Vier Gründe, warum eine DIY-Verschlüsselung für E-Mails keine gute Idee ist

Autor: Fabio Marti
Veröffentlicht am 15. Februar 2019

Warum spezialisierte Tools einkaufen, wenn ich meine Kommunikation auch selbst verschlüsseln kann? Diese Frage ist vollkommen berechtigt – erst recht nachdem sich das für den E-Mail-Verkehr offenbar recht leicht umsetzen lässt. Trotzdem raten wir gerade unseren Unternehmenskunden dringlich davon ab. Aus vier guten Gründen:

Inhalt:

  1. Verschiedene E-Mail-Clients funktionieren unterschiedlich.
  2. Die hohe Kunst des Key-Managements
  3. Verschlüsselte E-Mails können nicht von der IT untersucht werden
  4. „Efail“ – die nicht behebbare Sicherheitslücke bei PGP & S/MIME
  5. Fazit: E-Mail-verschlüsselung ist gar nicht so leicht, wie es im ersten Moment klingt

Es klappt nicht immer – denn verschiedene E-Mail-Clients funktionieren unterschiedlich.

So gut die eigenhändig eingerichtete Verschlüsselung an der einen Stelle funktioniert, so frustrierend kann sie sich an anderer Stelle zeigen. Denn nicht jeder E-Mail-Client kann mit der Verschlüsselung umgehen – und plötzlich entsteht ein Kommunikationsbruch, der erst ausgeräumt werden muss. Manche Clients funktionieren überhaupt nicht mit den beiden gängigen Verschlüsselungsmethoden OpenPGP und S/MIME, bei anderen wiederum ist der Nachrichtenverkehr fehleranfällig. Mit Geduld und den entsprechenden Tools ist das zu handhaben. Doch wenn es um wichtige Vorgänge und Absprachen geht, ist das Risiko einfach zu groß, dass etwas verloren geht oder es zu Verzögerungen kommt.

Darüber hinaus müssen Sender und Empfänger natürlich die gleiche Verschlüsselungsmethode nutzen. Um mit verschiedenen Stellen außerhalb Ihres Unternehmens sicher zu kommunizieren, sollten Sie sich also darauf einstellen, vorbeugend beide Verschlüsselungsvarianten einzurichten.

Die hohe Kunst des Key-Managements

Um verschlüsselte E-Mails sowohl senden als auch öffnen zu können, benötigen Sie zwei Schlüssel: einen persönlichen und einen öffentlichen. Während der öffentliche allen bekannt sein darf und beispielsweise auf einem Schlüsselserver liegen kann, muss man auf seinen privaten Schlüssel sehr gut aufpassen. Normalerweise ist das kein großes Problem – man speichert ihn einfach (am besten passwortgeschützt) auf der Festplatte und noch sicherheitshalber auf einem USB-Stick. Doch wie verhält es sich in einem größerenTeam aus sehr unterschiedlich organisierten Kollegen? Können Sie hier garantieren, dass alle Mitarbeiter ihren Schlüssel hüten wie den heiligen Gral? Denn wenn ein privater Schlüssel unwiederbringlich verloren geht, dann sind auch die für den Halter verschlüsselten Nachrichten nicht mehr entzifferbar. Wir selbst haben diese Erfahrung vor einigen Jahren machen müssen. Der damit verbundene Datenverlust war in unserem konkreten Fall nicht geschäftsbedrohlich, aber unangenehm – und wir möchten dieses Risiko nicht noch einmal eingehen.

Verschlüsselte E-Mails können nicht untersucht werden und stellen die IT vor neue Herausforderungen

Normalerweise kann die IT-Abteilung den ein- und ausgehenden E-Mail-Verkehr relativ einfach auf Malware, Viren und andere Schadsoftware überprüfen. Sind die E-Mails nun aber verschlüsselt, hat sie keinen Zugriff mehr auf die Daten und kann dementsprechend auch nicht filtern. Mögliche Angriffe können direkt zu den Nutzern vordringen, was letztendlich bedeutet: Die Endpunkte, also die Geräte der Mitarbeiter, müssen noch umfassender geschützt werden – was Arbeit und Kosten verursacht sowie wertvolle Rechenleistung kostet. Gerade bei den mobilen Geräten können sich entsprechende Schutz-Tools massiv auf die Batterielaufzeit auswirken.

Zugegeben: Das Problem besteht bei jeder Form der verschlüsselten Kommunikation. Doch E-Mail – selbst in verschlüsselter Form – ist ein offenes System, in dem jeder jeden anschreiben kann. Sobald ein öffentlicher Schlüssel über einen Schlüsselserver sichtbar ist oder vom Nutzer entsprechend weit verbreitet wurde (was durchaus üblich ist), steigt deshalb das Risiko. Denn dann kann jeder Außenstehende diesen User gezielt angreifen, ohne dass die IT das auf Netzwerkebene untersuchen könnte. Bei geschlossenen Systemen mit Ende-zu-Ende-Verschlüsselung dagegen wird dieses Risiko minimiert, indem nur zentral von der IT-Abteilung angelegte Nutzer für das Kommunikationsnetzwerk zugelassen werden.

„Efail“ – die nicht behebbare Sicherheitslücke bei PGP & S/MIME

Zu den organisatorischen Herausforderungen gesellt sich noch ein wesentliches Risiko, das im Mai 2018 unter dem Namen „Efail“ bekannt geworden ist: Man fand verschiedene Verfahren, um E-Mail-Verschlüsselung auszuhebeln.

Aufgrund der Bauweise der Verschlüsselungstechnologien lässt sich diese Sicherheitslücke nur bedingt beheben. Die zugrundeliegenden Standards entstammen noch den Neunzigern und decken damit nicht alle heutigen Angriffsszenarien voll ab. Zumindest bei PGP bestehen Anpassungsmöglichkeiten, die das Problem kontrollierbar machen, dabei aber immer auf die Kompatibilität des verwendeten E-Mail-Clients angewiesen sind. Bei S/MIME scheint ein abschließendes Beheben der entdeckten Sicherheitslücken aktuell unmöglich. Man sollte sich also gut überlegen, ob man diesen Weg wirklich gehen möchte.

Fazit: E-Mail-Verschlüsselung ist gar nicht so leicht, wie es im ersten Moment klingt

Zwar ist die DIY-Verschlüsselung über PGP oder S/MIME grundsätzlich für jeden umsetzbar, doch um damit eine reibungslose Kommunikation zu ermöglichen, braucht es letztendlich wieder Spezialisten. Denn der einfache Mitarbeiter wird mit den technischen Ansprüchen schnell überfordert sein.

Darüber hinaus müssen eben auch Geschäftspartner davon überzeugt werden, diese Form der Verschlüsselung einzurichten. Ob man all diesen Aufwand auf sich nehmen möchte, muss letztendlich jedes Unternehmen für sich selbst entscheiden. In der Regel lohnt es sich aber, stattdessen auf eine vorgefertigte Lösung zurückzugreifen, die genau für die hohen Sicherheitsansprüche und Verwendungsszenarien in der Unternehmenskommunikation entwickelt wurde.