Schlagwort-Archive: Sichere E-Mail

E-Mail made in Germany

Wow. Die Telekom und 1&1 machen E-Mails sicherer, sagen sie und sagt die Presse. Der CCC, Fefe  und netzpolitik.org sehen es etwas anders. Und auch ich war heute morgen beim Lesen der Tageszeitung doch sehr erstaunt, wie dieses Wunder „sichere E-Mail“ über Nacht passieren konnte. Dann die Ernüchterung: Man will nur TLS/SSL zwischen den Mailservern aktivieren. Immerhin.

Dass die Verschlüsselung auf dem Transportweg per TLS/SSL eigentlich längst zum „guten Ton“ gehören sollte, bisher aber anscheinend bei den großen Providern nicht passiert ist, ist erschreckend. Abgesehen davon, dass Geheimdienste und „alle Befugten der Staatsorgane“ auch weiterhin an die Mails kommen, entweder auf den Servern der Betreiber, wo sie im Klartext vorliegen, oder durch Hacken der eigentlich verschlüsselten Verbindung durch Aushebelung der bei TLS/SSL eingesetzten zentralen Vertrauensinstanz, die die Echtheit der TLS/SSL-Zertifikate garantieren soll (Man in the Middle). Alles kein Problem, wenn man „staatlich befugt“ ist oder im Geheimen arbeiten kann.

Eine nach heutigen technischen und menschlichen Maßstäben „sichere E-Mail“ ist nur durch eine Ende-zu-Ende Verschlüsselung zu erreichen. Mittels PGP/OpenPGP oder S/MIME.

Auch  „die Server stehen in Deutschland“ ist kein Qualitätsmerkmal (mehr): In Deutschland werden doch nachgewiesenermaßen von den Geheimdiensten die meisten Kommunikationsdaten abgeschöpft. Da wäre es doch sicherer, die Server stünden in Griechenland. Aber wir können ja beruhigt sein, denn unsere Regierung hat bestätigt, dass der Datenschutz in Deutschland jederzeit beachtet wurde/wird. Es ist zum Heulen …

Man muss also wohl oder übel überlegen, welche gesetzlichen Rahmenbedingungen wir hinsichtlich Sicherheit den Providern vorgeben müssen. Anders scheint es – wie bei der Netzneutralität – nicht zu gehen.

Wobei die Datenschutzrechte eigentlich schon reichen sollten, damit die Provider den Mailverkehr zwischen ihren Servern verschlüsseln müssten. Bei anderen Sachverhalten wird Verschlüsselung bereits vorgeschrieben: Ohne Verschlüsselung im WLAN haftet man als Betreiber. Und ohne Verschlüsselung von E-Mails muss man Behörden keine sensiblen Daten schicken. Warum ausgerechnet die Provider nie in die Pflicht genommen oder gar überprüft wurden, bleibt fraglich.

Sichere E-Mail – eine kleine Anleitung

Nach der Aufdeckung der massenhaften Überwachung durch „unsere“ Geheimdienste bzw. durch den Staat tritt das Thema „Schutz der Privatsphäre“ wieder einmal in den Vordergrund.

Die Verschlüsselung und digitale Signierung von E-Mail kann und sollte ein erster Schritt sein. Neben dem zu weiten Teilen dezentral arbeitenden PGP gibt es eine weitere standardisierte Methode für sichere E-Mail: S/MIME mit X.509 Zertifikaten.

Diese X.509 Zertifikate kennt der ein oder andere bereits von TLS/SSL bei der Verschlüsselung von Webseiten per HTTPS Protokoll. Bei diesen Zertifikaten gibt es immer eine zentrale Stelle, die die Zertifikate beglaubigt (sog. CA = Certification Authority). Dabei ist – meist im Gegensatz zu PGP – auch eine echte Identitätskontrolle möglich bzw. vorgesehen.

Die Krux an diesen CAs ist: Wenn mein Client (Browser, E-Mail Client) das einzelne Root-Zertifikat der CA einmal installiert hat (oder es bereits vorinstalliert ist), dann werden alle Client-Zertifikate meiner Kommunikationspartner als gültig angesehen. Es entfällt damit das sich gegenseitige Kontrollieren wie bei PGP (Schlüssel-Fingerprint). Denn die Person bzw. die zugehörige E-Mail-Adresse an sich wurde bei S/MIME bzw. X.509 bereits bei der Ausstellung des Zertifikats „beglaubigt“. Ich muss also „nur“ der CA trauen (was natürlich auch ein Problem sein kann).

Ein weiterer Vorteil gegenüber PGP: Der Standard S/MIME, der diese X.509 Zertifikate nutzt, ist in alle gängigen Clients eingebaut, so z.B. in Thunderbird, KDEs kmail oder – wer unbedingt mag – in Outlook. Es sind also keine Plugins nötig. Auch für mobile Plattformen gibt es S/MIME Lösungen (für Android z.B. „DJIGZO S/MIME Email Encryption“), wenn auch hier noch ein wenig rudimentär. In Thunderbird ist S/MIME jedenfalls perfekt integriert. [Update 06.12.2013] Perfekt war übertrieben, denn aktuell gibt es das Problem „Thunderbird gibt falschem Absender das Echtheits-Siegel„.

Und noch ein Vorteil von S/MIME: Clients verschicken in der Regel die Zertifikate mit dem öffentlichen Schlüssel in jeder E-Mail mit. Es entfällt somit der manuelle Download bzw. Austausch der öffentlichen Schlüssel wie bei PGP. Die Clients speichern bei S/MIME alle öffentlichen Schlüssel meiner Kommunikationspartner automatisch, und zwar wie gesagt als Zertifikate, die von der zentralen CA beglaubigt sind.

Wie kommt man nun zu solch einem X.509 Zertifikat? Nun, neben einigen wenigen für Privatkunden offenen kommerziellen Diensten gibt es seit einigen Jahren das Community-basierte und nicht-kommerzielle CAcert mit Sitz in Australien. Jeder kann sich anmelden und mitmachen.
Schon direkt nach Anmeldung kann man sich einfache (Class 1) X.509 Zertifikate für E-Mail ausstellen lassen, mit denen man z.B. in Thunderbird sofort loslegen kann. Die privaten Schlüssel verlassen dabei nie den eigenen PC, sondern werden im Browser generiert, am besten ist dazu Firefox geeignet.

Wenn man ein Class 3 Zertifikat haben möchte, bei der eine Identitätsprüfung nötig ist, muss man „Punkte“ sammeln, indem man sich von den sog. CAcert-Assurern „assuren“ lässt. Dabei muss man sich in einem persönlichen Treffen ausweisen. Nach ca. 3 solcher Treffen ist man dann „identifiziert“ und kann sich auf den Namen lautende Zertifikate erzeugen. Das funktioniert mit allen E-Mail Adressen.

Übrigens bin ich einer der offiziellen CAcert Assurer, von denen es in Ballungsgebieten eine hinreichend große Zahl gibt (z.B. oft auch beim CCC, Chaostreff oder bei den Piraten).

Wer also im Raum Düsseldorf „assured“ werden möchte, kann sich nach Anmeldung bei CAcert bei mir melden, so dass man die kleine Prozedur z.B. auf einem Stammtisch der Piraten in Mettmann durchführen könnte.

Ich habe in meinem Wiki ein paar Infos und Links zu S/MIME und CAcert zusammengetragen: