Was ist eine E-Mail-Verschlüsselung?
Bei der Verschlüsselung einer E-Mail wandeln festgelegte technische Regeln die Wörter und Informationen in einen Code um, den nur die Empfängerin oder der Empfänger dechiffrieren kann. So gelangen die Inhalte einer E-Mail nicht an unbefugte Personen.
Eine unverschlüsselte Mail ist mit einem Brief vergleichbar, der in einem durchsichtigen Umschlag liegt. Jede Person, die das Kuvert in den Händen hält, kann auch den Inhalt lesen. Das Prinzip hinter der E-Mail-Verschlüsselung lässt sich mit einem sicheren Umschlag vergleichen, den ausschließlich die empfangene Person öffnen kann.
Verschlüsselungsverfahren
Es gibt zwei Wege, eine E-Mail zu verschlüsseln: Die Transportverschlüsselung und die Ende-zu-Ende-Verschlüsselung. Transportverschlüsselte E-Mails sind nur während ihrer Übertragung geschützt. Die Ende-zu-Ende-Verschlüsselung gewährleistet, dass E-Mails durchgehend verschlüsselt bleiben. Das macht die Methode sicherer, aber auch aufwendiger.
Um beim bildlichen Beispiel zu bleiben: Eine transportverschlüsselte E-Mail gleicht einem Brief, der auf einem sicher verschlossenen Lkw liegt und während der Fahrt von niemandem gelesen werden kann. Eine Ende-zu-Ende-verschlüsselte E-Mail lässt sich mit einem Brief vergleichen, dessen Umschlag ein Schloss hat. Den Schlüssel dafür besitzen nur die sendende und empfangende Person. Selbst wenn dieser Brief beim Transport abgefangen wird, lässt er sich nicht öffnen.
1. Transportverschlüsselung: E-Mail verschlüsseln mit TLS
Die Transportverschlüsselung, auch Transport Layer Security oder kurz TLS, schützt Daten auf ihrem Weg durch das Internet, genauer während ihrer Übertragung zwischen sendender Person und E-Mail-Server oder zwischen verschiedenen Servern: Der SMTP-Server (Simple Mail Transfer Protocol) ist für das Senden von E-Mails verantwortlich ist. Über den IMAP/POP3-Server (Internet Message Access Protocol/Post Office Protocol) läuft der Empfang von E-Mails. Die Encodierung erfolgt bei der Transportverschlüsselung automatisch zwischen den E-Mail-Clients (zum Beispiel Outlook oder Thunderbird) und E-Mail-Servern:
- Die E-Mail wird vom E-Mail-Programm verschlüsselt und gesendet.
- Der SMTP-Server leitet die Inhalte weiter. An sogenannten Knotenpunkten, wo eine Übergabe der Nachricht zwischen zwei E-Mail-Servern stattfindet, liegt die E-Mail allerdings unverschlüsselt als Klartext vor.
- Die Mail bleibt während der Übertragung zwischen den SMTP-Servern verschlüsselt.
- Der SMTP-Server des Empfängers leitet die E-Mail an den IMAP/POP3-Server des Empfängers weiter.
- Die E-Mail landet im Postfach der Empfängerin oder des Empfängers, wo sie der E-Mail-Client entschlüsselt.
Der Vorteil: Es entsteht kein Aufwand für die Benutzenden. Die Verschlüsselung läuft unsichtbar im Hintergrund ab.
2. Ende-zu-Ende-Verschlüsselung: Sicherer Versand mit PGP und S/MIME
Bei der Ende-zu-Ende-Methode, auch als E2EE bezeichnet, erfolgt die Verschlüsselung auf dem Gerät des Absendenden. Die E-Mails bleiben verschlüsselt, bis sie den Empfänger oder die Empfängerin erreichen. Weder Serverinhabende noch Anbieter des E-Mail-Dienstes haben Zugriff auf die unverschlüsselten Daten. So sind die Informationen auch im Falle eines Hacking-Angriffs auf den E-Mail-Server geschützt. Die Ende-zu-Ende-Verschlüsselung bietet daher ein höheres Maß an Sicherheit als die TLS.
PGP-Verschlüsselung und S/MIME sind Standards für die Ende-zu-Ende-Verschlüsselung. Sie ermöglichen es, E-Mails zu verschlüsseln, sodass nur eine beabsichtigte Person sie entschlüsseln kann:
- PGP (Pretty Good Privacy) ist für die persönliche Kommunikation gedacht und bietet eine breite Palette von Funktionen.
- S/MIME nutzen besonders häufig Unternehmen. Es verwendet eine Zertifikatsinfrastruktur, um die Identität der Kommunikationspartner zu überprüfen.
Beide Verschlüsselungsverfahren bieten eine hohe Sicherheit für den Austausch vertraulicher Informationen. Anders als bei der Transportverschlüsselung müssen Benutzende, bei der Ende-zu-Ende-Verschlüsselung selbst aktiv werden und bestimmte Schritte unternehmen, um die Verschlüsselung einzurichten und zu nutzen, was wie folgt beschrieben wird.
E-Mail verschlüsselt senden: So geht’s
Ob PGP und S/MIME – wer eine E-Mail verschlüsseln möchte, benötigt einen öffentlichen und einen privaten Schlüssel. Die Absenderin oder der Absender verschlüsselt die E-Mail mit dem öffentlichen Schlüssel der Empfängerin oder des Empfängers. Anschließend erfolgt die verschlüsselte Übertragung der E-Mail. Der Empfänger oder die Empfängerin nutzt anschließend den privaten Schlüssel, um die Nachricht zu entschlüsseln.
Bei der Ende-zu-Ende-Methode mit PGP erstellen die Nutzenden ein Schlüsselpaar. Diese öffentlichen und privaten Schlüssel erhalten sie beispielsweise mit der PGP-Software GnuPG.
Bei Verwendung von S/MIME bekommen Versendende das Schlüsselpaar von einer Zertifizierungsstelle (Certification Authority, kurz: CA), die digitale Zertifikate ausstellt.
Der öffentliche Schlüssel erreicht die empfangende Person via:
- Upload auf einem Schlüsselserver
- Versand einer E-Mail
- Bereitstellung auf einer Website
Der private Schlüssel wird hingegen auf dem eigenen Gerät gespeichert. Er darf nicht an Dritte weitergegeben werden und ist nötig, um eine verschlüsselte E-Mail zu öffnen
Sicherheit geht vor: E-Mail verschlüsseln nach DSGVO
Wer E-Mails unverschlüsselt versendet, macht es Hackern leicht, die Inhalte ungefiltert abzufangen, mitzulesen und zu missbrauchen. Insbesondere Unternehmen und Organisationen sind angehalten, Daten sicher zu verarbeiten.
Die europäische Datenschutz-Grundverordnung, kurz DSGVO, legt strenge Anforderungen an den Schutz personenbezogener Daten fest. In der elektronischen Kommunikation spielt die E-Mail-Verschlüsselung eine wichtige Rolle: Sie ist eine von zahlreichen technischen Maßnahmen, um die Vertraulichkeit sensibler Informationen zu gewährleisten.
STRATO engagiert sich für die Sicherheit und DSGVO-Konformität von E-Mail-Diensten. Deshalb ist STRATO Mitglied der Initiative „E-Mail made in Germany“ (EMiG), die 2013 ins Leben gerufen wurde, um den E-Mail-Austausch in Deutschland sicherer zu gestalten. Alle Teilnehmenden der Initiative werden vom TÜV Rheinland geprüft und zertifiziert.
