FAQ zu E-Mail-Sicherheit
So sichern Sie Ihre E-Mails ab
Die Apologeten der neuen "sozialen MedienMedien" wie FacebookFacebook und Twitter verkünden zwar immer wieder, das Ende der E-Mail sei gekommen. Aber ebenso wenig, wie wir in absehbarer Zukunft das "papierlose Büro" erleben werden, werden E-Mails als gängiges Mittel zur Kommunikation über das Netz verschwinden. So kommen dann E-Mails jeden Tag an fast jedem Arbeitsplatz wie selbstverständlich zum Einsatz - so selbstverständlich, dass sich die Anwender häufig keine Gedanken mehr über die Sicherheit dieses Kommunikationskanals machen: Oder denken Sie beim Telefonieren immer daran, wie sicher die Übertragung ist? Alles zu Facebook auf CIO.de Top-Firmen der Branche Medien
Foto: Thomas Bär / Frank-Michael Schlede
Doch wer mit E-Mails arbeitet und sie intensiv nutzt, sollte auch über deren Sicherheit ebenso intensiv nachdenken. Wir haben in unserer FAQ einige wichtige Fragen, Antworten und Lösungen rund um das Thema "E-Mail sicher nutzen" zusammengestellt.
Wie sicher ist der Inhalt einer E-Mail?
Es wurde schon oft geschrieben und gesagt, aber viele Anwender scheinen es immer wieder zu vergessen: Der Inhalt einer E-Mail ist grundsätzlich nicht gesichert. Alles was ein Nutzer in einer E-Mail-Nachricht schreibt, geht im Klartext über die Verbindung. Deshalb wird eine solche Nachricht auch immer wieder gerne mit einer Postkarte verglichen: Auch die kann jeder lesen, der sie zufällig (oder absichtlich) in die Hand bekommt. Um Daten mitzulesen, die offen über eine Netzwerkverbindung gesendet werden, bedarf es zudem keiner großartigen "Hacker-Kenntnisse": Werkzeuge zur Netzwerküberwachung - sogenannte Sniffer - wie etwa das bekannte Wireshark oder auch der Microsoft Network Monitor erlauben das einfache Mitlesen der Nachrichten im Klartext.
Praxis-Tipp: Überlegen Sie immer gut, was Sie in einer Mail schreiben und überlegen sie, ob Sie diese Informationen auch einer Postkarte anvertrauen würden. Kreditkarten- und Bankkonto-Daten sowie ähnlich sensible Daten haben in einer normalen Mail nichts verloren!
- Im Klartext
Wie ein offenes Buch beziehungsweise wie eine Postkarte: Der Inhalt einer normalen E-Mail wird im Klartext über das Netz verschickt und kann mit Hilfe von Programmen wie hier dem Microsoft Network Monitor leicht mitgelesen werden. - GPG4win
Verschlüsselung bringt Sicherheit: Mit der Software GPG4win steht eine Lösung zur Verfügung, die unter anderem OpenPGP auch für Windows-Systeme bereitstellt. - OpenPGP
Ein grundlegendes Verständnis ist notwendig: Wer OpenPGP einsetzen will, muss sich mit den Grundprinzipen der Verschlüsselung vertraut machen. Hier hilft die Anwendung GPG4win dem Anwender durch entsprechende Hilfetexte. - Schlüsselpaare
Das kann ruhig im Klartext verschickt werden: Eine Nachricht, die mit Hilfe von GPG4win verschlüsselt wurde – nur der Empfänger der Nachricht (mit dessen öffentlichen Schlüssel diese geschützt wurde) kann sie dann wieder entschlüsseln. - Direkt eingebunden
Funktioniert leider nur bis Outlook 2007: GPG4win steht dem Anwender direkt im Mail-Programm zur Verfügung. - Enigmail für Thunderbird
Auch für Thunderbird existieren entsprechende Lösungen zur Verschlüsselung: Mit Hilfe der Erweiterung „Enigmail“ steht hier ebenfalls der Einsatz von OpenPGP direkt im Mail-Programm zur Verfügung. - Enigmail immer aktuell
Sehr komfortabel: Enigmail fügt sich auch bei der aktuellen Version 13 des Mozilla-Mailprogramms Thunderbird nahtlos ein und bietet dem Anwender die Möglichkeit, seine Nachrichten zu verschlüsseln. - Outlook-Sicherheit 1
Die entscheidende Einstellung bei Outlook (hier in der Version 2010): Im Sicherheitscenter kann der Nutzer festlegen, dass alle Nachrichten, die ihn erreichen, nur in reiner Textform dargestellt werden, was die Sicherheit deutlich erhöht. - Outlook-Sicherheit 2
Weitere, wichtige Sicherheitseinstellungen bei Microsoft Outlook (hier Version 2007): Durch diese Einstellungen kann der Anwender verhindern, dass ihm durch Links, die in einer E-Mail-Nachricht eingebettet wurden, ungewollt potenziell schädliche Bilder heruntergeladen werden. - Outlook-Sicherheit 3
Mit einem Klick rückgängig: Ist die Nachricht im Nur-Text-Format nur noch schlecht oder überhaupt nicht mehr zu lesen und kann man sich sicher sein, dass sie von einem vertrauenswürdigen Absender stammt, so kann sie mittels eines Klicks wieder im HTML-Format angezeigt werden. - Sophos Free Encryption
Ein einfachere Lösung für die Verschlüsselung: Das Programm Sophos Free Encryption bietet die Möglichkeit, Dateien einfach in einem verschlüsselten Container abzulegen, der dann per E-Mail verschickt werden kann. - No EXEcution!
Ein guter Tipp: So elegant es erscheint, die verschlüsselten Daten als selbst-extrahierende Datei zu versenden, sollte man dies nicht tun. Kaum ein Mail-Server wird heute noch Dateien mit der Ende „.exe“ annehmen oder weiterleiten. - Sicherer Transfer
Ein wichtige Grundregel beim Einsatz von Web-Mail-Anwendungen: Der Übertragungsweg muss immer verschlüsselt sein – wie hier bei Google-Mail mittels einer SSL-Verbindung. - MailStore Home
Eine gute Sicherungsstrategie gehört dazu: Wer sich nicht mit dem umständlichen Kopieren einzelner PST-Dateien abärgern will und zudem auch seine Web-Mail-Konten mitsichern möchte, kann dazu eine freie Lösung wie MailStore Home einsetzen. - Archivierung inklusive
Viel mehr als nur eine Sicherung und trägt zur Sicherheit bei: Dadurch, dass die für den privaten Gebrauch freie Lösung MailStore Home auch einen Index anlegt, werden die Nachrichten archiviert und lassen sich schnell wiederfinden. - Im Klartext
Wie ein offenes Buch beziehungsweise wie eine Postkarte: Der Inhalt einer normalen E-Mail wird im Klartext über das Netz verschickt und kann mit Hilfe von Programmen wie hier dem Microsoft Network Monitor leicht mitgelesen werden. - GPG4win
Verschlüsselung bringt Sicherheit: Mit der Software GPG4win steht eine Lösung zur Verfügung, die unter anderem OpenPGP auch für Windows-Systeme bereitstellt. - OpenPGP
Ein grundlegendes Verständnis ist notwendig: Wer OpenPGP einsetzen will, muss sich mit den Grundprinzipen der Verschlüsselung vertraut machen. Hier hilft die Anwendung GPG4win dem Anwender durch entsprechende Hilfetexte. - Schlüsselpaare
Das kann ruhig im Klartext verschickt werden: Eine Nachricht, die mit Hilfe von GPG4win verschlüsselt wurde – nur der Empfänger der Nachricht (mit dessen öffentlichen Schlüssel diese geschützt wurde) kann sie dann wieder entschlüsseln. - Direkt eingebunden
Funktioniert leider nur bis Outlook 2007: GPG4win steht dem Anwender direkt im Mail-Programm zur Verfügung. - Enigmail für Thunderbird
Auch für Thunderbird existieren entsprechende Lösungen zur Verschlüsselung: Mit Hilfe der Erweiterung „Enigmail“ steht hier ebenfalls der Einsatz von OpenPGP direkt im Mail-Programm zur Verfügung. - Enigmail immer aktuell
Sehr komfortabel: Enigmail fügt sich auch bei der aktuellen Version 13 des Mozilla-Mailprogramms Thunderbird nahtlos ein und bietet dem Anwender die Möglichkeit, seine Nachrichten zu verschlüsseln. - Outlook-Sicherheit 1
Die entscheidende Einstellung bei Outlook (hier in der Version 2010): Im Sicherheitscenter kann der Nutzer festlegen, dass alle Nachrichten, die ihn erreichen, nur in reiner Textform dargestellt werden, was die Sicherheit deutlich erhöht. - Outlook-Sicherheit 2
Weitere, wichtige Sicherheitseinstellungen bei Microsoft Outlook (hier Version 2007): Durch diese Einstellungen kann der Anwender verhindern, dass ihm durch Links, die in einer E-Mail-Nachricht eingebettet wurden, ungewollt potenziell schädliche Bilder heruntergeladen werden. - Outlook-Sicherheit 3
Mit einem Klick rückgängig: Ist die Nachricht im Nur-Text-Format nur noch schlecht oder überhaupt nicht mehr zu lesen und kann man sich sicher sein, dass sie von einem vertrauenswürdigen Absender stammt, so kann sie mittels eines Klicks wieder im HTML-Format angezeigt werden. - Sophos Free Encryption
Ein einfachere Lösung für die Verschlüsselung: Das Programm Sophos Free Encryption bietet die Möglichkeit, Dateien einfach in einem verschlüsselten Container abzulegen, der dann per E-Mail verschickt werden kann. - No EXEcution!
Ein guter Tipp: So elegant es erscheint, die verschlüsselten Daten als selbst-extrahierende Datei zu versenden, sollte man dies nicht tun. Kaum ein Mail-Server wird heute noch Dateien mit der Ende „.exe“ annehmen oder weiterleiten. - Sicherer Transfer
Ein wichtige Grundregel beim Einsatz von Web-Mail-Anwendungen: Der Übertragungsweg muss immer verschlüsselt sein – wie hier bei Google-Mail mittels einer SSL-Verbindung. - MailStore Home
Eine gute Sicherungsstrategie gehört dazu: Wer sich nicht mit dem umständlichen Kopieren einzelner PST-Dateien abärgern will und zudem auch seine Web-Mail-Konten mitsichern möchte, kann dazu eine freie Lösung wie MailStore Home einsetzen. - Archivierung inklusive
Viel mehr als nur eine Sicherung und trägt zur Sicherheit bei: Dadurch, dass die für den privaten Gebrauch freie Lösung MailStore Home auch einen Index anlegt, werden die Nachrichten archiviert und lassen sich schnell wiederfinden.
Reicht eine AV-Lösung auf dem System zum Schutz der E-Mail?
Es ist wohl selbstverständlich, dass heute kein System mehr ohne eine entsprechende Antivirus-Lösung betrieben werden sollte. Doch braucht sich ein Anwender keine Gedanken mehr um die Gefahren machen, die aus den E-Mail-Nachrichten drohen, wenn sein System mit einer solchen Sicherheitslösung geschützt ist? Ein großer Teil der Schadprogramme gelangt heute mittels einer E-Mail auf die Systeme und damit häufig auch in die NetzwerkeNetzwerke. Antivirus-Programme tragen dieser Entwicklung Rechnung und können häufig bereits auf dieser Ebene eingreifen. Aber gerade wenn eine der ansonsten sehr guten freien AV-Lösungen zum Einsatz kommt, kann es sein, dass diese nicht dezidiert die Nachrichten und - noch viel wichtiger - die diversen Anhänge durchsucht. Alles zu Netzwerke auf CIO.de
Einige Anbieter stellten diese Möglichkeiten erst mit den kommerziellen Versionen ihrer Antivirus-Lösungen zur Verfügung. Darum ist eine Antivirus-Software auch in Hinblick auf die Sicherheit der E-Mail nur ein Baustein in der Abwehr von Angriffen auf die Computersysteme. Auch die Gefahren, die beispielsweise durch den Einsatz von HTML-Nachrichten entstehen (wir gehen darauf in diesem Bericht noch detaillierter ein), können durch diese Programme nicht erkannt und bewältigt werden.