E-Mails verschlüsseln – die Mühe lohnt sich
Hand aufs Herz: Verschlüsseln Sie Ihre E-Mails? Nein? Damit liegen Sie im Trend, denn laut einer aktuellen Arbeitnehmerbefragung vom ITK-Branchenverband Bitkom verschlüsselt nur jeder siebte Beschäftigte in Deutschland hin und wieder berufliche E-Mails. Rund zwei Drittel können keine Verschlüsselungsfunktionen am Arbeitsplatz nutzen und etwa 19 Prozent verschlüsseln ihre E-Mail-Kommunikation grundsätzlich nicht. Bei den privaten Nutzern sind es noch viel weniger. Beste Bedingungen also für Cyberkriminelle und Nachrichtendienste! Dabei gehört Deutschland traditionell zu den Ländern, in denen Sicherheit und Datenschutz einen hohen Stellenwert haben. Auch das Bundesamt für Sicherheit in der Informationstechnik empfiehlt Unternehmen und Verbrauchern, digitale Signaturen zu erstellen und E-Mails zu verschlüsseln.
Für eine sichere Kommunikation benötigt der E-Mail-Nutzer einen elektronischen Schlüssel, eine so genannte digitale Signatur, die die Identität des Benutzers sicherstellt. So kann sich der Empfänger darauf verlassen, dass die Nachricht wirklich vom angegebenen Absender stammt und nicht von Dritten geändert wurde. Wird eine E-Mail allerdings nur signiert und nicht verschlüsselt, ist die Nachricht auf dem Server und auf dem PC des Nutzers zugänglich. Vollständigen Schutz bietet nur die so genannte Ende-zu-Ende-Verschlüsselung, bei der die Daten vom Absender ver- und beim Empfänger entschlüsselt werden.
Doch ein Großteil der vertraulichen Korrespondenz mit Geschäftspartnern, Banken, Steuerberatern oder Anwälten wird per E-Mail geführt und nicht gesichert – Informationen, die man nicht gern in fremden Händen sieht. Warum tun sich Unternehmen und Privatnutzer mit Signatur und Verschlüsselung so schwer?
Dafür gibt es verschiedene Gründe. Zunächst einmal gehen viele Nutzer von der falschen Annahme aus, dass sie durch die SSL/TLS-Verschlüsselung ihres E-Mail-Providers schon auf der sicheren Seite sind. Doch mit diesem Verfahren sind die Nachrichten nur auf dem Transport geschützt – auf dem Server und daheim auf dem PC bleiben sie weiterhin unverschlüsselt und können von geschickten Hackern ohne Weiteres gelesen werden. Rund zwei Drittel der Nutzer (65 Prozent) gaben zudem in einer Bitkom-Umfrage vom Juli 2013 an, sich mit Programmen zur E-Mail-Verschlüsselung nicht auszukennen. Bei 59 Prozent setzt der Kommunikationspartner keine entsprechende Software ein und ein Viertel hält die Verschlüsselung grundsätzlich für zu aufwändig.
Natürlich ist es aufwändiger, eine E-Mail zu signieren oder zu verschlüsseln, statt einfach auf den „Senden“-Button zu klicken. Doch wir möchten Ihnen in einer Video-Anleitung zeigen, dass das Signieren und Verschlüsseln von E-Mails nicht so kompliziert ist, wie Sie vielleicht denken. In drei kurzen Sequenzen zeigen wir Ihnen Klick für Klick, wie Sie signierte Nachrichten versenden und empfangen und wie Sie verschlüsselte Nachrichten mithilfe eines Zertifikats versenden. Für jeden, der sensible Informationen schützen möchte, lohnt sich die Mühe!
In unserem Beispiel wird das Signieren und Verschlüsseln mit dem S/MIME-Standard beschrieben, The Bat! unterstützt jedoch auch andere Verfahren wie PGP oder GnuPGP.
1. Erstellen eines selbst signierten Zertifikats und Versenden einer signierten Nachricht
Nutzer 1 erstellt ein selbst signiertes Zertifikat mit einem öffentlichen und einem privaten Schlüssel. Dann sendet er eine signierte Nachricht an Nutzer 2.
http://ritlabs.com/download/files3/the_bat/1.Signing_messages.mp4
2. Empfangen einer signierten Nachricht
Nutzer 2 (Empfänger) erhält die signierte E-Mail von Nutzer 1 und zeigt das (noch ungültige) Zertifikat an. Er übernimmt das Zertifikat von Nutzer 1 in den Bestand vertrauenswürdiger Zertifikate. Die von Nutzer 1 signierten Nachrichten werden künftig als gültig angezeigt.
http://ritlabs.com/download/files3/the_bat/2.Trusting.mp4
3. Versenden verschlüsselter Nachrichten mithilfe eines Zertifikats
Nutzer 1 exportiert das erstellte Zertifikat (ohne privaten Schlüssel!) und übermittelt es an Nutzer 2. Nutzer 2 erstellt für Nutzer 1 einen Kontakt im Adressbuch und importiert das Zertifikat. Jetzt kann Nutzer 2 eine verschlüsselte Nachricht an Nutzer 1 senden.
4. Hinweis: Damit auch Nutzer 1 verschlüsselte Nachrichten an Nutzer 2 senden kann, muss Nutzer 2 das Zertifikat (ohne den privaten Schlüssel) exportieren und an Nutzer 1 übermitteln. Beide Nutzer müssen also dem anderen Nutzer den öffentlichen Schlüssel zur Verfügung stellen, den privaten Schlüssel jedoch geheim halten.
http://ritlabs.com/download/files3/the_bat/3.Encrypting.mp4