Nutzen und Tücken der Mail-Verschlüsselung

Die Unbedarftheit, mit der Anwender täglich ihre elektronische Post handhaben, erschreckt. Sie versenden bedenkenlos Informationen, Dokumente, Terminvorschläge und andere geschäftliche An-gaben - selbst wenn diese noch so vertraulichen Charakter haben. Kaum einer, der dabei auch nur einen Gedanken an die Sicherheit der elektronischen Post verschwendet. Selbst hochgradig geschäftskritische Informationen werden unverschlüsselt, aber mit viel Gottvertrauen übers offene Internet verschickt.

Dabei bietet die Kommunikation über - E-Mail kaum Schutz, birgt im Gegenteil zahlreiche Risiken. Wie leicht können Absenderadressen gefälscht werden, wie einfach öffnen ausgespähte Passwörter den Zugriff auf fremde Briefkästen, wie simpel ist es heutzutage, im Netzwerk abgehörte Korrespondenz unbemerkt mitzulesen.

Dabei existieren längst geeignete Sicherheits-Tools, mit denen sich Absender identifizieren und Mail-Inhalte absichern lassen. Die meisten dieser Verfahren basieren auf einem öffentlichen und einem privaten Schlüssel. Mit Hilfe eines Zertifikats kann der Versender seine Post quasi unterschreiben. Der Empfänger hat so die Gewähr, dass Inhalt und Absender authentisch sind. Noch mehr Sicherheit bringt die Verschlüsselung. Hierzu muss der öffentliche Schlüssel des Empfängers bekannt sein, da dieser Schlüssel für die Codierung eingesetzt wird.

Allerdings setzen noch immer zu wenige Unternehmen E-Mail-Verschlüsselung durchgängig ein. Eine der Firmen, die ihre elektronische Post konsequent signieren und nach Möglichkeit auch verschlüsseln, ist beispielsweise die Zürcher Software-Entwicklerin Ergon. Adrian Berger, Leiter der Abteilung Finance and Security Solutions erklärt: «Der Ansporn dazu kam von den Mitarbeitern selbst. Ziel war es, die Authentizität von E-Mails sicherzustellen und die Sicherheit in der Kommunikation zu erhöhen.» Ergon entschied sich für Thawte (siehe Kasten) als Zertifizierungsstelle, wie Sicherheitsspezialist Marc Bütikofer ausführt: «Das System ist einfach zu bedienen, auch wegen des unabhängigen Netzes von Notaren.» Dieses Verfahren ermöglicht es Ergon, eigene Mitarbeiter als Thawte-Notare einzusetzen und die Zertifikate direkt im Unternehmen auszustellen.

Das konsequente Vorgehen von Ergon ist die Ausnahme. Warum verzichten so viele andere Firmen auf Sicherheit? Berger: «Weil so wenig Mail-Verschlüsselung eingesetzt wird, fehlt die kritische Masse». Ein Teufelskreis, der laut Bütikofer auch technisch bedingt ist. Er verweist darauf, dass der Umgang mit Zertifikaten nicht ganz trivial ist und manchen Anwender an seine Grenzen bringt. Denn mehr E-Mail-Sicherheit bedingt erhöhten Aufwand bei Organisation und Benutzerunterstützung. Bütikofer schätzt, dass grössere KMU die Mehrarbeit aber bewältigen können. Hauptursache für den erhöhten Aufwand ist die Verwaltung der öffentlichen Schlüssel und deren praktische Handhabung. Mit dem herkömmlichen Public-Key-Verfahren ist es beispielsweise umständlich, verschlüsselte Post an mehrere Empfänger zu richten, da diese über unterschiedliche Schlüssel verfügen. Deren Handhabung macht den Umgang mit E-Mails komplizierter, als es die Anwender gewohnt sind.

Angewandt wird Verschlüsselung gemäss Berger zumindest für sensible Daten im Finanzbereich. Dabei kommen auch alternative Methoden zum Einsatz. So kommunizieren viele Banken mit ihren Kunden über Messaging-Funktionen in der E-Banking-Software. Damit haben die Institute den gesamten Kanal unter ihrer Kontrolle. Bütikofer kennt auch andere Alternativen zur Mailverschlüsselung. Etwa können, erklärt er, sensible Daten als geschützte Zip-Datei übermittelt werden. Das nötige Passwort wird separat via SMS nachgereicht.

Berger und Bütikofer sind sich einig, dass es heute an der nötigen Sensibilisierung und am Druck von öffentlicher und privater Seite fehlt. Um der E-Mail-Verschlüsselung auf breiter Basis zum Durchbruch zu verhelfen, ist eine Aufklärungskampagne nötig, die das Bewusstsein für die Gefahren stärkt. Bütikofer sieht hierbei Parallelen zu den Suva-Kampagnen für Velo- und Skihelme, die das freiwillige Tragen des Kopfschutzes gefördert haben. «Für die breite Masse müsste vielleicht die öffentliche Hand am Schalter den Zertifizierungsprozess durchführen», zeigt Bütikofer mögliche Wege auf. Sicher ist: Zugunsten besserer E-Mail-Sicherheit muss eine gewisse Komplexität in der Handhabung akzeptiert werden.

Auf einem ganz anderen Papier steht dagegen das Thema digitale Unterschrift. Auch wenn diese der Handunterschrift rechtlich gleichgestellt wurde, liegt der Durchbruch an breiter Front noch ferner als bei der sicheren E-Mail-Kommunikation. Obwohl die Verfahren technisch eng verwandt sind, hegen Berger und Bütikofer Vorbehalte. So sind sie bezüglich der Nachweisbarkeit digitaler Signaturen ebenso skeptisch wie Kryptografie-Experte und ETH-Professor Ueli Maurer. Wie bei der Mail-Verschlüsselung, ist auch bei der digitalen Unterschrift kein Druck zu verspüren, der die Anwendung zwingend notwendig erscheinen liesse.

E-Mail-Authentifizierung und -Verschlüsselung

Die amerikanische Zertifizierungsstelle Thawte, die Platzhirsch Verisign gehört, bietet kostenlose Zertifikate für die E-Mail-Signierung und -Verschlüsselung. Nach erfolgter Anmeldung auf der Website kann jeder ein solches Dokument für seine E-Mail-Adresse erstellen. Solange allerdings die Identität des Antragstellers nicht geklärt ist, bleibt das Zertifikat unpersönlich. Das heisst, dass der Name des Benutzers im Zertifikat fehlt. Hierzu muss sich der Antragssteller mit zwei Ausweisen persönlich bei einem sogenannten «Notar» identifizieren. Dieser Schritt ist im Regelfall mit Kosten verbunden.

Die Identifizierung selbst erfolgt unabhängig von Thawte nach einem ausgeklügelten Punktesystem. Es hat den Zweck, mit wenig Aufwand eine möglichst hohe Vertrauenswürdigkeit zu erzielen. Um ein personalisiertes Zertifikat zu erlangen, benötigt der Antragssteller mindestens 50 Punkte. Ein Notar kann aber maximal 35 Punkte verteilen. Das heisst, dass die Identifizierung durch mindestens zwei Personen erfolgen muss.

Notar kann jeder werden, der mindestens 100 Punkte auf seinem Konto hat. Das heisst, dass die Identität von mindestens drei Seiten bestätigt worden ist. Um Missbrauch einzuschränken, muss jeder Notar einen schriftlichen Vertrag mit Thawte abschliessen, der unter anderem eine Geldstrafe bei Verstössen vorsieht.

Da die Schwelle von 100 Punkten nicht besonders hoch liegt, kann ein frischgebackener Notar nur fünf Punkte verteilen. Mit jeder Vergabe erhält er zusätzliche Punkte, und seine Vertrauenswürdigkeit steigt. Die Kontrolle der Identitäten erfolgt also nicht durch die Zertifizierungsstelle, sondern durch die Benutzer selber.

www.thawte.com