Wirksame E-Mail-Verschlüsselung mit S/MIME

Secure/Multipurpose Internet Mail Extensions, kurz S/MIME, ist der Industriestandard zur Verschlüsselung mit öffentlichen Schlüsseln bei MIME-basierten Daten und ein von der IETF verfolgter Standard. Er ist seit 1995 auf dem Markt und inzwischen durch mehrere RFCs (3851, 3850, 3370 und 3369) definiert. Die Methode kann als relativ sicher betrachtet werden, bisher ist es jedenfalls nicht gelungen, diese Verschlüsselung zu knacken.

S/MIME in der Kürze

Das Verfahren funktioniert auf Basis der hybriden Verschlüsselung mit jeweils einem privaten und einem öffentlichen Schlüssel. Diese Art der Verschlüsselung dient dazu, die Integrität der Nachricht zu gewährleisten, authentifiziert Absender und Empfänger und schützt die Daten mittels kryptografischer Methoden. S/MIME umgibt den Datensatz mit einem Datenumschlag, der in einem PKCS7-MIME-Datensatz beim Verschlüsseln eingesetzt wird. Die digitale Signatur bildet sozusagen die Voraussetzung für den sicheren Austausch der Schlüssel und garantiert die sogenannte Unleugbarkeit der Nachricht. Die Mail bleibt dann zwar für alle sichtbar, sie bekommt aber eine kryptografische Signatur. Diese wird über den Text der jeweiligen Mail errechnet. Ist die Signatur beim Empfänger in Ordnung, ist auch der Inhalt nicht verändert worden.

Wie kompatibel ist M/MIME?

Beim Thema S/MIME-Standard tun sich grundsätzlich drei Problemfelder auf.

1. Shared Directories

Innerhalb einer Public-Key-Infrastruktur wird eine Nachricht mit dem öffentlichen Schlüssel verschlüsselt, und nur der Inhaber des zugehörigen privaten Schlüssels kann den Inhalt lesen. Nicht autorisierte Nutzer können also nicht auf ihn zugreifen. Um eine Nachricht in geeigneter Weise zu verschlüsseln, braucht der Sender den öffentlichen Schlüssel des Empfängers.

In der Microsoft-CA-Welt ist S/MIME mittlerweile ziemlich weit verbreitet. Alle öffentlichen Zertifikate werden in der Windows-Umgebung eines Unternehmens automatisch an das Active Directory gepostet. Die Mitarbeiter können auf dieser Basis E-Mails austauschen, ohne dass sie erst die öffentlichen Schlüssel über eine digital signierte Mail wechseln müssen.

Tricky wird die ganze Sache unter Umständen, wenn in einem typischen B2B-Umfeld verschlüsselte Nachrichten außerhalb des Firmennetzwerks ausgetauscht werden müssen und das Unternehmens-Directory nicht mehr greift. Tauscht man also in diesem Szenario erstmalig E-Mails aus, müssen die Nutzer digital signierte Mails wechseln, um dann anschließend verschlüsseln zu können. Gibt es gemeinsam genutzte und öffentlich zugängliche Archive für S/MIME-Zertifikate, entfällt diese Anforderung, was den Verschlüsselungsprozess vereinfacht.

2. Kompatibilität und Interoperabilität

In der praktischen Anwendung kann es passieren, dass die verwendeten unterschiedlichen E-Mail-Clients beim Verschlüsseln mit S/MIME nicht kompatibel zueinander sind oder man erst die entsprechenden Einstellungen vornehmen muss. Am häufigsten ruckelt es in der praktischen Anwendung wenn Browser-basierte Lösungen wie gmail oder Hotmail verwendet werden. In den vergangenen Jahren sind Unternehmen immer mehr dazu übergegangen Cloud-basierte E-Mail-Lösungen, besonders Google, verstärkt einzusetzen. Allerdings: Solche Webmail-Clients unterstützen digitale Signaturen und Verschlüsselung nicht immer nativ. Das daraus entstehende Problem haben einige Firmen bereits erkannt, und sie versuchen, die Lücke zu schließen. Trotzdem sind solche Lösungen nicht überall einsetzbar, und man muss noch einige weitere Faktoren bedenken:

• Es entstehen zusätzliche Kosten.

• Man muss ein Plug-In installieren - das geht in einer Unternehmensinfrastruktur nur mithilfe der IT-Abteilung, die sich jeden einzelnen Desktop-Client vornehmen muss.

• Und auch hier gibt es Kompatibilitätsprobleme mit den unterschiedlichen Browsern.

Eine Möglichkeit, E-Mail-Kommunikation über Webmail zu verschlüsseln, ohne ein zusätzliches Plug-In zu installieren, wäre es die privaten Schlüssel der Nutzer auf den Servern der Provider vorzuhalten. Das ist nicht nur praktisch unmöglich, sondern auch höchst unsicher.

3. Praktische Verwendung

Abhängig von der E-Mail-Lösung, die ein Endbenutzer einsetzt, tauchen nicht selten Probleme auf, die sich nur mit einem gewissen technischen Spezialwissen lösen lassen. Selbst die meistverwendeten E-Mail-Systeme funktionieren in puncto Verschlüsselung längst nicht intuitiv.

Der Bedarf, die E-Mail-Kommunikation zu verschlüsseln, ist im vergangenen Jahr insbesondere in Deutschland stetig angewachsen. Genauso hartnäckig hält sich die Einschätzung - und zwar sowohl bei IT-Managern als auch beim Endanwender -, dass die Sache mit dem Verschlüsseln komplex bis kompliziert ist.