Sichere Internet-eMail

Moderne Kommunikation beschränkt sich schon seit langem nicht mehr auf die herkömmlichen Übertragungswege Telefon, Telefax, Telex und Briefverkehr. ein Großteil der Unternehmen und Kunden verlagern einen steigenden Anteil Ihres Kommunikationsvolumens auf Internet-eMail. Diesen Datenverkehr ebenso sicher abzuwickeln wie die "klassische" Kommunikation wird damit zu einer immer wichtigeren Aufgabe der innerbetrieblichen Datenverarbeitung.

Ausschlag gebende Faktoren für den eMail-Einsatz sind vor allem Geschwindigkeit, niedrige Übertragungskosten sowie die direkte verzögerungsfreie Verfügbarkeit an jedem Arbeitsplatz. Internet-eMail zu verwenden erhöht außerdem das Image eines Unternehmens, da eMail und Internet-Präsenz Zeichen für Modernität, Kundennähe und Flexibilität eines Unternehmens sind.

Die Gefahren

Den unbestrittenen Vorteilen der Kommunikation über das Internet stehen aber auch gravierende Nachteile gegenüber. Öffentliche Computernetze wie das Internet übertragen Informationen, indem sie diese entlang des Verbindungsweges von einem Computer zum nächsten bis an ihr Ziel weiterreichen. Auf jedem dieser Computer liegen die Informationen mindestens einmal kurz auf der Festplatte oder im Speicher. Mindestens ein zentrales Programm reicht sie weiter. An dieser Stelle kann man in die Netzwerk-Kommunikation eingreifen und Informationen abfangen. Dieser Eingriff muss nicht unbedingt durch Menschen passieren, sondern kann automatisch durch Filterprogramme erfolgen, die zum Beispiel auf die Kennungen von Kreditkartennummern oder auf bestimmte Schlüsselwörter reagieren. Dabei ist es natürlich möglich, an jeder Zwischenstationen die Nachricht aufzuhalten oder zu verändern. Da die meisten Nachrichten im Internet als Klartextdaten versendet werden, sind sie für jedermann lesbar und veränderbar, der Zugang zu den Übertragungs-Systemen hat. Im Vergleich mit einer Postkarte bietet die Internet-eMail daher weniger Schutz: Man kann unverschlüsselte eMails genauso ungeschützt wie Postkarten lesen, jedoch zusätzlich auch ihren Inhalt verfälschen, ohne dass dem Empfänger diese Manipulation auffällt.

Die Lösungen

Um diese Probleme zu umgehen, bieten sich digitale Verschlüsselungs-Verfahren an. Neben der Verschlüsselung selbst ist im Netzwerkumfeld aber auch die Integration der gewählten Verschlüsselungs-Software in ein tragfähiges, zentrales Sicherheits- und Verwaltungskonzept entscheidend für ihren Erfolg. Die grundlegenden Prinzipien der verschlüsselten Nachrichtenübertragung und die zwei geläufigsten (miteinander nicht kompatiblen) Verfahren — PGP und S/MIME — möchten wir Ihnen hier kurz vorstellen.

Das Funktionsprinzip

Die Verschlüsselungs-Software des Nutzers verwendet zur Codierung von Nachrichten zufallsgenerierte Zeichenfolgen, sogenannte Schlüssel. Im einfachsten Fall gibt es genau einen Schlüssel, der streng geheim gehalten werden muss. Damit der Empfänger eine verschlüsselte Nachricht lesen kann, benötigt er in diesem einfachsten Fall diesen Schlüssel. Natürlich ist dieser Schlüssel nach der Weitergabe nicht mehr geheim und auf Dauer nicht sicher. Heute kommt daher meist ein Zwei-Schlüssel-Verfahren zum Einsatz. Dabei werden zwei genau zueinander passende Schlüssel erzeugt. Ein privater Schlüssel („Private Key“) bleibt geheim und ein öffentlicher Schlüssel („Public Key“) wird weitergegeben. Eine Nachricht von A an einen Empfänger B wird dabei mit B’s öffentlichem Schlüssel codiert. Nur B kann diese Nachricht mit seinem privaten Schlüssel lesen. Verschlüsselt A die Nachricht zusätzlich mit seinem eigenen privaten Schlüssel, kann der Empfänger B durch Verwendung des bekannten öffentlichen Schlüssels von A feststellen, dass diese Nachricht tatsächlich nur von A stammen kann, denn sonst wäre sie mit dessen öffentlichem Schlüssel nicht verifizierbar gewesen. (Wir haben das Verfahren hier vereinfacht dargestellt — das Prinzip ist jedoch korrekt.)

Zertifikate

Um nun auch noch sicher zu stellen, dass ein öffentlicher Schlüssel tatsächlich zu einer bestimmten Person oder Organisation gehört, gibt es staatlich zugelassene Zertifizierungs-Stellen („Trust Center“). Diese „unterschreiben“ einen Schlüssel mit ihrem eigenen Schlüssel. Das Ergebnis ist ein so genanntes „Digitales Zertifikat“. Es ist vergleichbar mit einem elektronischen Ausweis.

PGP

PGP („Pretty Good Privacy“) wurde von Philip Zimmermann entwickelt und ist das derzeit am weitesten verbreitete Verschlüsselungs-Programm. PGP löst das Problem der Schlüsselübergabe durch ein sogenanntes Web of Trust. Das bedeutet, wenn Person A durch ihre Signatur die Vertrauenswürdigkeit des Schlüssels von Person B bestätigt und Person C der Person A traut, so traut Person C auch dem Schlüssel von Person B. Die Voraussetzung für die Verlässlichkeit dieses Systems, der sorgfältige Umgang mit Schlüsseln, ist nicht immer gegeben. Daher empfiehlt sich auch bei PGP der Einsatz von digitalen Zertifikaten. PGP lässt sich mit jedem eMail-Programm nutzen und stellt zur Zeit einen Quasistandard im Internet dar.

S/MIME

S/MIME („Secure Multipurpose Internet Message Extensions“) ist ein von der Firma RSA entwickeltes Verfahren und gilt als weiterer Standard. Netscape und Microsoft bieten in ihren Produkten bereits eine standardmäßige S/MIME-Unterstützung an — die Verwendung nimmt stetig zu.

Bedienung und Verwaltung Die Verschlüsselung und Signatur von Nachrichten nimmt der Nutzer meist ganz einfach per Mausklick vor. Er muss sich nicht in die zugrunde liegenden Verschlüsselungs-Techniken einarbeiten, sondern kann dank komfortabler Software mühelos verschlüsselte und signierte eMails verschicken. Einem Unternehmen stellt sich die zusätzliche Aufgabe, die öffentlichen Schlüssel der Kommunikationspartner zentral und sicher zu verwalten und verfügbar zu machen. Denn ein inkonsistenter Wildwuchs auf den einzelnen Arbeitplätzen würde die Benutzer letztendlich überfordern und zu Fehlern führen. Darüber hinaus sollte eine Lösung sicher stellen, dass die Kommunikation mit bestimmten Partnern auch tatsächlich immer geschützt abläuft. Im Idealfall kann man Lösungen für diese Anforderungen zentral als Gateway einrichten — sichere eMail lässt sich in einem Unternehmen damit ohne Änderung für die Anwender zur Verfügung stellen.

Wenn Sie mehr über Verschlüsselungsmöglichkeiten von eMails oder auch von Dateien und Ordnern auf dem Server wissen möchten, rufen Sie uns gerne an oder nutzen Sie unser Kontaktformular.