Verschlüsselung in Firmen

Dieser Eintrag könnte für einige Leute zu technisch werden, aber ich versuche so einfach wie möglich zu schreiben. Wer es nicht versteht - bitte nachfragen :-)

Heute hat uns in der Firma ein Vertreter einer Firma besucht, der uns E-Mail-Verschlüsselung verkaufen wollte. Das war zumindest das große Thema. Ich war dabei, weil ich mich mit Verschlüsselung bzw. deren Anwendung bei Mailsystemen recht gut auskenne und auch oft zuhause nutze.
Unser Management war der Meinung dass unsere Emails "verschlüsselt" werden sollten. Nachfragen waren mangels Zeit bisher nicht notwendig, so hörten wir uns mal an was der Mensch uns zu sagen hatte.
Was er uns verkaufen will, ist ein System was eine Verschlüsselung von Mailserver zu Mailserver vorsieht. Deren System ist modular aufgebaut und man kann innerhalb ihres Systems die Mails entschlüsseln, Signaturen prüfen, Spam erkennen und ausfiltern, Attachements scannen und allgemein die eierlegende Wollmilchsau nutzen.
Das Prinzip klingt toll. Leider gibt es gerade in Firmen zwei Strömungen die nicht gut miteinander arbeiten können: Auf der einen Seite braucht man Mails zur Nachverfolgung von Prozessen, um Probleme nachvollziehen zu können und ähnliches; im Zweifelsfall muss ein Mitarbeiter ersetzt werden können und der Nachfolger soll alte Mails auch noch lesen können (bis auf die privaten Mails natürlich), andererseits möchte man entweder durch digitale Signaturen zeigen dass die Mail wirklich vom Absender stammt (Mails sind leicht fälschbar) und auich verhindern dass jeder die Mails lesen kann. Diese beiden Ziele kann man aber nur sehr schwer zusammenbringen.

Was wirkliche Sicherheit und Verlässlichkeit bringen würde ist eine Ende-zu-Ende Verschlüsselung. Dann kann nur der Empfänger der Mail lesen was der Sender geschickt hat und wenn dabei mit digitaler Unterschrift gearbeitet wird kann man sicher sein dass die Unterschrift wirklich von dem Mitarbieter stammt.
Der Nachteil dieser Lösung ist aber, dass zentral installierte Virens- und Content-Scanner (nicht zu Schweigen vom Spamfilter) nicht funktionieren können - sie können in die Mail ja nicht hineinschauen; diese ist ja verschlüsselt. Unsere Erfahrung ist dass auch auf den Arbeitsrechnern installierte Virenscanner nicht ganz so effektiv arbeiten; diese werden nicht immer so aktualisiert wie sie sollten. Das bedeutet gerade bei Vertriebsmitarbeitern oder im Management tatige Personen Probleme, da diese meistens mit Notebooks arbeiten und so potentiell Viren usw. ins Firmennetz einbringen können.

Das Produkt der Firma ist ein Verschlüsselungssystem was auf dem Mailserver selbst arbeitet. Der Mailserver entschlüsselt die Mail und checkt sie auf Viren/Spam und weiteres. Das bedeutet aber auch, dass die Mails nur zwischen den Mailservern verschlüsselt sind - zwischen dem Mailserver und dem Mailclient (Outlook, Lotus Notes) und dort wo die Mail gespeichert wird ist sie unverschlüsselt. Damit könnte man eventuell sogar leben.
Was aber ärgerlicher ist ist dass eine digitale Signatur mit diesem System nicht verlässlich ist. Nur der Mailserver selbst signiert; nicht der Mitarbeiter. Sobald man es also schafft dem Mailserver eine Mail "unterzujubeln" wird er diese Mail signieren - mit einem Firmen-Signaturzertifikat. Man kann sich also maximal darauf verlassen dass diese Mail aus dieser Firma stammt, aber nicht dass sie von dem einzelnen Mitarbeiter stammt. Der einzelne Mitarbeiter hat gar keinen Zugriff auf diesen Schlüssel, den Zugriff hat nur der Mailserver.

Für mich (als Sicherheitsmensch) ist diese Lösung zwar sehr Buzzword-fähig, aber echte Sicherheit wird damit nicht gestellt. Dann lieber das Thema Verschlüsselung ganz sein lassen. Mailverschlüsselung ist bei privater Nutzung sehr praktisch (ich selbst nutze GPG und mein Mailclient kann damit wunderbar umgehen); aber da habe ich meinen eigenen Schlüssel und ich weiss wie man damit umgeht. Dies in einer Firma zu integrieren die nicht voll von Geeks ist ist schwierig, da das ganze Thema der Email-Verschlüsselung und -Signatur doch recht komplex ist. In einer Firma müsste man eine PKI (Schlüssel-Infrastruktur) aufbauen und sowas ist sehr aufwendig. Diesen Aufwand wollen die meisten Fimen nicht machen.
Vote for articles fresher than 7 days!
Derzeitige Beurteilung: none, 0 Stimme(n) 254 hits

Trackbacks

Trackback specific URI for this entry

This link is not meant to be clicked. It contains the trackback URI for this entry. You can use this URI to send ping- & trackbacks from your own blog to this entry. To copy the link, right click and select "Copy Shortcut" in Internet Explorer or "Copy Link Location" in Mozilla.

No Trackbacks

Comments

Display comments as Linear | Threaded

-thh on :

Was spricht dagegen, die Signatur auf dem Arbeitsplatz vorzunehmen, die Verschlüsselung aber erst auf dem Server/Gateway?

Oder, wenn es darum geht, daß die Signatur nur durch einen zentralen, "gesichert" (soweit das auf einem Server möglich ist) aufbewahrten Schlüssel erfolgen soll, was spräche dagegen, daß der Mitarbeiter die Mail mit seinem individuellen Key signiert und der Server diese Signatur prüft und dann - wenn sie gültig ist - gegen die Firmensignatur austauscht?

Genauso könnte auch die Verschlüsselung zwischen Arbeitsplatz und Endgerät funktionieren: die Mail wird vom Mitarbeiter mit dem Public-Key des Mailservers verschlüsselt und mit dem Secret Key des Mitarbeiters signiert - der Server dechiffriert und prüft und entfernt die Signatur, signiert neu und verschlüsselt an die Public Keys der Empfänger. Eingehend ähnlich: der Server dechiffriert, läßt die Signatur unangetastet und verschlüsselt neu an den Key des Empfängers (und ggf. den Firmenzweitschlüssel - ADK).

Klar, das ist sicher Aufwand - aber es wäre doch ein Konzept. ODer übersehe ich etwas?

Rince on :

Prinzipiell klingt es nach einem interessanten Konzept. Daran wird nur scheitern dass die Zielgruppe (Management) das nicht versteht und auch den Mehraufwand auf ihrer Seite (für Verschlüsselung) nicht machen wird...

Add Comment

Enclosing asterisks marks text as bold (*word*), underscore are made via _word_.
Standard emoticons like :-) and ;-) are converted to images.
E-Mail addresses will not be displayed and will only be used for E-Mail notifications.

To prevent automated Bots from commentspamming, please enter the string you see in the image below in the appropriate input box. Your comment will only be submitted if the strings match. Please ensure that your browser supports and accepts cookies, or your comment cannot be verified correctly.
CAPTCHA