Sichere E-Mail-Übertragung

E-Mails sind eine ausgezeichnete Möglichkeit, Informationen schnell und einfach zu übertragen. Sie können jedoch beim Austausch sensitiver Daten erhebliche Risiken mit sich bringen. In der Standard-Konfiguration üblicher E-Mail-Programme sind die wichtigsten Risiken die folgenden:

Sensitive Daten könnten abgefangen und missbraucht werden. Beispielsweise könnten Daten in die falschen Hände gelangen, oder sie könnten sogar auf dem Weg zum Empfänger verändert werden. Beachten sie, dass die Daten normalerweise unverschlüsselt mehrere Server passieren, wo sie z. B. von einer Person mit Administratorrechten abgefangen werden könnten.
E-Mails mit gefälschter Absender-Identität können in verschiedener Weise benutzt werden. Es ist ziemlich einfach, E-Mails mit gefälschter Absenderadresse zu schicken, und ebenfalls einfach vorzustellen, wie dies missbraucht werden kann, um Schaden anzurichten.

Glücklicherweise gibt es jedoch Methoden, um diese Gefahren im Wesentlichen zu eliminieren. In der Sorge um die Sicherheit der Kundendaten ermuntert RP Photonics Consulting GmbH seine Kunden, einen abgesicherten E-Mail-Austausch einzurichten, und ist dabei behilflich.

Die Einrichtung eines abgesicherten E-Mail-Austauschs

Die oben erwähnten Risiken können in der folgenden Weise weitgehend eliminiert werden:

E-Mails können mit einem digitalen Zertifikat z. B. von Verisign signiert (quasi unterschrieben), welches von den meisten E-Mail-Programmen geprüft werden kann (ohne spezielle Vorkehrungen durch die Kunden). Wenn das E-Mail-Programm ein gültiges Zertifikat anzeigt, garantiert dies dem Empfänger folgendes. Erstens kommen die empfangenen E-Mails tatsächlich von der angegebenen Absender-Adresse. Zweitens ist der Inhalt dieser E-Mails auf dem Wege nicht verändert worden.
Mit Hilfe der gleichen Art von digitalem Zertifikat können Kunden mit RP Photonics E-Mails in verschlüsselter Form austauschen. Dies stellt sicher, dass keine unautorisierten Personen mitlesen können. (Details sind weiter unten gegeben.)

Leider kann die Benutzung digitaler Signaturen auch technische Probleme verursachen. Insbesondere verlangen manche E-Mail-Programme (z. B. Outlook Express), dass digital signierte E-Mails wiederum digital signiert werden, und erzeugen dann eine Fehlermeldung, falls hierfür kein Zertifikat installiert ist. Dies hat manche Kunden irritiert. Deshalb verwendet RP Photonics momentan keine digitalen Signaturen, ohne dass dies vereinbart wurde.

Wie Sie Ihr eigenes digitales Zertifikat bekommen

Für den Austausch verschlüsselter E-Mails und für das Senden signierter E-Mails benötigt der Kunde oder die Kundin ein eigenes digitales Zertifikat. Es wird empfohlen, dies bei einer der bekannten Zertifizierungsstellen zu besorgen, weil von diesen Stellen ausgestellte Zertifikate von den meisten Programmen akzeptiert werden, ohne dass erst ein Zertifikat der Zertifizierungsstelle selbst installiert werden muss. (Beispielsweise enthält das Betriebssystem Windows eine Liste mit anerkannten Zertifizierungsstellen.) Sie können ein eigenes Zertifikat (welches für ein Jahr gültig ist) beispielsweise für ca. 20 USD von VeriSign beziehen über die Website Digital IDs for Secure Email.

Wenn Sie Ihr Zertifikat erhalten haben, informieren Sie einfach RP Photonics Consulting GmbH per E-Mail darüber. Senden Sie bitte auch Ihr öffentliches Zertifikat (niemals das private!), oder geben Sie die benutzte Zertifizierungsstelle (z. B. VeriSign) an. Schließlich sollten Sie Ihr E-Mail-Programm so einstellen, dass es in Zukunft alle Ihre abgeschickten E-Mails mit Ihrem Zertifikat digital signieren wird.

Wie Sie das digitale Zertifikat von RP Photonics Consulting GmbH erhalten

Für den Austausch verschlüsselter E-Mails muss der Kunde ebenfalls das öffentliche Zertifikat von RP Photonics Consulting GmbH in seinem E-Mail-Programm installieren. Wenn dieses Programm S/MIME-Zertifikate handhaben kann, ist es der einfachste Weg, das S/MIME-Zertifikat von R. Paschotta (als "Binary PKCS#7") hier herunterzuladen. Alternativ können manche E-Mail-Programme (z. B. Netscape Communicator) VeriSigns "directory service" integrieren, womit es einfach wird, ein Zertifikat einer anderen Person zu laden und installieren. Ansonsten können Sie das Zertifikat wie folgt bekommen:

Besuchen Sie die Webseite Search For Digital IDs von VeriSign.
Geben Sie die E-Mail-Adresse "Paschotta@rp-photonics.com" ein, um das Zertifikat zu finden.
Klicken Sie beim gefundenen Zertifikat auf "Rüdiger Paschotta" und dann auf die Schaltfläche "Download".
Wählen Sie ein Format, welches Für Ihr E-Mail-Programm geeignet ist, und betätigen Sie die Schaltfläche "Download This Digital ID".
Das heruntergeladene Zertifikat muss dass in Ihrem E-Mail-Programm installiert werden; die Details hängen vom benutzten Programm ab.

Nach erfolgreicher Installation können Sie Ihr E-Mail-Programm so einrichten, dass es Ihre E-Mails an RP Photonics in verschlüsselter Form sendet. Da nur die RP Photonics Consulting GmbH den privaten Teil des Schlüssels besitzt, wird niemand anderes die geschickten Informationen entschlüsseln können.

Eine einfache Alternative

Sensitive Informationen lassen sich natürlich auch in der Form von E-Mail-Attachments austauschen, die mit einer anderen Software verschlüsselt wurden. Beispielsweise lässt sich dafür das Programm TrueCrypt einsetzen, das kostenlos verfügbar, einfach zu handhaben und ziemlich sicher ist. Der Schlüssel zum Ver- und Entschlüsseln kann dann z. B. am Telefon vereinbart werden.

Diese Methode ist vom Konzept her einfach, aber ihr Hauptnachteil ist, dass jede Nachricht bzw. jede Datei manuell mit der Verschlüsselungssoftware verarbeitet werden muss.

Verantwortlichkeiten

Selbstverständlich kann RP Photonics Consulting GmbH keine rechtliche Verantwortung übernehmen für Gefahren, die aus dem unsicheren (unverschlüsselten und nicht signierten) Austausch von E-Mails resultieren. Die Kunden werden jedoch ermuntert, eine abgesicherte E-Mail-Übertragung einzurichten, und erhalten dabei soweit wie möglich Unterstützung.
Die Kunden müssen selbst sicher stellen, dass sie die Arbeitsweise der sicheren E-Mail-Übertragung verstehen (z. B. durch Konsultieren der unten angegebenen Ressourcen), und müssen selbst entsprechende Maßnahmen ergreifen. Beispielsweise müssen sie Fehler vermeiden, die ihre Sicherheit untergraben würden (beispielsweise den privaten Schlüsseln Dritten zugänglich zu machen, oder einfach eine E-Mail an die falsche Adresse zu schicken).
RP Photonics Consulting GmbH hat natürlich keine Möglichkeit zu verhindern, dass z. B. jemand unsignierte E-Mails mit gefälschter Absenderadresse der RP Photonics Consulting GmbH (oder signierte E-Mails mit einer etwas abgeänderten Adresse) verschickt, beispielsweise mit der Absicht des Phishing oder um Computer-Viren und Ähnliches zu verbreiten. Keine technischen Maßnahmen können eine gewisse Wachsamkeit auf allen Seiten ersetzen.

Weitere Informationen

Es ist wichtig, dass Kunden die Arbeitsweise sicherer E-Mail-Übertragung verstehen. Weitere Informationen darüber sind z. B. über folgende Links erhältlich:

Digital ID – A Brief Overview von VeriSign