Um E-Mails zu verschlüsseln und somit vor unerwünschtem Zugriff zu schützen, können Sie auf die Technologie S/MIME zurückgreifen. S/MIME basiert auf asymmetrischer Verschlüsselung, um E-Mails vor unerwünschtem Zugriff zu schützen. Unverschlüsselte E-Mails sind wie Postkarten und können abgefangen und mitgelesen werden. Mit einem S/MIME Zertifikat ist es neben der Verschlüsselung von E-Mails möglich, E-Mails digital zu siognieren, um den legitimen Absender einer Nachricht als solchen zu verifizieren. Das macht S/MIME zu einer effektiven Waffe gegen verschiedene Arten von Phishing-Angriffen.
Der praktische Einsatz von S/MIME Zertifikaten ist einfacher als Sie denken, doch tauchen meist noch eine Reihe von Fragen beim Anwender auf.
Unser E-Mail Server ist bereits verschlüsselt. Reicht das nicht?
Die Kommunikation des E-Mail-Server mit digitalen Zertifikaten zu verschlüsseln ist ein erster Schritt. Dadurch wird verhindert, dass Außenstehende sich zwischen E-Mail und Mail-Server schalten und dort sensible Daten abfangen. Darin liegt auch gleichzeitig die Begrenzung. Die digitalen Zertifikate, die die Kommunikation des Servers verschlüsseln, schützen nämlich nicht die E-Mails selbst. Im Prinzip sind E-Mails auf dem Weg zu und von einem Server geschützt. Das hindert Hacker nicht daran in ein E-Mail-System zu gelangen und dort die Nachrichten zu öffnen. Oder auf Nachrichten zuzugreifen, wenn sie andere Server durchlaufen. Während die E-Mails zum betreffenden Server übertragen werden sind sie gut geschützt. Aber ruhende E-Mails oder andere Punkte der Übertragung liegen weiterhin offen.
Das konnten wir bei einem Angriff in jüngster Zeit beobachten. Mitten in den US-Wahlen 2016 wurden fast 20.000 E-Mails des Democratic National Committee gestohlen. Der Hacker war in den unverschlüsselten Posteingang des DNC eingedrungen. Die E-Mails, die die vermeintliche Präferenz des DNC für Senator Bernie Sanders enthüllten, wurden anschließend bei WikiLeaks veröffentlicht. Einige Experten werteten den Angriff als den Punkt, an dem der eigentliche Niedergang von Hillary Clinton begann, der sie schließlich den Wahlsieg kostete. Wären die einzelnen E-Mails – etwa mit S/MIME – verschlüsselt worden, wäre der Inhalt unzugänglich gewesen.
Klingt plausibel. Aber wie genau verschlüsselt S/MIME die E-Mails?
S/MIME basiert auf asymmetrischer Verschlüsselung und verwendet ein Paar mathematisch verknüpfter Schlüssel – einen öffentlichen Schlüssel und einen privaten Schlüssel. Es ist rechnerisch nicht machbar, den privaten Schlüssel zu finden, wenn man von einem öffentlichen Schlüssel ausgeht. E-Mails werden mit dem öffentlichen Schlüssel des Empfängers verschlüsselt. Die E-Mail kann nur mit dem entsprechenden privaten Schlüssel entschlüsselt werden, der im alleinigen Besitz des Empfängers sein sollte. Wenn der private Schlüssel nicht kompromittiert wird, kann man sicher sein, dass nur der legitime Empfänger auf sensible Daten zugreifen kann.
Wer noch daran zweifelt, dass E-Mail-Verschlüsselung eine sinnvolle Sache ist, der lässt sich vielleicht von einem prominenten Befürworter überzeugen. Der Whistleblower Edward Snowden ist einer ihrer Verfechter. Neben der Verschlüsselung bietet S/MIME zusätzlich die Möglichkeit E-Mails zu signieren.
E-Mails signieren? Aber wie?
Mit S/MIME kann man zusätzlich E-Mails signieren, um seine Identität als legitimes Unternehmen nachzuweisen. Jedes Mal, wenn eine E-Mail erstellt und signiert wird, fügt der jeweilige private Schlüssel diese einzigartige digitale Signatur zur Nachricht hinzu. Wenn der Empfänger diese E-Mail öffnet, wird der jeweilige öffentliche Schlüssel zum Verifizieren der Signatur verwendet. Das sichert dem Empfänger zu, dass die E-Mails tatsächlich von genau diesem legitimen Sender kommen. Das Signieren von E-Mails authentifiziert die Identität und das in einer Zeit in der Phishing-Angriffe bereits extrem raffiniert geworden sind und es immer schwieriger wird gefälschte E-Mails als solche zu erkennen.
Das Signieren von E-Mails ist nicht nur für externe Transaktionen mit Kunden hilfreich. Es ist durchaus empfehlenswert E-Mails zwischen den Mitarbeitern eines Unternehmens zu signieren. Und das ist kein Zeichen von Misstrauen der Geschäftsführung gegenüber dem eigenen Personal. Vielmehr ist es eine Möglichkeit, sich vor aggressiven Phishing-Techniken zu schützen, die beispielsweise E-Mails von Kollegen und Kolleginnen imitieren. Stellen Sie sich vor, Sie erhalten eine E-Mail von einem Weisungsbefugten, der Sie erpresst, vertrauliche Informationen zu veröffentlichen. Natürlich wären Sie schockiert. Bis Sie die E-Mail erneut prüfen und feststellen, dass sie nicht ordnungsgemäß signiert wurde. Und es sich offensichtlich um den Versuch eines Hackers handelt, Zugriff auf Ihr Konto zu bekommen.
Gehen Sie also davon aus, dass unsere Firma S/MIME braucht?
Bedenkt man, wie die Vorteile von S/MIME ein Unternehmen auf lange Sicht unterstützen, ist es nur zu empfehlen und aus Datenschutz-Sicht unabdingbar. Will eine Firma Integrität gewährleisten, Privatsphäre sichern, sensible Daten schützen und Phishing- und andere E-Mail-Angriffe reduzieren, sollte sie auf jeden Fall erwägen S/MIME einzusetzen. Lange Zeit galt S/MIME als (zu) komplex, was viele potenzielle Nutzer im Vorfeld abgeschreckt hat, doch ist der Einsatz von S/MIME Zertifikaten zur E-Mail Sicherheit einfacher als Sie glauben.
Kontaktieren Sie uns, wir helfen Ihnen gerne weiter und beraten Sie zum Thema S/MIME Zertifikate und E-Mail Sicherheit und Verschlüsselung.
Bildnachweis: © Markus Mainka – Fotolia.com