Würden Sie Ihre Gehaltsabrechnung oder den letzten Arztbefund ohne Umschlag per Post verschicken? Diese Vorstellung klingt zurecht befremdlich, ist aber sehr nah am täglichen unverschlüsselten Mailverkehr, wie er leider immer noch vielerorts üblich ist. Unverschlüsselte E-Mails sind wie Postkarten, jeder kann sie lesen, ohne dass dies der Sender oder Empfänger bemerkt. Die einzige Voraussetzung ist, dass man Zugang zum E-Mail hat.
E-Mails – Briefe ohne Siegel
Hier drängt sich natürlich die Frage auf, wie denn «jeder» an Ihre Mail kommt. Auch hier können wir wieder zum Vergleich die physische Post heranziehen. Auf dem Weg vom Sender zum Empfänger wandert jeder Brief über zahlreiche Stationen wie Verteilung, Fahrzeuge, Postmitarbeitende und schlussendlich zum Zusteller. Diese Stationen sind im Mailverkehr verschiedene Server und Systeme, das Internet stellt die Verbindungswege dar. Ein potenzieller Angreifer kann nun sowohl die Stationen als auch die Verbindungswege angreifen. In der digitalen Welt können dies veraltete Softwarestände, Hackerangriffe auf Mailserver oder abgelauschte Verbindungen sein. So kommt es immer wieder zu abgefangenen Mails oder gestohlenen Datensätzen an verschiedensten Stellen. Wenn die Angreifer anschliessend die Daten verkaufen oder auch nur einen Auszug davon als Trophäe Ihrer Leistungen veröffentlichen, hat plötzlich «jeder» Zugriff auf Ihre Mail.
Public Key versiegelt ihre Mails
Da der digitale Informationsaustausch in der Geschäftswelt nach wie vor sehr häufig über E-Mail stattfindet, sind Vertraulichkeit und Integrität dieser elektronischen Kommunikation matchentscheidend. Mittels E-Mail-Verschlüsselung werden lesbare Mail-Inhalte für Dritte unkenntlich gemacht. Die Mail passiert auf dem Weg natürlich weiterhin verschiedenste Stationen, jedoch ist der Inhalt für einen Angreifer nicht brauchbar, da dieser nur eine unkenntliche Masse an Zeichen sieht. Zugriff auf den Inhalt hat nur der Empfänger, da er als einziger den notwendigen Schlüssel, den Private Key, besitzt.
Schlüsselmomente für ihre Sicherheit
Vereinfacht gesagt geht es darum, dass Sie als Empfänger einer Mail wissen, dass die Mail ohne von Dritten gelesen worden zu sein (Vertraulichkeit), unverändert (Integrität) und ohne Zweifel vom genannten Absender der Mail (Unanfechtbarkeit) bei Ihnen ankommt. Um diese drei Punkte sicherzustellen, muss die Mail vom Sender so verschlüsselt werden, dass nur Sie die Mail mit Ihrem Private Key entschlüsseln können. Mit ihrem Public Key stellen sie dem Sender eine Anleitung für ein Schloss zur Verfügung, mit dem er seine Mail an Sie sichern kann. Nur Sie als Empfänger haben jedoch den Schlüssel dafür. Somit können Sie problemlos Ihr Schloss öffentlich präsentieren, ohne dass der Schlüssel bekannt wird.
Die grosse Herausforderung in der E-Mail Verschlüsselung ist der Schlüsselaustausch zwischen dem Sender und Empfänger. Das heisst, dass der Sender die E-Mail immer mit dem richtigen Public Key verschlüsseln muss, damit der Empfänger die Entschlüsselung mit seinem Private Key durchführen kann. Erschwerend kommt hinzu, dass es mittlerweile sehr viele Lösungsansätze für den vertraulichen E-Mails Versand gibt, dabei sind die wenigsten Lösungen miteinander kompatibel. Im Alltag scheitert die Nutzung verschlüsselter Mails oft an der komplizierten Anwendung vieler verschiedener Produkte. Sie als Benutzer erwarten aber eine einfache und benutzerfreundliche Handhabung und nicht etwas Komplexes und Kompliziertes – unabhängig von Plattform und Technologie.
Drei Gründe für E-Mail-Verschlüsselung
E-Mail-Verschlüsselungs- und Signatur-Dienste haben stets drei Dimensionen der Sicherheit im Fokus:
- Erstens wird die Vertraulichkeit (Confidentiality) von E-Mails sichergestellt.
- Zweitens wird erkannt, ob die Integrität von E-Mails verletzt wurde – d.h. ob die Inhalte auf dem Weg vom Sender zum Empfänger verändert wurden (Integrity).
- Drittens wird die Echtheit des E-Mails sowie die Unanfechtbarkeit bzw. Nichtabstreitbarkeit durch den Sender (Non-repudiation) sichergestellt.
Secure Mailhub Service als Schlüsselbund
In der Schweiz haben sich verschiedene E-Mail-Verschlüsselungs- und Signatur-Services etabliert. Je nach Branche oder Unternehmen können die Bedürfnisse sehr unterschiedlich sein. Der Abraxas Secure Mailhub Service integriert dabei die drei gängigsten E-Mail-Verschlüsselungsplattformen der Schweiz. SEPPmail, HIN und IncaMail werden nahtlos in einen einzigen Service integriert:
- SEPPMail wird von rund 3'000 Organisationen mit 7'500 Domänen in Wirtschaft und Verwaltung verwendet und setzt auf domänenbasierte Verschlüsselung zwischen Sender und Empfänger.
- Ebenfalls domänenbasiert funktioniert die Verschlüsselung im HIN-Netzwerk. Am Health Info Net sind rund 1'000 Institutionen mit rund 1'400 Domänen und 27'000 Personen aus dem Gesundheitswesen angeschlossen.
- IncaMail ist ein Service der Schweizerischen Post, verwendet End-to-End-Verschlüsselung, ist eGov zertifiziert und vom Bund offiziell als sichere Zustellplattform für Behördenkommunikation zugelassen.
Der Abraxas Secure Mailhub Service integriert diese drei Plattformen und dient dabei als universeller Schlüsselbund – ohne dass der Nutzer wissen muss, welche Verschlüsselungsplattform eingesetzt wird.
