Der Zaubberer mit dem Hut in der großen weiten Welt

Dieser Eintrag könnte für einige Leute zu technisch werden, aber ich versuche so einfach wie möglich zu schreiben. Wer es nicht versteht - bitte nachfragen

Heute hat uns in der Firma ein Vertreter einer Firma besucht, der uns E-Mail-Verschlüsselung verkaufen wollte. Das war zumindest das große Thema. Ich war dabei, weil ich mich mit Verschlüsselung bzw. deren Anwendung bei Mailsystemen recht gut auskenne und auch oft zuhause nutze.
Unser Management war der Meinung dass unsere Emails "verschlüsselt" werden sollten. Nachfragen waren mangels Zeit bisher nicht notwendig, so hörten wir uns mal an was der Mensch uns zu sagen hatte.
Was er uns verkaufen will, ist ein System was eine Verschlüsselung von Mailserver zu Mailserver vorsieht. Deren System ist modular aufgebaut und man kann innerhalb ihres Systems die Mails entschlüsseln, Signaturen prüfen, Spam erkennen und ausfiltern, Attachements scannen und allgemein die eierlegende Wollmilchsau nutzen.
Das Prinzip klingt toll. Leider gibt es gerade in Firmen zwei Strömungen die nicht gut miteinander arbeiten können: Auf der einen Seite braucht man Mails zur Nachverfolgung von Prozessen, um Probleme nachvollziehen zu können und ähnliches; im Zweifelsfall muss ein Mitarbeiter ersetzt werden können und der Nachfolger soll alte Mails auch noch lesen können (bis auf die privaten Mails natürlich), andererseits möchte man entweder durch digitale Signaturen zeigen dass die Mail wirklich vom Absender stammt (Mails sind leicht fälschbar) und auich verhindern dass jeder die Mails lesen kann. Diese beiden Ziele kann man aber nur sehr schwer zusammenbringen.

Was wirkliche Sicherheit und Verlässlichkeit bringen würde ist eine Ende-zu-Ende Verschlüsselung. Dann kann nur der Empfänger der Mail lesen was der Sender geschickt hat und wenn dabei mit digitaler Unterschrift gearbeitet wird kann man sicher sein dass die Unterschrift wirklich von dem Mitarbieter stammt.
Der Nachteil dieser Lösung ist aber, dass zentral installierte Virens- und Content-Scanner (nicht zu Schweigen vom Spamfilter) nicht funktionieren können - sie können in die Mail ja nicht hineinschauen; diese ist ja verschlüsselt. Unsere Erfahrung ist dass auch auf den Arbeitsrechnern installierte Virenscanner nicht ganz so effektiv arbeiten; diese werden nicht immer so aktualisiert wie sie sollten. Das bedeutet gerade bei Vertriebsmitarbeitern oder im Management tatige Personen Probleme, da diese meistens mit Notebooks arbeiten und so potentiell Viren usw. ins Firmennetz einbringen können.

Das Produkt der Firma ist ein Verschlüsselungssystem was auf dem Mailserver selbst arbeitet. Der Mailserver entschlüsselt die Mail und checkt sie auf Viren/Spam und weiteres. Das bedeutet aber auch, dass die Mails nur zwischen den Mailservern verschlüsselt sind - zwischen dem Mailserver und dem Mailclient (Outlook, Lotus Notes) und dort wo die Mail gespeichert wird ist sie unverschlüsselt. Damit könnte man eventuell sogar leben.
Was aber ärgerlicher ist ist dass eine digitale Signatur mit diesem System nicht verlässlich ist. Nur der Mailserver selbst signiert; nicht der Mitarbeiter. Sobald man es also schafft dem Mailserver eine Mail "unterzujubeln" wird er diese Mail signieren - mit einem Firmen-Signaturzertifikat. Man kann sich also maximal darauf verlassen dass diese Mail aus dieser Firma stammt, aber nicht dass sie von dem einzelnen Mitarbeiter stammt. Der einzelne Mitarbeiter hat gar keinen Zugriff auf diesen Schlüssel, den Zugriff hat nur der Mailserver.

Für mich (als Sicherheitsmensch) ist diese Lösung zwar sehr Buzzword-fähig, aber echte Sicherheit wird damit nicht gestellt. Dann lieber das Thema Verschlüsselung ganz sein lassen. Mailverschlüsselung ist bei privater Nutzung sehr praktisch (ich selbst nutze GPG und mein Mailclient kann damit wunderbar umgehen); aber da habe ich meinen eigenen Schlüssel und ich weiss wie man damit umgeht. Dies in einer Firma zu integrieren die nicht voll von Geeks ist ist schwierig, da das ganze Thema der Email-Verschlüsselung und -Signatur doch recht komplex ist. In einer Firma müsste man eine PKI (Schlüssel-Infrastruktur) aufbauen und sowas ist sehr aufwendig. Diesen Aufwand wollen die meisten Fimen nicht machen.