Wenn über die Sicherheit der E-Mail geredet wird, so wird diese Diskussion zumeist ausschließlich um das Thema Viren und Würmer geführt. Schließlich sind es die Namen wie der "Melissa"- oder "I Love You"-Virus, die immer wieder tagelang auch die Nachrichtensendungen und Tagespresse beherrschen.
Administratoren und IT-Verantwortliche in großen und kleinen Firmen wissen aber nur zu genau, dass gerade beim so wichtigen Einsatz der E-Mail noch eine ganze Reihe anderer Gefahren drohen. Diese können die Sicherheit der Nachrichten, die Sicherheit der Inhalte dieser Nachrichten und damit letztendlich auch die Sicherheit der Firma bedrohen.
Wir haben für diesen Ratgeber einige entscheidende Bereiche herausgegriffen, die sich mit den verschiedenen Aspekten der E-Mail-Sicherheit befassen:
• Sicherheit des Inhalts durch Verschlüsselung,
• Bedrohung durch Spam und Mittel dagegen,
• Schutz vor Datenverlust: Backup und Restore sowie
• Informationsverlust durch "Datenlecks".
Sicherheit per Verschlüsselung
Es ist fast schon so etwas wie eine Binsenweisheit: Grundsätzlich ist die Information in einer nicht verschlüsselten E-Mail nur in etwa so sicher wie eine handschriftlich geschriebene Postkarte. Das liegt ganz entscheidend auch an dem Übertragungsprotokoll, das beim Versenden von E-Mail-Nachrichten zum Einsatz kommt: das "Simple Mail Transfer Protocol" (SMTP). Bereits im Jahr 1982 wurde es unter dem RFC 821 zum Standard erklärt. In diesen fast 30 Jahren, seitdem das Protokoll standardisiert wurde, hat sich aber nicht nur die Art und Weise geändert, in der E-Maills eingesetzt werden. Auch der Grad der Nutzung ist ein ganz anderer, und die Netzwerke an sich sind immens gewachsen. Als dieser Standard verabschiedet wurde, waren die Verbindungen zwischen den Servern in der Regel langsam. Erschwerend kam hinzu, dass diese mitunter auch noch sehr instabil waren.
So haben die Entwickler damals auch ganz besonders auf die Zuverlässigkeit dieses Protokolls geachtet, während sie eine Authentifizierung grundsätzlich nicht berücksichtigten. Wie es üblich war, lief der Datentransfer zwischen den Servern komplett unverschlüsselt und konnte so mit jeder Sniffer-Software mitgelesen werden. Erst 1995 wurde das Protokoll mit Extended SMTP (ESMTP) in RFC 1869 erweitert, und eine Verschlüsselung über SSL/TLS wurde eingearbeitet. Dank dieser Erweiterung ist die Vertraulichkeit der Nachricht beim Transfer auf diese Weise gewährleistet - jedenfalls was die Übertragung zum Mail-Server betrifft.
POP3 und IMAP
Aber gerade wenn es um die bei kleineren Unternehmen häufig verwendeten Übertragung via POP (Post Office Protocol) zum Abholen der Nachrichten vom Mail-Server geht, sieht es leider weniger gut aus. Dieses Protokoll kommt in der immer noch gültigen Version 3 für den Empfang von E-Mails zum Einsatz: Der Client ruft beim Einsatz dieses Protokolls die E-Mails gänzlich unverschlüsselt vom Mail-Server ab. Sofern ein moderner und professioneller E-Mail-Server wie beispielsweise Microsoft Exchange zum Einsatz kommt, wird POP3 üblicherweise sowieso nicht mehr verwendet.
POP3 erfreut sich aber leider aufgrund der sehr einfachen Implementierung auch bei vielen Internet-Hostern immer noch großer Beliebtheit. Wer die Wahl hat, sollte auf das ebenfalls oft angebotene IMAP (Internet Message Access Protocol) ausweichen. Dieses Protokoll ist in der aktuellen Version durch einen Verschlüsselungsalgorithmus gesichert und wird schon von vielen Webmail-Providern sowie den meisten Internet-Hostern angeboten.
Muss aber - warum auch immer - unbedingt das POP3-Protokoll verwendet werden, so sollten die IT-Verantwortlichen darauf dringen, dass eine Verschlüsselung der E-Mail-Inhalte auf der Client-Seite eingesetzt wird. Eine solche Verschlüsselung der Nachricht direkt auf den Client hat dabei auch für die Benutzer einen maßgeblichen Vorteil: Sie wissen dann selbst, dass die Nachricht gesichert rausging - unabhängig davon, wie der E-Mail-Administrator den Server konfiguriert. Zwei Verschlüsselungsansätze haben sich zur Echtheitsprüfung (Stammt die Nachricht tatsächlich vom genannten Absender) und Integritätsprüfung (Wurde die Nachricht unerlaubt modifiziert) etabliert: "Pretty Good Privacy" (PGP) und "Secure / Multipurpose Internet Mail Extensions" (S/MIME).
Bei PGP handelt es sich um ein von Phil Zimmermann zu Studentenzeiten entwickeltes Programm, das zur Verschlüsselung und zur Erstellung digitaler Signaturen dient. Dieses Programm scheint in der öffentlichen Wahrnehmung die populärere Lösung zur Verschlüsselung von E-Mail-Nachrichten zu sein. Sie erfordert eine Installation der PGP-Software auf beiden kommunizierenden Computern. Dies ist zwar aufwendiger als die Einrichtung von S/MIME, hat aber den Vorteil, dass neben E-Mails auch Dateien verschlüsselt werden können. Beide Techniken, PGP und S/MIME, verwenden dieselben Arten von Verschlüsselungsalgorithmen und unterscheiden sich lediglich in Details und nicht in der Sicherheit.
Zertifikate: "Class 1"-Variante kann ausreichen
Viele Softwarehersteller, wie auch Microsoft, geben S/MIME den Vorzug und erlauben eine einfache und direkte Integration in ihre Softwarelösungen. Dazu ist dann keine Installation einer zusätzlichen Software erforderlich, da die Komponenten bereits durch den E-Mail-Client gestellt werden. Bei Verwendung von S/MIME ist stets die Erstellung eines Zertifikats durch eine "Certification Authority" (CA - Zertifizierungsstelle) erforderlich.
Je nach Anwendungsgebiet gibt es unterschiedlich "starke Zertifikate". Für Privatpersonen und kleine Firmen ist die Variante "Class 1". ausreichend und zudem kostenlos erhältlich. Wer ein solches Zertifikat beispielsweise für S/MIME verwenden will, kann dies in weniger als fünf Minuten bekommen. Einer der vielen Anbieter, die kostenlose Zertifikate anbieten, ist StartSSL. Die Anmeldung für ein kostenfreies Zertifikat, die einige persönliche Informationen verlangt, muss mit einem unterstützten Browser wie dem Microsoft Internet Explorer oder dem Mozilla Firefox erfolgen. Danach wird das erstellte Zertifikat im Zertifikatsspeicher des Browsers abgespeichert. Eine einfach zu lesende und umzusetzende Anleitung in verschiedenen Sprachen, die auch im Rahmen der Zertifikatserstellung angezeigt wird, beschreibt dem Anwender, wie er das Zertifikat auf einen lokalen Datenspeicher sichern kann.
Wer dann ein solches Zertifikat zur Signierung von persönlichen E-Mails, beispielsweise mit Microsoft Outlook, nutzen möchte, muss es in die Applikation importieren. Leider unterscheidet sich die Vorgehensweise bei den verschiedenen Outlook-Versionen im Detail. Unter Outlook 2007 findet der Benutzer die benötigte Eingabemaske unter dem Menübefehl Extras und anschließend durch einen Mausklick auf Vertrauensstellungscenter. Im daraufhin erscheinenden Dialogfenster ist dann die Rubrik E-Mail-Sicherheit auszuwählen. In dieser ist auch die Schaltfläche für Import und Export von Zertifikaten zu finden. Weitere Informationen zur Beurteilung von Zertifikaten im Microsoft-Office-2007-Umfeld finden sich auf einer dazu von Microsoft bereitgestellten Website.
Die Installation des persönlichen Zertifikats unter "Mozilla Thunderbird" wird unter Extras, Erweitert, Zertifikate durchgeführt. Auf MacOS-Rechnern wird das Zertifikat aus dem Zertifikatsspeicher des Browsers exportiert und in den "Schlüsselbund" des Betriebssystems importiert. Alles in allem dauern die Erstellung des Zertifikats und die Einrichtung nicht mehr als fünf Minuten.
Verschlüsselte E-Mails
Bevor die Verschlüsselung zwischen zwei E-Mail-Kontaktpartnern effektiv genutzt werden kann, muss der "öffentliche Schlüssel" zur Codierung auf den jeweils anderen Computer gelangen. Dies geschieht recht unkompliziert dadurch, dass ausgehende Nachrichten stets "signiert" versendet werden. Jede versendete E-Mail trägt auf diese Weise den öffentlichen Schlüssel des eigenen Zertifikats. Ist auf beiden Seiten der öffentliche Schlüssel des Kommunikationspartners bekannt, so kann die nächste E-Mail verschlüsselt werden.
Wird der E-Mail-Verkehr auch an Smartphones oder Handheld-PCs weitergeleitet, so ist sicherzustellen, dass diese Geräte ebenfalls über die Zertifikate verfügen. Ein englischsprachiges Whitepaper zu S/MIME für Windows Mobile 5.0 und höher und die Integration ins Active Directory findet der interessierte Leser auf der Website von Microsoft.
Der S/MIME-Support für das unter Android weit verbreitete K9Mail-Programm ist noch nicht verfügbar, soll aber bereits in der Entwicklung sein. Apples populäres iPhone unterstützt S/MIME nach wie vor nicht, was den Einsatz des Geräts in einer auf Sicherheit ausgelegten Unternehmensumgebung deutlich einschränkt. Auf den Apple-Desktop-Systemen unter OS X stellt die Verwendung dieser Technik hingegen kein Problem dar.
Bedrohung durch Spam und Abwehrmöglichkeiten
Wer über Probleme mit der E-Mail spricht, der meint damit sehr häufig das Thema Spam. Solche unerwünscht zugesandten E-Mail-Werbesendungen gehören für die meisten Benutzer von E-Mail heute zum Alltag. Im Stunden-, wenn nicht Minutentakt wird das Postfach mit Angeboten von Online-Casinos, Pillenverkäufern oder skurrilen Geschäftsideen aus Afrika gefüllt. Als Spam wird traditionell eine unverlangte Massen-E-Mail bezeichnet, die auch UBE ("Unsolicited Bulk E-Mail") oder UCE ("Unsolicited Commercial E-Mail") genannt wird.
In vielen aktuellen E-Mail-Systemen, wie zum Beispiel Microsofts Exchange-Server, wurde bereits viele Anti-Spam-Techniken eingearbeitet. Das gilt auch für die E-Mail-Systeme der großen Provider und Anbieter von Webmail-Systemen wie etwa Google Mail. So können also sowohl die Administratoren als auch Endanwender aktiv die Sicherheit der E-Mail erhöhen, indem sie sich mit den Möglichkeiten dieser integrierten Schutzfunktionen vertraut machen. Denn dadurch ist es bereits ohne den Einsatz einer zusätzlichen Anti-Spam-Software möglich, die Anzahl von Spam-Nachrichten dauerhaft zu senken.
Dabei werden gefilterte Nachrichten in der Praxis nicht automatisch gelöscht, sondern an ein Quarantäne-Mail-Subsystem überführt. Hier kommt dann auch bereits die Eigenverantwortung der Anwender ins Spiel: Im Falle einer irrtümlichen Spam-Erkennung sind die Benutzer selbstständig in der Lage, diese Nachrichten einzusehen, ohne dass die IT-Administration dazu beauftragt werden müsste. Über tägliche Reports werden Benutzer im idealen Fall über ausgefilterte Nachrichten automatisiert in Kenntnis gesetzt.
Filter nutzen - Blacklist, Whitelist, Greylisting
Hauptarbeitsmittel der einfachen Filter sind die sogenannten Black- und Whitelists, also Auflistungen mit Domänennamen, E-Mail-Adressen und IP-Adressen, die entweder negativ auffielen oder für eine Kommunikation grundsätzlich freigegeben wurden. Glücklicherweise sind Mail-Administratoren nicht gezwungen, diese Listen komplett von null an zu füllen - hinter dem Kürzel RBL ("Realtime Blackhole List"), auch als DNS-based Blackhole List (DNSB) bezeichnet, steckt beispielsweise eine laufend aktualisierte Datenbank mit Negativeinträgen im Internet. Dort werden IP-Adressen von Rechnern aufgeführt, die bereits durch den häufigen Versand von Spam in Erscheinung getreten sind.
In diesem Zusammenhang ist die Technik des "Greylisting" erwähnenswert. Hierbei wird eine E-Mail-Adresse, von der eine Nachricht empfangen wird, zunächst auf eine "graue Liste" gesetzt. Der Absender erhält die Meldung vom Mail-Server, dass die Nachricht bitte erneut zu senden ist. Automatisierte Spam-Roboter reagieren typischerweise nicht auf Rückmeldungen, sodass im Umkehrschluss vorwiegend "echte Kommunikationspartner" einen erneuten Versand durchführen. Wird die Nachricht ein zweites Mal empfangen, so wird der Absender automatisch auf die Whitelist gesetzt und gilt als vertrauenswürdiger Kontaktpartner.
Eine weitaus ausgereiftere Technik stellt "Vipul’s Razor" zur Verfügung: Hier handelt es sich um ein prüfsummenbasiertes, verteiltes und gemeinschaftliches Spam-Erkennungs- und -Filternetzwerk. Die Razor-Datenbank wird über Benutzerrückmeldungen ständig aktualisiert, sodass bekannte Spam-Nachrichten ausgefiltert werden. Derzeit wird Razor vorwiegend von Spam-Filtern genutzt, die direkt auf den E-Mail-Servern zum Einsatz kommen. Ein kommerzieller Ableger von Razor ist "Cloudmark DesktopOne". Diese Software arbeitet als Erweiterung für die bekanntesten E-Mail-Client-Programme und steht sowohl in einer Freeware-Variante als auch in einer kostenpflichtigen Version zur Verfügung. Ein Vorteil der Techniken, die bei diesen Razor-Lösungen zum Einsatz kommen, besteht darin, dass sie auch gegen Spam-Nachrichten wirksam sind, die über keinen eigentlichen Textinhalt verfügen, sondern ihre Werbebotschaft als grafisches Element darstellen.
Abwehr mittels Appliance
Neben einer inhaltlichen Überprüfung von E-Mails beim Empfang auf Ebene des Posteingangsservers oder auch des Clients bietet sich für Unternehmen eine vorangestellte "Verteidigungslinie" an. Eine derartige Lösung wurde erstmalig Anfang des Jahres 2000 vom US-amerikanischen Hersteller Ironport zur Produktreife geführt und auf den Markt gebracht. Dabei kommt eine Appliance des heute zu Cisco gehörenden Herstellers zum Einsatz.
Diese prüft, ob das bisherige Verhalten des absendenden Servers durch Spam-Aktivitäten gezeichnet ist. Das bisherige Verhalten wird hierbei als "Reputation" bezeichnet. Ist ein Server bereits mehrfach zum Versand von Spam-Mails benutzt worden, so ist dies in einer speziellen Datenbank festgehalten.
Der Reputationswert wird von Ironport auf einer Skala von -10 bis +10 dargestellt. Ab welchem Wert mit einer Mail wie zu verfahren ist, kann der Mail-Administrator einstellen. In der typischen Einstellung einer Ironport-Appliance werden Mail-Server mit einem Reputationswert von -10 bis -6 komplett als Kommunikationspartner abgelehnt. In einem Bereich von -5 bis -2 lassen sich "Throttle"-Einstellungen wählen. Eine derartige Einstellung beinhaltet dann beispielsweise, dass lediglich drei E-Mails pro Stunde von einem solchen Server entgegengenommen werden.
In der öffentlich zugänglichen Ironport-Datenbank mit Namen Senderbase werden laut Hersteller die Serverdaten und Transaktionsergebnisse von über 30.000 Providern, Universitäten und Unternehmen gespeichert und als Grundlage für eine Einschätzung des Spam-Potenzials genutzt. Systeme, die entsprechend konfiguriert wurden, übermitteln ihre Informationen automatisch an die Senderbase-Datenbank. Dank der großen Anzahl von Sensoren erkennt das System sehr zügig eine neu entstehende Spam-Schwemme und ist für manipulierte Fehldaten unsensibel.
Sicherheit per DNS-Prüfung
Weitere Internetgruppierungen wie die SMTP AUTH Initiative bereiten eine Überarbeitung des SMTP ("Simple Mail Transport Protocols") vor, um eine gesicherte Verbindung zwischen E-Mail-Servern einzuführen. Allerdings zeigt die Erfahrung, dass Änderungen an Internetstandardprotokollen eine lange Zeit in Anspruch nehmen können.
Bis zu einer möglichen Neueinführung eines Nachfolgers des altgedienten SMTP-Protokolls bleibt aktuell lediglich die DNS-Prüfung des versendenden E-Mail-Servers. Hierbei wird beim Empfang einer E-Mail die Absende-IP-Adresse mit dem Host-Namen-Eintrag im DNS ("Domain Name Service") geprüft. Stimmen die Werte überein, so wird die Nachricht an die nächste Prüfungsebene weitergereicht. Weicht die verwendete IP-Adresse des Mail-Servers vom hinterlegten DNS-Eintrag ab, so stammt die Nachricht nicht vom zu erwartenden Mail-Server und wird somit abgewiesen.
Dies hat den Vorteil, dass entsprechende gesetzliche Anforderungen, wie etwa das Postgeheimnis, auf diese Weise nicht berührt werden: Schließlich wird die Nachricht überhaupt nicht angenommen.
Schutz vor Datenverlust: Backup und Restore
Welche Sicherungsstrategie für einen E-Mail-Server durch den Administrator angewendet wird, ist von vielen verschiedenen Faktoren abhängig. Es gibt am Markt kleinere E-Mail-Server, die auf eine Datenbank komplett verzichten und alle Nachrichten direkt im Dateisystem ablegen. Das hört sich zwar zunächst ein wenig altmodisch an, hat aber für die Sicherung und die Wiederherstellung große Vorteile: Eine spezielle Software für Backup- und Restore-Aufgaben muss überhaupt nicht eingesetzt werden. Selbst ein kleiner Copy-Skript-Job ist dann in der Lage, die E-Mail-Nachrichten zu sichern.
Große E-Mail-Server wie auch Microsoft Exchange verwenden eine eigene Datenbank. Der Administrator kann somit nicht mehr die einzelnen Nachrichtendateien sichern, sondern muss, wie bei anderen Backup-Strategien auch, zunächst einmal die komplette Datenbank sichern. Danach kann er in einem Wochenturnus mit inkrementellen Sicherungen pro Tag sicherstellen, dass sein Backup auf dem aktuellen Stand bleibt.
Die meisten Administratoren werden bestätigen, dass Restore-Aufgaben heute glücklicherweise nur noch sehr selten darin bestehen, eine Komplettwiederherstellung eines E-Mail-Servers auszuführen. Die beiden Klassiker heißen aber weiterhin "Wiederherstellung einer einzelnen E-Mail, die ein Benutzer versehentlich gelöscht hat" und "Das Konto eines ausgeschiedenen Mitarbeiters wurde gelöscht und einige Zeit später bemerkt ein Kollege, dass im Fach noch wichtige Daten vorhanden waren".
In beiden Fällen wird ein E-Mail-Administrator kaum eine Wiederherstellung eines kompletten Exchange-Servers anstoßen. Für kleinere und mittlere Unternehmen sind der Aufbau und das Vorhalten einer "Recovery Storage Group" für die Wiederherstellung einzelner Postfächer und Nachrichten eine leicht umzusetzende Variante. Wie ein Administrator beispielsweise eine solche "Speichergruppe für die Wiederherstellung" unter Exchange 2003 einrichten kann, wird in einem ausführlichen Artikel auf den Support-Seiten von Microsoft erläutert. Kommt es häufiger zu derlei Wiederherstellungsaufgaben, so empfiehlt sich der Einsatz von Zusatzprogrammen wie beispielsweise "Quest Recovery Manager for Exchange" oder "PowerControls" von Ontrack. Während das Quest-Programm auch in einer Version für den Lotus-Mail-Server angeboten wird, offeriert Ontrack seine PowerControls auch für den Microsoft SharePoint-Server.
Sicherung ersetzt Archivierung nicht
Allerdings kann und darf die Sicherung eines Mail-Servers die Archivierung nicht ersetzen. Während bei der Sicherung die Wiederherstellung aktueller Daten im Vordergrund steht, dient die Archivierung der langfristigen Datenspeicherung als Beleg für Geschäftsvorgänge. Das Bundesamt für Sicherheit in der Informationstechnik(BSI) beschreibt im Kapitel "Archivierung" des IT-Grundschutz-Katalogs sehr detailliert die verschiedenen Gefahren und mögliche Lösungen.
Einfache Implementierungen setzen am Mail-Gateway der DMZ (Demilitarized Zone) am Außenbereich des Unternehmensnetzwerks an. Jede ausgehende und eingehende E-Mail wird durch einen speziell dafür eingerichteten Smarthost-Mail-Server geleitet. Diese Nachrichten werden dann regelmäßig auf Bänder gesichert und dienen als Dauerarchiv. Interne E-Mail-Dialoge bleiben in dieser Konstellation außen vor, was durchaus gewünscht sein kann, da der interne E-Mail-Verkehr möglicherweise gar nicht "archivierungswürdig" ist.
Die Archivierung ganzer Mail-Server beziehungsweise deren E-Mail-Verkehrsströme darf unter keinen Umständen mit der Archivdatei von Outlook aus dem Microsoft-Office-Paket verwechselt werden. Outlook als E-Mail-Client versucht, die aktiv benötigte Datenmenge im Postfach möglichst klein zu halten, um einen schnelleren Zugriff auf aktuell benötigte Daten zu garantieren. Ältere Daten werden dabei auf das lokale Dateisystem ausgelagert. Der Archivierungsassistent wird nach einiger Zeit automatisch eingeblendet und der Benutzer nach seinen Wünschen in Bezug auf das Archiv befragt. Praktischer ist es jedoch, diese Regeln bereits über eine Gruppenrichtlinie für das gesamte Unternehmen durch den Administrator regeln zu lassen.
Informationsverlust durch "Datenlecks"
Wer über sichere E-Mail redet, wird schnell bei einer Diskussion darüber enden, auf welchen Wegen Informationen grundsätzlich eine Firma verlassen können. Dies ist ein Thema, das weit über die Sicherheit der zum Einsatz kommenden E-Mail-Anwendungen hinausgeht und häufig unter dem Begriff DLP für "Data Loss Prevention" behandelt wird.
Wie häufig sind sich dabei die verschiedenen Quellen und Hersteller nicht wirklich einig darüber, wofür die drei Buchstaben DLP genau stehen: Neben der Erklärung als "Data Leak Prevention" werden auch die Begriffe "Data Leakage Prevention" oder "Data Loss Prevention" als Erklärung verwendet. Einige Fachleute setzen dann diese Begriffe synonym ein, während andere einen Unterschied dahingehend machen, ob Daten mit Vorsatz entwendet werden (Data Loss) oder ob sie unbemerkt beziehungsweise versehentlich aus dem Firmennetz abhandenkommen (Data Leak).
Unter den vielen Kanälen, auf denen Informationen verloren gehen, die entscheidend für die Sicherheit und/oder den Geschäftserfolg eines Unternehmens sein können, nimmt die E-Mail eine besonders herausragende Stellung ein: Das reicht von der Nachricht, die unabsichtlich an den falschen Empfänger geschickt wird, bis zu der gerade in großen Firmen beliebte Unsitte, mittels "Reply-to-all" zu antworten - wobei schnell ein Empfänger auf die Liste gelangt, der diese eine Nachricht nicht erhalten durfte. Weitere Probleme entstehen schnell dadurch, dass Anwender ihre Nachrichten mit vertraulichen Informationen an ihre private Mail-Adresse weiterleiten, die sich vielleicht sogar bei einem Webmail-Anbieter befindet, ohne die daraus entstehenden Konsequenzen für die Sicherheit zu beachten.
Problematik ausgehender Mails
Sicherheitsprobleme treten aus vielerlei Gründen auf: Einer besteht darin, dass in vielen Unternehmen zwar die eingehende E-Mail sehr genau durch ein speziellen E-Mail-Sicherheitssystem untersucht wird, ausgehende Nachrichten aber weitgehend ungehindert das Firmennetzwerk verlassen können.
So können auch Anhänge, die eigentlich nur für den internen Gebrauch gedacht sind, schnell in falsche Hände gelangen. Selbst wenn der ausgehende E-Mail-Verkehr auf solche Probleme untersucht wird, benutzen die meisten Firmen den Port 80, um die Verbindung zum Internet zu gewährleisten. Das heißt aber auch, dass Mitarbeiter über diese Art der Verbindung einen Webmail-Account verwenden können, sodass auf diese Weise wiederum wichtige und sicherheitsrelevante Informationen unbemerkt das Unternehmen verlassen können.
Wer technische Lösung für derartige Probleme sucht, wird um die Einführung einer sogenannten "Deep Packet Inspection" (DPI) nicht umhinkommen: Im Idealfall wird eine solche Lösung dann an einem neuralgischen Punkt des Netzwerks alle Datenpakete untersuchen, ganz gleich, um welches Protokoll oder welche Art von Dateityp es sich handelt. Wenn dann die entsprechenden Dokumenten nach bestehenden Firmenrichtlinien als vertraulich gekennzeichnet sind, kann eine derartige Lösung im Rahmen vorher festgelegter Richtlinien ihren Versand wirkungsvoll unterbinden.
Bei diesem Punkt wird es sich häufig um die Firewall handeln, über die alle Netzwerkpakete in das Unternehmensnetz gelangen oder dieses wieder verlassen. Eine ganze Reihe von Anbietern für Sicherheitslösungen können entsprechende Produkte aus ihrem Portfolio anbieten.
Nur ein komplettes Konzept kann E-Mail-Sicherheit bieten
Wir konnten im Rahmen dieses Überblicks nur einige Hauptaspekte des Themas E-Mail-Sicherheit ein wenig ausführlicher betrachten. Dabei sollte aber deutlich geworden sein, dass es sicher sinnvoll und notwendig ist, Lösungen einzuführen, die beispielsweise vor Spam schützen oder eine Wiederherstellung verlorener Nachrichten erlauben.
Insgesamt sollten die Verantwortlichen aber die Sicherheit ihrer E-Mail-Lösungen als einen Prozess sehen, der nur dann richtig eingeführt und gepflegt werden kann, wenn die Endanwender mit ins Boot geholt werden und um die Gefahren wissen. Erst eine sinnvolle Kombination von technischen Lösungen, wie sie hier vorgestellt wurden, mit Firmenrichtlinien zur Sicherheit der E-Mail-Nachrichten und Schulungen für die Mitarbeiter, kann die Sicherheit dieses wichtigen Kommunikationskanals weitgehend gewährleisten. (mje)