfahren S/MIME und OpenPGP.
Beiden gemein ist, das Sie digitale Signaturen unterstützen und die Inhalte der eMails verschlüsseln, jedoch nicht die Meta-Daten. Weshalb zusätzlich die verschlüsselte Übertragung der eMails für einen sinnvollen Schutz notwendig ist.
Ohne dieser Ende-zu-Ende Verschlüsselung würden die eMails ansonsten auf den zur Übertragung genutzten Mail-Servern im Klartext vorliegen.
Alternative Möglichkeiten
Es gibt alternative Möglichkeiten der sicheren eMail-Übertragung, deren Reichweite jedoch eingeschränkt und teilweise kostenpflichtig sind.
DE-Mail
Das Hauptziel ist es, Nachrichten und Dokumente über das Internet vertraulich, sicher und nachweisbar zu versenden und zu empfangen und damit ein elektronisches Pendant zur heutigen Briefpost zu etablieren.(Quelle: Wikipedia)
Nachteil ist, das sowohl Versender, wie auch Empfänger eine spezielle DE-Mail-eMail-Adresse benötigen. Sprich die Kommunikation nur innerhalb des DE-Mail Systems möglich ist!
Weiterhin ist DE-Mail nicht kostenfrei, sondern wir pro eMail abgerechnet, weshalb es gerade bei großen Unternehmen bzw. Unternehmen mit hohem eMail-Aufkommen zu einem Kostenfaktor werden kann.
eMail-Made-In-Germany
Im Gegensatz zur DE-Mail ist dieses System kostenfrei, hat aber den gleichen Nachteil wie DE-Mail, weil die gesicherte Kommunikation nur innerhalb des eMail-Made-In-Germany Systems sichergestellt werden kann. Die Teilnehmer sind seit Beginn der Initiative begrenzt und die Aufnahme neuer Teilnehmer scheint unmöglich. (Quelle: „E-Mail made in Germany“ verhindert systematisch Teilnahme anderer Provider)
Entscheidungsgründe für OpenPGP
Wir möchten hier eine Möglichkeit der verschlüsselten eMail-Kommunikation aufzeigen, bei welcher keine Beschränkung auf ein proprietäres System, einen eingeschränkten Nutzerkreis oder welche mit zusätzlichen Kosten verbunden ist.
Hier bieten sich die beiden Verfahren S/MIME und OpenPGP an, welche seit vielen Jahren ein offener Standard sind, jedoch deren Verbreitung sich bisher nicht flächendeckend durchsetzen konnte.
Auf Grund der im Mai 2018 veröffentlichen EFAIL Sicherheitslücken und dem Umstand das das S/MIME-Verfahren grundsätzlich keine Möglichkeiten bietet sich dagegen zu schützen, haben wir uns für das OpenPGP-Verfahren entschieden. Denn beim OpenPGP-Verfahren gibt es Möglichkeiten des Schutzes, welche teilweise durch die Programme selbst umgesetzt werden können bzw. umgesetzt sind und teilweise durch Sicherheitseinstellungen des Nutzers vorgenommen werden können.
