IT-Security: E-Mail im Unternehmensalltag? … aber sicher!
Immer wieder hört man von Datenschutzexperten: „E-Mails sind für den Versand von personenbezogenen Daten nicht ausreichend sicher.“ Und dann ist da noch der berühmte Ausspruch, dass E-Mails so unsicher seien wie Postkarten. Doch ist eine E-Mail überhaupt mit einer Postkarte vergleichbar?
Analysieren wir zunächst, welche Arten von Informationen in Unternehmen anfallen. Es gibt in der Praxis mindestens drei verschiedene Sicherheitsanforderungen: Informationen, die man bedenkenlos auf Postkarten schreiben würde, solche bei denen man lieber zum Brief greift und letztendlich auch solche, die so geheim sind, dass man sie nur mit einem persönlichen Einschreiben versenden möchte. Durch einen analogen Briefumschlag werden Information geschützt übertragen – er entspricht im Digitalen einer Verschlüsselung. Sowohl Absender als auch Empfänger entscheiden darüber, wie sicher die Kommunikation tatsächlich werden kann. Sendet man an den Briefkasten einer Firma, nimmt man in Kauf, dass vertrauenswürdige Dritte die Informationen mitlesen können. Sendet man ein persönliches Einschreiben, dann wird (wahrscheinlich) nur derjenige die Information lesen, für den sie bestimmt ist. Beim Thema Verschlüsselung funktioniert das Gleichnis zwischen E-Mail und Brief sehr gut.
Verschlüsselung allein reicht aber nicht, um Vertraulichkeit herzustellen. Vertraulich ist Kommunikation erst, wenn man sich sicher sein kann, dass die Information geschützt ist und gleichzeitig zum richtigen Empfänger gelangt. Letzteres nennt man Authentizität und diesbezüglich gibt es einen Unterschied zwischen analoger und digitaler Welt. In der analogen Post garantiert ein beauftragter Dienstleister, dass der Brief zum richtigen Empfänger gelangt. So einen Dienstleister gibt es in der digitalen Welt nicht. Hier sind Absender und Empfänger Maschinen, die über das Internet miteinander kommunizieren. Aber auch hier braucht es vertrauliche Verbindungen.
Die gute Nachricht ist, dass es diese gibt.
Wo ist also das Problem? Im Analogen: Ist der beauftragte Dienstleister nicht vertrauenswürdig, dann sind die Information unsicher – das ist jedem klar. Aber was passiert eigentlich, wenn Kriminelle gefälschte gelbe Postkästen aufstellen würden? Jeglicher Schutz von Informationen wäre nutzlos.
Die schlechte Nachricht:
Dieser gruselige Gedanke lässt sich leider im Digitalen noch viel leichter umsetzen als im Analogen. Deshalb ist es sehr wichtig, dass sich die digitalen Briefkästen, also die E-Mail-Server, korrekt ausweisen. Hierfür werden sog. TLS-Zertifikate verwendet. Im Internet ist TLS (Transport Layer Security) ein Quasi-Standard, wann immer zwei Systeme direkt miteinander kommunizieren. Soll bspw. ein Browser eine Internetseite anzeigen, so baut er zunächst eine Verbindung zu dem Server auf, auf welchem diese Seite gespeichert ist. Im nächsten Schritt wird das TLS-Zertifikat des Servers überprüft. Dieses ist im Prinzip ein Garantieschein für Authentizität.
Ist das Zertifikat gültig, d. h. sind u. a. Name, Ablaufdatum und Garantiegeber in Ordnung, so wird ihm vertraut. Anschließend wird zwischen Browser und Server eine gesicherte Verbindung aufgebaut, über welche die Internetseite übertragen wird. Anhand des bekannten grünen Schlosses in der Adresszeile des Browsers ist dieser Vorgang nachvollziehbar. Ist kein vertrauenswürdiges Zertifikat vorhanden, warnen alle Browser vor einer möglichen Gefahr und zeigen die Website zunächst nicht an.
Weshalb sprechen wir aber über Browser und nicht mehr über E-Mail-Server?
Die Antwort: E-Mail-Server prüfen TLS-Zertifikate der Gegenseite nicht auf Gültigkeit und vertrauen ihnen blind. Erschreckend, denn ca. 40 % dieser Zertifikate sind eben nicht gültig bzw. vertrauenswürdig. Da nützt es auch nichts, dass 99 % aller E-Mail-Server ein TLS-Zertifikat vorweisen können.
Vertraulich ist Kommunikation erst, wenn man sich sicher sein kann, dass die Information geschützt ist und gleichzeitig zum richtigen Empfänger gelangt. Letzteres nennt man Authentizität und diesbezüglich gibt es einen Unterschied zwischen analoger und digitaler Welt.
Was bedeutet das jetzt für die Korrespondenz von Unternehmen?
Zunächst gilt, dass öffentliche Informationen bedenkenlos per E-Mail gesendet werden können. Diese könnten ja auch mit Postkarten versendet werden. Schützenswerte Informationen (bspw. personenbezogene Daten) hingegen sollte man nur über eine vertrauliche Verbindung senden, so wie man im Analogen Briefe nutzen würde. Hierbei genügt es, wenn auf dem Transport niemand mitlesen kann und die Informationen sicher den Empfänger-Briefkasten erreichen. Dafür kann bspw. TLS mit vorheriger Authentizitätsprüfung verwendet werden. Streng geheime Daten, für welche man analog ein persönliches Einschreiben verwenden würde, sollten in der digitalen Welt stets mit einer sog. Ende-zu-Ende-Verschlüsselung mit vorheriger Identitätsprüfung versendet werden.
Für den ganz normalen Brief gibt es bzgl. Sicherheit bisher in der E-Mail-Welt kein Äquivalent – obwohl er fast 95 % der Kommunikation ausmacht – und das nur deshalb, weil es an Authentizität mangelt. Es bedarf einer Lösung, die automatisch prüft, ob die Verbindung zum E-Mail-Server der Gegenseite vertrauenswürdig ist oder nicht. In der E-Mail-Welt sind bisher nur persönliche Einschreiben möglich. Aber die sind genauso teuer und aufwändig wie im Analogen. Aktuelle Ende-zu-Ende-Verschlüsselungstechnologien sind oft zu kompliziert, wenn es um die Überprüfung der Identität der Kommunikationspartner geht. Wäre dies leichter, könnte E-Mail-Kommunikation sowohl sicherer, als auch einfacher sein als jeglicher Brief.
Fazit:
Viele Firmen schreiben ihre E-Mails zwar nicht wie eine Postkarte, werfen diese aber in zwielichtige, nicht überprüfte „Briefkästen“ – und zwar ohne, dass sie es wissen. Trotzdem können E-Mails nicht per se als unsicher gelten. Die richtigen Maßnahmen vorausgesetzt, sind sie sicherer und einfacher als ihre Analogien aus Papier.
Über das Unternehmen
Die Chemnitzer IT-Spezialisten bieten mit dem innovativen E-Mail-Gateway MXG, das automatisch TLS-Zertifikate von E-Mail-Servern prüft, eine solche Maßnahme. Ende-zu-Ende-Verschlüsselung mit automatischer Identitätsprüfung ist ebenfalls Bestandteil des Portfolios.
Unser Autor
Georg Nestmann ist Mitgründer und seit 2016 Geschäftsführer der comcrypto GmbH. Im Rahmen von Gründerstipendien wirkte er zuvor an der Entwicklung der innovativen kryptografischen Technologie von comcrypto mit und zeigte seine Expertise bei der Mitarbeit am RFC 7748 „Elliptic Curves for Security“. Die Grundlage für sein Wissen erwarb er im Diplomstudium der Technomathematik an der TU Chemnitz.
Aufmacherbild / Quelle / Lizenz
CC BY-ND 4.0 DE
Sie dürfen:
- Teilen — das Material in jedwedem Format oder Medium vervielfältigen und weiterverbreiten
- Der Lizenzgeber kann diese Freiheiten nicht widerrufen solange Sie sich an die Lizenzbedingungen halten.
- Bitte berücksichtigen Sie, dass die im Beitrag enthaltenen Bild- und Mediendateien zusätzliche Urheberrechte enthalten.
Unter den folgenden Bedingungen:
- Namensnennung — Sie müssen angemessene Urheber- und Rechteangaben machen, einen Link zur Lizenz beifügen und angeben, ob Änderungen vorgenommen wurden. Diese Angaben dürfen in jeder angemessenen Art und Weise gemacht werden, allerdings nicht so, dass der Eindruck entsteht, der Lizenzgeber unterstütze gerade Sie oder Ihre Nutzung besonders.
- Keine Bearbeitungen — Wenn Sie das Material remixen, verändern oder darauf anderweitig direkt aufbauen, dürfen Sie die bearbeitete Fassung des Materials nicht verbreiten.
- Keine weiteren Einschränkungen — Sie dürfen keine zusätzlichen Klauseln oder technische Verfahren einsetzen, die anderen rechtlich irgendetwas untersagen, was die Lizenz erlaubt.
