„End-to-End-Safe“: Extraschloss für hoch sensible Nachrichten

Autor – Dirk Backofen, Senior Vice President Portfoliomanagement, Presales und Marketing, Telekom Deutschland

Sicherheit wird beim E-Mail-Versand nicht groß geschrieben. So verschickt laut einer Befragung des ITK-Branchenverbands Bitkom nur jeder siebte Arbeitnehmer verschlüsselte Nachrichten. Außerdem ist nur ein Drittel der Arbeitsplätze mit der dazu notwendigen Technik ausgestattet. Doch ist es riskant, besonders sensible Kunden- und Projektdaten ungeschützt per E-Mail zu versenden. Denn theoretisch können die Nachrichten im Netz wie eine Postkarte mitgelesen werden.

Unternehmen sind sich der Gefahr bewusst. Eine Studie des Bundesverbandes Digitale Wirtschaft hat ergeben, dass 81 Prozent der Firmen glauben, dass die Sicherheit von E-Mails stark verbesserungswürdig ist. Nichtsdestotrotz: Jeden Tag werden weltweit 89 Millionen geschäftliche E-Mails verschickt. Alternativ können Unternehmen sensible Nachrichten und Unterlagen mit der Post verschicken, insbesondere wenn eine rechtliche Verbindlichkeit der Nachricht notwendig ist. Doch der Versand von Papierdokumenten ist – je nach Menge – für Firmen sehr kostspielig.

Sichere Alternative zur E-Mail: De-Mail

De-Mail kombiniert die Vorteile des Postversands mit denen der E-Mail: Sie ist so sicher wie ein Brief und gleichzeitig schnell und einfach. Für die Sicherheit sorgen verschlüsselte Transportkanäle und eindeutig identifizierte Kommunikationspartner. Ein weiterer Vorteil, insbesondere wenn es um Dokumente mit Fristen geht: Versand und Empfang sowie Inhalt einer De-Mail sind nachweisbar. Dazu kann der Sender beim Provider die entsprechenden Informationen per Mausklick anfordern.

Stand heute haben sich rund eine Million Privatkunden eine De-Mail-Adresse gesichert. Das Bundesinnenministerium geht davon aus, dass bis Ende 2015 bis zu 200 Behörden und Einrichtungen des Bundes über den Dienst kommunizieren werden. Hinzu kommen Unternehmen, Städte und Kommunen. So haben laut Aussagen der De-Mail-Anbieter Deutsche Telekom, Francotyp-Postalia sowie United Internet die Hälfte der deutschen Großunternehmen, Zehntausende mittelständische Firmen und mehrere Tausend Städte und Gemeinden bereits Verträge unterzeichnet.

Was sind besonders schützenswerte Daten?

Bei De-Mails, deren Inhalte nicht zusätzlich verschlüsselt sind, greift bereits das offizielle Sicherheitsniveau „hoch“. Doch es gab immer wieder Diskussionen bei der Übermittlung von Daten, für die ein sehr hohes Schutzniveau erforderlich ist. Deshalb lassen sich Nachrichten dieser Art inklusive der angehängten Dokumente zusätzlich mit einer Ende-zu-Ende (E2E)-Verschlüsselung versehen. Auf diese Weise wird das Sicherheitsniveau zusätzlich erhöht.

Doch was versteht man unter besonders schutzbedürftigen Daten? Dazu gehören etwa personenbezogene Informationen, die Rückschlüsse auf den Gesundheitszustand einzelner Betroffener zulassen. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) schreibt für die Übertragung solcher Daten eine durchgängige Verschlüsselung vor. Bislang wurden solche Informationen deshalb vorzugsweise per Brief versendet.

Neues Verschlüsselungsverfahren: Pretty Good Privacy

Bei einer E2E-Verschlüsselung wird, vereinfacht gesagt, die Nachricht vom Sender verschlüsselt beziehungsweise codiert und erst durch den Empfänger wieder „aufgeschlossen“ und damit lesbar gemacht. So ist sie auf dem Weg geschützt. Auch De-Mails konnten E2E verschlüsselt werden, das Verfahren war aber bislang umständlich, insbesondere für Privatkunden. Daher wurde es dementsprechend wenig genutzt.

Das hat sich jetzt geändert, die De-Mail-Anbieter haben den Prozess stark vereinfacht. So wird die E2E-Verschlüsselung auch für Privatpersonen und kleinere Firmen interessant. Das neue Verfahren basiert auf der Verschlüsselungstechnik PGP (Pretty Good Privacy). Um sie zu nutzen, muss ein Zusatzprogramm in Form einer Erweiterung für die Browser Firefox und Chrome installiert werden. Schon nach wenigen Einstellungen kann man damit arbeiten.

Lokale oder zentrale Verschlüsselung für Unternehmen

Auch größere Firmen haben die Möglichkeit, PGP zu nutzen. Die Anbindung ist allerdings etwas anders, da in den Unternehmen in der Regel bereits eine IT-Infrastruktur im Einsatz ist. Wenn Unternehmen De-Mails versenden und empfangen, tun sie das in der Regel nicht über den Browser, sondern mittels E-Mail-Server. Hierfür wird die De-Mail-Plattform über ein Gateway mit der Firmen-IT verbunden. So laufen die sicheren Nachrichten neben den normalen E-Mails im Postfach jedes Mitarbeiters ein.

Um De-Mails zusätzlich E2E zu verschlüsseln, haben Firmen mehrere Möglichkeiten. Am einfachsten ist es, ein „Security-Gateway“ einzusetzen. Es übernimmt zentral die Ver- und Entschlüsselung der Nachrichten, so dass keine weiteren Eingriffe in die Infrastruktur erforderlich sind. Unternehmen, die bereits ein solches Gateway einsetzen, sollten vorab prüfen, ob es auch für das PGP-Verfahren geeignet ist. Investitionen in weitere IT oder Software sind dann nicht notwendig. Zweite Variante ist die lokale Ver- und Entschlüsselung der De-Mails am Arbeitsplatz. Dazu muss jeder Rechner mit einem sogenannten AddIn für den E-Mail-Client ausgestattet werden. Da jeder Mitarbeiter einzeln versorgt werden muss, ist diese Option bei der Einführung und Nutzung aufwändiger. Die jeweiligen Anforderungen wie Mitarbeiterzahl oder Häufigkeit der De-Mail-Kommunikation entscheiden darüber, welche Methode sinnvoller ist.

Wichtig und unabdingbar ist: Sowohl der Empfänger einer De-Mail als auch der Sender muss PGP nutzen – entweder die Webbrowsererweiterung, ein zentrales Security-Gateway oder eine dezentrale Erweiterung der E-Mail-Clients.

Kommunikation über öffentlichen und privaten Schlüssel

PGP ist ein asymmetrisches Verschlüsselungsverfahren. Für die Kommunikation werden immer zwei zusammengehörende Schlüssel benötigt. Mit dem „öffentlichen“ Schlüssel verschlüsseln Mitarbeiter ihre Nachrichten. Sie dürfen ihn frei weitergeben, denn nur dann können E2E-verschlüsselte De-Mails an den Besitzer geschickt werden. Das heißt auch, dass niemand unfreiwillig eine PGP-verschlüsselte Nachricht erhalten kann, solange er keinen öffentlichen Schlüssel an den Absender weitergegeben hat. Zweiter Schlüssel ist der „private“. Damit wird die De-Mail wieder entschlüsselt. Er ist deshalb auch nur dem Eigentümer bekannt. Nachteil: Verliert der Besitzer seinen geheimen Schlüssel, kann er keine E2E-verschlüsselten Nachrichten mehr lesen.

Um PGP zu nutzen, muss zunächst das geforderte Schlüsselpaar, also der private und der öffentliche Schlüssel, generiert werden. Privatpersonen und kleine Firmen, die die Browsererweiterung installiert haben, erzeugen ihr Schlüsselpaar per Mausklick. Es wird dann in der Browsererweiterung lokal gespeichert. Im Anschluss können sie Personen für die verschlüsselte Kommunikation einladen. Dabei wird der öffentliche Schlüssel an die eingeladene Person oder Institution gesendet. Wichtig ist dabei der sichere Schlüsselaustausch zwischen Empfänger und Sender, zum Beispiel per De-Mail. Der Sender kann dann sicher sein, dass er den Schlüssel an die richtige Person schickt.

Ein „Telefonbuch“ für De-Mailer

Künftig soll der Austausch der Schlüssel aber auch automatisch erfolgen – und zwar über den öffentlichen Verzeichnisdienst von De-Mail (ÖVD). Wichtiger Vorteil: Gerade größere Firmen oder auch Städte und Kommunen, die viele De-Mails versenden, müssen die öffentlichen Schlüssel nicht länger manuell verwalten, sondern können ihn im ÖVD hochladen. Das Verzeichnis ist vergleichbar mit einem Telefonbuch, denn hier kann jeder seine De-Mail-Adresse plus weitere Kontaktdaten eintragen. Verwaltet wird es durch die De-Mail-Diensteanbieter.

Das ÖVD ist fester Teil der vom Bundesamt für Sicherheit in der Informationstechnik (BSI)-akkreditierten De-Mail Infrastruktur. In dem Verzeichnis können Firmen, Privatpersonen und Verwaltungen anbieterübergreifend nach Teilnehmern und öffentlichen Schlüsseln suchen. Damit steht künftig eine standardisierte Infrastruktur für den Schlüsselaustausch bereit. Dies bedeutet: Der Schlüssel passt sicher zum Empfänger und eine Schlüsselverteilung oder Aktualisierung ist binnen Sekunden möglich – ein Meilenstein gegenüber der heutigen E-Mail-Kommunikation mit PGP.

www.telekom.de

Dirk Backofen verantwortet bei der Telekom Deutschland GmbH als Senior Vice President Portfoliomanagement, Presales und Marketing eine Vielzahl von Produkt- und Vertriebsthemen für Geschäftskunden. Er steuert in dieser Funktion alle Aktivitäten rund um das Portfolio-Management für Festnetz-, Mobilfunk- und IT/Cloud-Produkte für Geschäftskunden.