E-Mail-Verschlüsselung

Die Technik hinter dem heutigen E-Mail-System stammt aus einer Zeit, in welcher man die heutige Wichtigkeit dieses Kommunikationsmittels noch kaum richtig einschätzen konnte. SMTP wurde vor über 30 Jahren entwickelt und hat sich seit daher praktisch nicht verändert. Aus heutiger Sicht sind die Anforderungen an die Sicherheit ungenügend und die vorhanden Möglichkeiten, dies zu ändern, sind begrenzt.

Die Reise einer E-Mail

Eine E-Mail besteht aus zwei Teilen: Dem Header (quasi dem Briefumschlag) und dem Body (dem Inhalt des Briefs). Die Reise einer E-Mail beginnt mit der Anlieferung an den Server (dem Postschalter) und wird von dort von Server zu Server (Poststelle zu Poststelle) weitergegeben, bis sie schliesslich auf dem Empfangsserver (Postfach oder Briefkasten) landet, wo sie dann abgeholt werden kann.

Verschlüsselte Anlieferung und Abholung (SSL)

Die Kommunikation zwischen dem lokalen E-Mail-Programm und dem Postschalter bzw. ersten Server kann in der Regel verschlüsselt erfolgen. Auf diesem Teilabschnitt kann also niemand unerlaubt mitlauschen. Die E-Mail an sich ist damit aber noch nicht verschlüsselt und wird in der Regel auf dem weiteren Weg ebenfalls unverschlüsselt übertragen.

Dennoch lohnt sich diese schnell umgesetzte Massnahme: Um SSL in deinem Mail-Programm zu aktivieren, musst du bei der Einrichtung des E-Mail-Programms die Option «SSL» in den Servereinstellungen aktivieren. Du kannst diese Option auch nachträglich ändern.

Verschlüsselung mit PGP

Der Header (also der Umschlag) einer E-Mail kann nicht verschlüsselt werden, da sonst niemand mehr weiss, wohin eine E-Mail geliefert werden muss. Absendeadresse, Empfangsadresse, Betreff und allfällige weitere Informationen wie Cc:, Bcc: etc. sind also immer unverschlüsselt.

Den eigentlichen Inhalt (den Body) kann man jedoch verschlüsseln. Die gängigste Methode ist PGP.

PGP nutzt das Public-Key-Verfahren, dass heisst sowohl Absende- als auch Empfangsadresse benötigen einen privaten und einen öffentlichen Schlüssel. Der öffentliche Schlüssel des Gegenübers wird benötigt, um den Inhalt einer E-Mail vor dem Senden zu verschlüsseln. Einmal verschlüsselt, kann die E-Mail nur mit dem privaten Schlüssel wieder entschlüsselt werden.

Der also notwendige vorgängige Austausch der öffentlichen Schlüssel ist eine Hürde, die im Alltag oft zu hoch ist. Dementsprechend ist die Verbreitung von PGP nur klein.

Anleitungen

Für die gängigsten E-Mail-Programme gibt es fertige Installer oder Addons, welche die Funktionalität von PGP mit wenigen Mausklicks nachrüsten, wie zum Beispiel für (Apple Mail oder Outlook). Auch für mobile Betriebssysteme wie Android oder iOS gibt es entsprechende Apps.

Für Thunderbird haben wir in unserem Supportcenter eine Anleitung geschrieben, welche dich Schritt für Schritt durch die Installation führt. Nutzt du unser Webmail, so findest du eine Beschreibung im Artikel «E-Mail-Verschlüsselung im Webmail einrichten».

Fazit

Sicherheit und E-Mail sind in der Realität komplizierter als es sein sollte. Doch wie sagt man so schön: Wissen ist Macht. Und nur, wenn du die Risiken kennst, kannst du abschätzen, ob du sie eingehen möchtest. Somit hoffen wir, dass dieser Artikel etwas Licht ins Dunkel gebracht hat. Zum Schluss haben wir noch ein paar Links für dich zusammengestellt, mit welchen du tiefer in das Thema eintauchen kannst:

• Ausführliche und gut verständliche Erklärung des zwei-Schlüssel-Prinzips der PGP-Verschlüsselung
• Verzeichnis für Server mit öffentlichen Schlüsseln
• E-Mail verschlüsseln mit GnuPG
• Anleitung – so verschlüsselt ihr eure E-Mails mit PGP
• Kritischer Beitrag zur Alltagstauglichkeit von E-Mail-Verschlüsselung
• Kritischer Beitrag zur E-Mail-Verschlüsselung
• So schützen Sie Ihre E-Mails vor Spähangriffen
• Umfangreiche Sammlung von Informationen rund um PRISM
• US-Regierung zapft Facebook und Google an
• Interessante Serie mit dem Titel «MEIN DIGITALER SCHUTZSCHILD»
• Unser Kommentar zu PRISM und der Lage in der Schweiz
• Ausführung einer Aussage von Geheimdiensten, dass Verschlüsselung via SSH oder PGP unsicher seien