Mailsicherheit

E-Mails werden im Klartext versendet. Der Inhalt kann von anderen Personen eingesehen und verändert werden. Ausserdem gibt es keine Möglichkeit die Echtheit des Absender zu prüfen.

Für diese Probleme gibt es mehrere Lösungen.

• E-Mails können signiert werden um die Echtheit des Absenders und die Unversehrtheit des Inhalts zu garantieren.
• Die E-Mailübertragung kann verschlüsselt werden, damit Mails nicht im Internet abgefangen und eingesehen werden können.
• E-Mails können verschlüsselt werden, damit sie nicht von Dritten eingesehen werden können.

Signatur von E-Mails

E-Mails lassen sich mit den Verfahren S/Mime und PGP signieren. Mittels eines elektronischen Schlüssels bekommen die Mails dabei eine elektronische Signatur, die der jeweilige Empfänger überprüfen kann.

Die Verfahren unterscheiden sich darin, inwiefern man den Signaturen vertrauen kann. Bei S/Mime gibt es zentrale Stellen (Bundesregierung, Post, Datev,…), die Signaturschlüssel nach Feststellung der Identität herausgeben. Solchen Schlüsseln kann sofort vertraut werden, auch wenn man den Absender persönlich nicht kennt, da die Identität zweifelsfrei geprüft sein sollte. Solche Schlüssel kosten allerdings eine jährliche Gebühr. Bei PGP kann sich jeder selber einen Schlüssel erstellen. Das Vertrauen wird durch gegenseitige Kontrolle hergestellt. Jeder kann dem Schlüssel eines anderen sein Vertrauen aussprechen. Je mehr Vetrauen einem Schlüssel ausgesprochen wurde, desto sicherer ist es, dass hinter dem Schlüssel wirklich die richtige Person steckt.

Verschlüsselung der Übertragung

Der erste Schritt zu mehr Sicherheit im E-Mailverkehr ist die Verschlüsselung der Übertragung. Wenn der Absender- und Empfängerserver das unterstützen, werden E-Mails heutzutage schon geschützt durch das Internet übertragen, ohne dass sich die Anwender darum kümmern müssen. Unsere Mailserver versuchen immer verschlüsselte Verbindungen herzustellen.

Verschlüsselung von E-Mails

Die Verfahren S/Mime und PGP können neben der Signatur auch zur Verschlüsselung eingesetzt werden. Solche verschlüsselten E-Mails können nur von den beteiligten Kommunikationspartnern gelesen werden.

Einschränkend sollte erwähnt werden, dass bei dem Verfahren S/Mime zumindest die Möglichkeit gegeben ist, dass die schlüsselausstellende Instanz (Bundesregierung, Post, Datev…) einen Generalschlüssel in die ausgestellten Schlüssel einbauen könnte. S/Mime ist zur Signatur uneingeschränkt zu empfehlen, bei Verschlüsselung mit S/Mime kann man leider nicht ganz sicher sein.