Beim Thema notwendige und / oder mögliche Verschlüsselung von Emails kommen „nicht technisch informierte“, sogar Datenschutzbeauftragte von Unternehmen und Behörden ins trudeln. Der häufigste Fehler, der gemacht wird: Das Durcheinanderwerfen von Anwendungsfällen und Begriffen. In diesem Beitrag möchte ich versuchen, die Thematik so einfach, als möglich zu beleuchten.
Zugegebenermaßen ist das ein sehr trockenes Thema, von dem man aber zumindest die Grundzüge verstehen sollte.
TLS ist die Abkürzung für Transport Layer Security.
Mit seinen Veröffentlichungen legt das BSI (Bundesamt für Sicherheit in der Informationstechnik) sogenannte Mindeststandards fest und veröffentlicht auch entsprechende Aktualisierungen zu seinen Empfehlungen / Vorgaben.
Unter Anderem auch zum Themenkomplex IT-Grundschutz und Verschlüsselung.
Hier gibt es eine Aktualisierung vom Mai 2021 zum Bereich TLS-Verschlüsselung,
welche zwar nicht ausschließlich aber auch den Versand und Empfang von Emails betrifft:
Wir beschränken uns aber mal nur auf die Emails und betrachten mal die weiterführenden Links hinter der Pressemeldung.
In seiner Veröffentlichung „Mindeststandard des BSI nach § 8 Abs. 1 Satz 1 BSIG zur Verwendung von Transport Layer Security (TLS) Version 2.2“ schreibt das BSI recht treffend:
„Im Rahmen der stetig zunehmenden Digitalisierung und der damit verbundenen Übertragung von Informationen über Kommunikationsnetze ist es eine zwingende Notwendigkeit, Informationen während der Übertragung abzusichern, um die Schutzziele Vertraulichkeit, Authentizität und Integrität gewährleisten zu können.
Eine zuverlässige Absicherung der Übertragung in Netzen kann durch den Einsatz des Protokolls Transport Layer Security (TLS) erreicht werden. TLS wird verwendet, um Informationen während der Übertragung in Netzen kryptographisch abzusichern.
Dabei dient TLS zur Etablierung eines sicheren Kanals (verschlüsselt, authentisiert und integritätsgeschützt). So können Daten aus höheren Schichten des OSI-Referenzmodells…..“
Quelle:
Es gibt noch ein etwas leichter zu verdauendes Dokument, welches schon was älter ist, aber worin auch die verschiedenen „Zielgruppen“ einer Behörde zu finden sind:
So, was machen wir jetzt daraus?
(Wir wollen auf „so einfach wie möglich“ bleiben.)
1. Ein Mindeststandard für Behörden kann grundsätzlich auch für Bürger und Unternehmen herangezogen werden.
Was in dem Zitat steht bedeutet übersetzt:
Die (logische) Verbindung zwischen 2 Kommunikations-Partnern (Geräten, Server etc.) ist verschlüsselt und sicher, wenn TLS zum Einsatz kommt und funktioniert. Dann kann man den Weg wie einen Gartenschlauch betrachten, der sauberes Wasser durch einen schlammigen Teich (das Internet) transportiert, so dass man es am anderen Ende noch trinken kann 😉
Informationen (Daten) sind in verschiedene sog. Schutzklassen einzuteilen.
Gemäß Definition des Mindeststandard (auch belegt durch weitere Publikationen) ist es bei Informationen bis Schutzklasse 2 möglich, sich auf die Verschlüsselung des Transportweges zu beschränken. Daten der Schutzklasse 2 können z.B. Informationen wie:
Name, Adresse, Telefon und Geburtsdatum sein.
Um Entscheiden zu können, was man noch als unverschlüsselten Text in einer Email, bzw. Email-Anhang an jemanden versenden kann, sollte man jedoch auch die eingesetzte Technik hinter dem eigenen Email-Account ein wenig kennen!
Zum einen gibt es zwar öffentlich zugängliche Dienste wie z.B. https://www.checktls.com/
mit denen sich die Möglichkeiten für eine einzelne Email-Adresse oder ganze Domain prüfen lassen. Aber um das Sicherheitsniveau abschätzen zu können reicht das nicht unbedingt aus.
Im unternehmerischen Umfeld:
Große Unternehmen und Behörden leisten sich in der Regel eigene Server, man kann bei der IT-Abteilung nachfragen. Im sog. mittelständischen Bereich könnte dem auch noch so sein. Kleinunternehmer greifen allerdings gerne auf Angebote zurück, die eigentlich für den privaten Gebrauch zugeschnitten sind. Bleiben wir bei den „Großen“ und „Mittleren“, die „Kleinen“ behandeln wir bei „Privatgebrauch“ mit.
Wenn man sich nicht sicher ist, welcher Schutzklasse Informationen angehören, kann man das bei den meisten größeren Unternehmen im Intranet nachlesen. Im Zweifel wendet man sich an seinen Datenschutzbeauftragten (auf Neudeutsch: DSO, Data Security Officer).
Viele größere Unternehmen bieten auch interne Seminare zum Thema an und letztendlich haben die „Großen“ oft auch interne Portale, auf denen man Empfängeradressen Prüfen kann.
Hier haben wir von der Absicherung des Transportweges her keine größeren Fallstricke zu erwarten,
wir müsse im Prinzip nur beide Seiten auf „TLS-Fähigkeit“ Prüfen (wenn unser AG kein eigenes Portal hat 😉 ):
Im privaten Umfeld:
Hier wird es etwas undurchsichtiger.
Das BSI hat auch zur verschlüsselten Kommunikation „allgemein“ etwas veröffentlicht.
Der Text auf der Webseite ist allerdings etwas unpräzise / missverständlich formuliert und sollte nachgebessert werden (Stand: Dezember 2021). Unter Transportverschlüsselung steht unter anderem (Zitat):
Die E-Mail wird beim Versand über unterschiedliche Knotenpunkte im Web zum Empfänger oder der Empfängerin weitergeleitet und ist an diesen Punkten und dazwischen nicht unbedingt verschlüsselt. Sowohl beim E-Mail-Anbieter als auch an den Knotenpunkten des Versands liegt die E-Mail dann im Klartext vor.
Zu finden unter (Quelle):
https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Onlinekommunikation/Verschluesselt-kommunizieren/E-Mail-Verschluesselung/e-mail-verschluesselung_node.html
Der zitierte Satz lässt manche Datenschutzbeauftrage (DSB) bei den Behörden (ver-)zweifeln. Es gibt nicht soderlich viele unter den DSB, welche über eine echte Expertise über die Techniken, die hinter ihrem Email-Client zu Einsatz kommen, verfügen.
Sie führen dann gerne (und fälschlicherweise!!!) o.G. Link pauschal für jegliche Email-Kommunikation an, transferieren ihr begrenztes Wissen auch auf den Einsatz in Unternehmen und Behörden.
Was ist denn missverständlich!?!?!
Die Frage ist: Was versteht das BSI unter „Knotenpunkte des Versands“?
Wenn das BSI damit alle möglichen Router meint, welche eine Email beim Versand durchquert, dann sind sie aber ganz schön auf dem Holzweg. (Aber das glaubt wohl so manche(r) DSB.)
Meine Interpretation ist etwas differenzierter:
Vorab: Ja, das BSI hat zu 99,99% Recht: An manchen Stellen liegt die Email unverschlüsselt vor.
Das BSI geht IMHO davon aus, dass eine Email über mehrere sogenannte SMTP-Relay-Server als Zwischenstationen versendet wird. Dieses Szenario ist allerdings recht unwahrscheinlich.
Es bleibt einer übrig, dessen Mitarbeiter unsere Emails lesen könnten:
Der Provider, bei dem wir unser (meist kostenloses) Postfach haben. (Z.B. 1und1, gmx, Telekom, freenet, wie sie alle auch heißen….)
Diesem Personenkreis müssen wir also einen Vertrauensbonus schenken, obwohl wir die Personen nicht kennen. Das ist in sofern kein Thema, weil ein Admin von xyz in der Regel besseres zu tun hat, als unberechtigter Weise die Emails von Erika Musterfrau zu lesen.
Diese Admins werden höchstwahrscheinlich nur dann auf unsere Emails zugreifen,
wenn es ein Problem gibt. In diesem Fall ist für die administrierende Person der Umschlag und nicht der Inhalt von Interesse.
Aber beleuchten wir die Sache mal sehr misstrauisch (was die Mitarbeiter angeht):
Fazit:
Wir haben gelernt:
- Wenn wir mit „eigenen“ Email-Servern auf beiden Seiten arbeiten, ist die Verschlüsselung auf dem Transportweg bis zur Schutzstufe 2 („vertraulich“, z.B. personenbezogene sowie Gesundheitsdaten, Finanzinformationen und Kontodaten) gemäß Mindeststandard des BSI: OK
- Der Mindeststandard ist nicht „Bulletproof“, aber in der Regel für „normale“ Kommunikation ausreichend.
- Wenn wir eine Email oder ein Attachment (Anhang) nicht zusätzlich verschlüsseln, könnte ein Admin des Email-Servers unsere Nachricht lesen.
- Das Risiko für den privaten Anwendungsfall ist als niedrig bis mittel zu betrachten, wenn man darauf achtet, dass der eigene Email-Client richtig eingerichtet ist und tatsächlich TLS verwendet.
- Das Risiko im Arbeitsalltag bewerten andere (Abteilungen?) für uns 😉 und stellen Regeln auf. An diese Regeln müssen wir uns halten und nachfragen, wenn wir uns nicht sicher sind.
Den Schutz einer Email können wir vereinfacht so klassifizieren:
Ohne jegliche Verschlüsselung: Postkarte (jeder kann es lesen)
Mit Transportwegverschlüsselung: Brief
Mit zusätzlicher Verschlüsselung(S/MIME, PGP …): Verschlossene Metall-Kassette (wenn wir den Schlüssel nicht herum liegen lassen 😉 )
Das Problem mit der zusätzlichen Verschlüsselung im Privaten Umfeld:
- Es gibt kaum Anbieter, die ein kostenloses S/MIME Zertifikat anbieten, für den Privatgebrauch gehen die kostenpflichtigen Zertifikate bei ca. 15€ jährlich los.
Das ist nicht sonderlich viel, aber: Wenn man alle 2-3 Jahre mal in die Verlegenheit kommt, ein Dokument verschlüsselt zu versenden, ist es wahrscheinlich zielführender, eine Datei in ein 256-Bit verschlüsseltes ZIP-Archiv zu packen und dem Empfänger das Passwort am Telefon zu sagen. (Achtung: Manche Firewalls sind so eingestellt, dass ein verschlüsselter Datei-Anhang entfernt wird. Dann bleibt nur noch der USB-Stick 😉 ) - 1und1 Ionos gibt an, dass ein italienischer Web-Hosting-Provider Namens Actalis eine seriöse Quelle für ein kostenloses Zertifikat ist. (Gütigkeit: 1 Jahr) // Die Angabe habe ich nicht verifiziert!!
- Selbst generierten Zertifikaten und PGP-Schlüsselpaaren muss die / der Empfänger(in) vertrauen und die/ den Ersteller(in) des Zertifikats ggf. als vertrauenswürdige Zertifizierungsstelle bei sich eintragen. (Wisst ihr, wie’s geht 😉 ??? )