Ein Tag ohne eine E-Mail?
Diese Zeiten sind längst vorbei. Sie haben den klassischen Brief als Medium der Datenübertragung abgelöst und können mit dem, mittlerweile durchaus als betagt zu bezeichnenden, Übertragungsprotokoll SMTP (=SimpleMailTransferProtokoll) einiges an Information transferieren. Bereits 1982 wurde der Standard als RFC 821 veröffentlicht und seither mehrfach um verschiedenste Technologien erweitert. Möglichkeiten wie die Übertragung von Bildern, PDF- oder Office-Dateien ebenso wie das große Thema Sicherheit stellen "nur“ Erweiterungen des Standards dar und wurden über die Jahre hinzugefügt.
Beim Schreiben einer normalen E-Mail ohne zusätzliche Sicherheits-Features verhält es sich ähnlich wie bei einer Postkarte: Jeder, der Zugang zum Nachrichtenfluss hat, kann die Nachricht ansehen. Das beginnt beim Postmitarbeiter, der den Briefkasten entleert, geht über den Beamten im Postamt, der die Karte abstempelt, und reicht bis zum Briefträger, der die Karte in das Postfach wirft - oder bis zum Nachbarn, der die Post dankenswerter Weise mitnimmt, weil ich gerade krank oder im Urlaub bin.
Auch wenn eine Postkarte elektronisch verschickt wird, ist im Normalfall recht wenig an Sicherheit vorhanden: Sobald im Übertragungsweg zwischen Sender und Empfänger eine winzige Lücke vorhanden ist, kann nicht mehr zu 100% sichergestellt werden, ob alles mit rechten Dingen zugeht.
Drei verschiedene Themen gilt es zu beachten:
Im Folgenden werde ich so einfach und bildlich wie möglich auf diese Themen eingehen.
Zurück zur Postkarte bzw. zum Brief: Die klassische Postkarte kann ich aufgrund der Handschrift und der persönlichen Unterschrift überprüfen. Aber hält diese Methode auch, was sie verspricht? Schließlich ist es schon so manchem Schüler in jungen Jahren gelungen, bei schlechten Noten oder Fehlstundenentschuldigungen erfolgreich eine Unterschrift zu fälschen (Hand aufs Herz). Gut, bei offiziellen Briefen, zum Beispiel vom Amt, ist dank Briefpapier und Stempel schon mehr an Sicherheit möglich als bei den Urlaubsgrüßen aus dem Bergdorf.
Eine digitale Amtssignatur verschafft aber sogar noch mehr Sicherheit. Auch hier spielt ein Amt eine Rolle, nämlich die sogenannte Zertifizierungsstelle. Sie ist kurz gesagt eine besonders akkreditierte Firma, die digitale Zertifikate im Standard X.509 ausstellt. So ein Zertifikat ist quasi ein digitaler Personalausweis. Durch komplexe mathematisch-kryptografische Algorithmen wird eine unveränderbare digitale Signatur auf ein digitales Dokument wie ein PDF oder eine E-Mail angebracht. Die analoge Entsprechung ist hierfür das altbekannte Siegel: Mit dem Siegelring wurde das Wachs auf den Verschluss des Umschlags aufgebracht. Jede auch noch so kleine Veränderung machte das Siegel ungültig – wie es heute bei der digitalen Signatur der Fall ist.
In Österreich stellt die Firma A-Trust die Technik für die Bürgerkarte und die Handysignatur bereit. Haben Sie eines dieser beiden Produkte registriert, können Sie z. B. eine PDF-Rechnung mit Ihrer digitalen Unterschrift versehen und an einen Kunden verschicken. Er kann dann sichergehen, dass die Datei wirklich von Ihnen kommt. Die Handhabe ist zwar etwas sperrig, funktioniert aber nach kurzer Einarbeitung auch für "Otto Normalbenutzer“.
Große E-Mail-Clients wie Outlook, Thunderbird, Apple Mail etc. kennen die renommierten Zertifizierungsstellen und können meist automatisch feststellen, ob die Nachricht mit der aufgebrachten Signatur gültig ist. Outlook beispielsweise zeigt dazu ein rotes Orden-Symbol bei der Nachricht an. Leider sind die meisten Webmail-Clients (Gmail, GMX etc.) aber nicht entsprechend ausgestattet, während Smartphone-Apps dagegen meist gut damit umgehen können.
Auf diese Weise lässt sich also erfolgreich feststellen, ob die empfangene E-Mail auch wirklich von dem Absender geschickt wurde, der im "Von“-Feld bezeichnet ist. Ob ich diesem jetzt vertraue, steht natürlich auf einem anderen Blatt, denn selbst der afrikanische Prinz, der mir ein Vermögen schenken will, kann eine solche Signatur besitzen. Auch Schad-Software kann verschlüsselt ankommen. Eine gewisse Vorsicht ist daher immer geboten – doch dank Signatur lässt sich zumindest mit Sicherheit sagen, ob die Überweisungsanforderung von meinem Chef stammt oder nicht.
Auch Rechnungen kommen mittlerweile größtenteils per E-Mail. IBANs sind zwar stabil, doch bei einem Bankwechsel ändert sich natürlich die Kontonummer. Das schafft neue Einfallstore: Seit Jahren kommt die Rechnung der Partnerfirma und wird wie immer nach der obligatorischen Kontrolle verbucht und überwiesen. Am Ende der Seite steht ein Vermerk, dass die Bank gewechselt wurde und die Überweisung bitte auf das neue Konto gebucht werden soll. Was aber, wenn sich jemand in den E-Mail-Fluss eingeschaltet und die Rechnung verändert hat? Der normale Versand bzw. Empfang kann nicht unterscheiden, ob der böse Hacker Zugriff hatte oder nicht.
Abhilfe schafft auch hier die digitale Unterschrift, denn jegliche Veränderung der E-Mail macht die Nachricht unwiederbringlich ungültig. Da kann der Superhacker gern mal versuchen, sein Konto aufzubessern. Er wird auf Granit beißen.
Kommen wir nun mit dem dritten Thema, der Vertraulichkeit, wieder zurück zur Postkarte. Sie ist im Grunde nur minimal geschützt gegen fremde Einsicht. Zwar kann man sie in einen Umschlag stecken, um den Text vor unbefugten Augen zu schützen, doch auch er ist nur ein kleiner zusätzlicher Schutz. Ein Geheimnis, sei es auch noch so klein, ist nur dann eines, wenn es niemand kennt. Dass das beste Versteck meist direkt vor den eigenen Augen liegt, wird dabei häufig übersehen.
Nicht so bei Julius Cäsar. Schon er hat ein Verfahren benutzt, um die Nachrichten an seine Getreuen vor fremden Augen zu schützen und mit scheinbar ungeschützten Nachrichten falsche Informationen zu verbreiten. Es wurden einfach einzelne Buchstaben und Zahlen durch diejenigen ersetzt, die im Alphabet drei Stellen weiter hinten zu finden waren (siehe Wikipedia). Eine einfache Lösung, die für Uneingeweihte aus sinnvollem Text ein unlesbares Kauderwelsch machte.
Die Mechanismen wurden über die Jahrhunderte zwar immer ausgefeilter, der Zweck blieb aber immer derselbe: schützen, was schützenswert ist. Haben Sie schon mal von der DSGVO gehört? Ein Teil davon beschäftigt sich damit, dass personenbezogene Daten so geschützt sein müssen, dass kein Unbefugter sie lesen kann. Deshalb erhalte ich meinen Befund vom Arzt wohl auch nicht per E-Mail, weil nicht sichergestellt werden kann, dass niemand Einblick hat, der dazu nicht befugt ist. Wenn die entsprechende Technologie verfügbar wäre, könnte mein Arzt mir meinen Befund sicher zusenden.
Die gute Nachricht: Die Technik ist verfügbar!
Die schlechte Nachricht: Sie wird noch nicht flächendeckend eingesetzt!
Wie oben schon erwähnt, ist die Handhabung bei der Handysignatur leider etwas sperrig.
Genau hier liegt die Krux: Bei solchen weltumspannenden und stark nachgefragten Services kümmert sich eine kleine Armada an Designern und Technikern darum, dass alles einfach und funktionsbereit ist. Das ist auch bei E-Mail-Systemen so, mit der Sicherheit kommt aber ein großer Aspekt dazu, der erkannt, verstanden und dann entsprechend implementiert werden muss. Da in kaum einem System die notwendigen Technologien direkt integriert sind, muss sich jemand darum kümmern, dass zusätzliche Mechanismen richtig implementiert werden und der Betrieb reibungslos funktioniert. Alle Augen auf die IT-Abteilung – und die ist damit erstmal gut beschäftigt.
Ist die Aufgabe der Admins dann erfüllt, sollten Benutzer die Sicherheits-Features bestenfalls ohne Zusatzaufwand oder extra Schulungen einfach nutzen können. Ein Beispiel: Als bei WhatsApp die End-to-End-Verschlüsselung eingeführt wurde, war für User nichts zu tun! Sicherheit soll ja auch einfach sein. Deswegen sollte nach der Einführung des gesicherten E-Mail-Verkehrs in der Infomail an die Kollegenschaft nur stehen: "Wir haben heute flächendeckend auf sicheren E-Mail-Verkehr umgestellt, Sie brauchen sich um nichts zu kümmern, das System erledigt alles für Sie! Ihre Korrespondenz wird ab sofort automatisch signiert und gesichert. Wenn die versendeten Daten vertraulich sind, aktivieren Sie einfach den Button "Verschlüsseln‘“. Das hört sich gut und einfach an – und ist es mit einem starken Team im Rücken auch.
Wir von Antares-NetlogiX beraten Sie hierzu gerne und übernehmen auf Wunsch die Implementierung oder sogar die komplette Betreuung der notwendigen Infrastruktur.
Andreas Auer begann im Jahr 2000 nach der EDVO-HTL in St. Pölten als EDV-Techniker bei einem mittelständischen Produktionsunternehmen im Mostviertel. Hier war er zuständig für Windows-Server und -Clients sowie für das Netzwerk an den Produktions- und Verkaufsstandorten. Des Weiteren unterlag ihm die Weiterentwicklung des Steuerungssystems der Produktionsanlage.
Im Jahr 2003 wechselte er zum Amt der NÖ Landesregierung nach St. Pölten und wurde Mitarbeiter der damals neu gegründeten Betriebsführung. Das zu Beginn 12-köpfige Team betreut die zentrale Verwaltungs-IT-Landschaft des Landes NÖ mit dem Landhaus in St. Pölten, allen Bezirkshauptmannschaften und deren Außenstellen mit weit über 15.000 Benutzern.
Nach fast 16 Jahren im öffentlichen Dienst verließ er die Landeshauptstadt und ist seit 2019 Security-Consultant bei Antares Netlogix. Hier ist er der Spezialist für E-Mail-Sicherheit, Multi-Faktor-Authentifizierung und Virtualisierung. Zudem ist er auch an Firewall- und PKI-Projekten beteiligt.
E-Mail Security: Bitte 3 Schritte weiterdenken!
In diesem Artikel spricht Andreas Auer gemeinsam mit Roman Stadlmair von Seppmail über das Thema E-Mail Security.
