E-Mail-Verschlüsselung Wie sicher muss Sicherheit sein?

Autor / Redakteur: Max Sperber / Stephan Augsten

Bundesinnenminister Thomas de Mazière (CDU) spricht sich für einen differenzierteren Umgang mit dem Begriff Sicherheit in der IT aus. Ist dieser Vorstoß sinnvoll birgt er mehr Risiken als potenziellen Nutzen? Die aktuelle Entwicklung im Bereich E-Mail-Verschlüsselung deutet jedenfalls auf eine andere Entwicklung hin.

Firmen zum Thema

Im Idealfall geschieht die Verschlüsselung einer E-Mail im Hintergrund, ohne dass der Anwender in der Nutzungserfahrung eingeschränkt wird.
Im Idealfall geschieht die Verschlüsselung einer E-Mail im Hintergrund, ohne dass der Anwender in der Nutzungserfahrung eingeschränkt wird.
(Bild: Archiv)

„Dass ein Panzer sicherer ist als ein Cabrio, das wissen wir. Dass wir ein Tagebuch anders verschließen als einen Einkaufszettel, wissen wir auch. Hier können wir mit einem gestuften Sicherheitsbegriff umgehen.“ Mit dieser Analogie leitete Thomas de Maizière seinen Vorstoß ein, man solle im Zusammenhang mit Cybersicherheit nicht nur zwischen unsicher und sicher unterscheiden. Vielmehr bedarf es seiner Meinung nach einer Abstufung im Wirkungsgrad.

Ein differenzierterer Umgang mit der Thematik biete Chancen, das Vertrauen auf Kundenseite zu stärken, so der Minister auf einer Veranstaltung zum Thema IT-Sicherheit in Darmstadt, auf der auch Bundesforschungsministerin Johanna Wanka (CDU) vertreten war. Denkt man die Forderung des Unionspolitikers weiter, stellt sich die Frage: Wie sicher muss IT-Sicherheit eigentlich sein?

Ende-zu-Ende-Verschlüsselung ist Pflicht

Das Problemfeld E-Mail-Verschlüsselung war in Darmstadt eines der bestimmenden Themen. Das geeignete Sicherheitsniveau bei verschlüsselten E-Mails hängt im Wesentlichen davon ab, ob die Nachricht im geschäftlichen, oder im privaten Bereich versendet wird und wie sensibel der Inhalt ist.

Naturgemäß existieren deutlich mehr Lösungen für den professionellen Gebrauch, da die E-Mail mit großem Abstand das am häufigsten genutzte Kommunikationsmittel in Unternehmen darstellt. Ob man seine privaten E-Mails verschlüsseln will, muss ohnehin jeder selbst für sich entscheiden.

Das Hauptargument de Maizières für eine Abstufung des Sicherheitsbegriffs lautet, dass man im Sektor IT-Security nie hundertprozentige Sicherheit garantieren kann, was absolut richtig ist. Was E-Mail-Verschlüsselung angeht, lässt sich aber festhalten: Eine vertrauenswürdige Lösung muss zwingend Ende-zu-Ende-Verschlüsselung bieten (E2E).

In Kombination mit ausreichender Schlüssellänge bei den verwendeten Kryptoverfahren – die meisten setzen hier auf den Advanced Encryption Standard mit 256 Bit und RSA-Verschlüsselung mit 4096 Bit – bietet diese Form der Verschlüsselung zuverlässigen Schutz vor ungewollten Zugriffen.

Dabei werden sowohl der Inhalt einer Nachricht als auch angehängte Dateien schon vor dem Transfer auf dem Gerät des Senders verschlüsselt und erst beim Empfänger wieder in Klartext umgewandelt und liegen somit nicht unverschlüsselt auf dem Server vor. Selbst mit modernen Supercomputern würde das Umwandeln in Klartext Jahrzehnte dauern.

Flexibilität dank Sicherheitsstufen

Ende-zu-Ende-Verschlüsselung muss mit einem seriösen Tool zwingend möglich sein. Erfahrungen aus der Praxis aber zeigen, dass sich User teilweise gezielt gegen E2E entscheiden, obwohl die Lösung ihrer Wahl diese Technologie ermöglichen würde. Sie nehmen also absichtlich weniger Sicherheit in Kauf.

Bei vielen aktuellen Lösungen kann der Nutzer zwischen verschiedenen Levels der Verschlüsselung wählen, die oft als Sicherheitsstufen bezeichneten werden. Diese kommen de Maizières Forderungen also ziemlich nahe. Aber warum sollte man, um den Duktus des Ministers aufzugreifen, einen Panzer freiwillig gegen ein Cabrio eintauschen, obwohl man sich um die eigene Sicherheit sorgt?

Die Antwort lautet: Weil man nicht immer durch Kriegsgebiet fährt. Sicherheitsstufen bieten Firmen mehr Flexibilität, die sich darin äußert, dass Verschlüsselungen, die kein E2E bieten, schneller von der Hand gehen. So kann je nach Verwendungszweck auch eine reine Transportverschlüsselung ausreichenden Schutz bieten.

Wählt man diese niedrigeren Sicherheitsstufen, wird in der Regel nur der E-Mail-Anhang verschlüsselt, nicht die Nachricht an sich. Der Empfänger erhält dann einen sicheren SSL-Downloadlink. Optional kann zusätzlich zu dem Link beispielsweise eine Authentifizierung mittels Passwort verlangt werden. Unternehmen verwenden die niedrigeren Schutzmechanismen gerne zur internen Kommunikation, vor allem wenn Dateien ausgetauscht werden sollen.

Individuelle Regeln für Abteilungen

Der Einsatz von Sicherheitsstufen bietet besonders dann einen Mehrwert für Unternehmen, wenn man auf diese Weise feste Regeln für einzelne Abteilungen festlegt. Beispielsweise kann der Administrator bestimmen, dass die Personalabteilung ausschließlich Ende-zu-Ende-verschlüsselte Mails schreiben darf, weil der Umgang mit sensiblen Personendaten hier an der Tagesordnung ist.

So kann man sich wirkungsvoll absichern und Datenschutzrichtlinien konsequent einhalten. Besonders hoch sollten die Vorsichtsmaßnahmen insbesondere auch bei allen Mitarbeitern gewählt werden, die in Kontakt mit neuen Produkten, Businessplänen und sonstigem Intellectual Property stehen.

Automatische Verschlüsselung ohne Kompromisse

Kritische Stimmen werden zu Recht einwenden, dass nur durchgehende Ende-zu-Ende-Verschlüsselung maximalen Schutz bietet. Genau in diese Richtung entwickeln sich gute Software-Lösungen momentan. Die Kunst liegt nicht mehr nur darin, die Verschlüsselung möglichst sicher zu machen. Denn wie eingangs erwähnt bietet State-of-the-Art Kryptographie ein ausreichendes Sicherheitsniveau.

Vielmehr besteht die Herausforderung momentan darin, E2E möglichst leicht und alltagstauglich zu machen, um den Komfort für den Nutzer zu erhöhen – etwa durch automatisierten Schlüsselaustausch. Denn der bereitet erfahrungsgemäß die größten Schwierigkeiten.

Im Ideallfall wird die Nutzung von E2E-Verschlüsselung im Alltag so vereinfacht, dass man sie fast nicht mehr bemerkt. Die sicherste Form der Verschlüsselung kommt dann standardmäßig zum Einsatz. In Zukunft wird es also Panzer geben, die so schnell und wendig sind wie ein Cabrio und den Komfort einer Limousine bieten – zumindest im Bereich Kryptographie.

Um die eingangs gestellte Frage, wie sicher Sicherheit denn nun sein muss, zu beantworten: Im Bereich Verschlüsselung existieren genug Lösungen, die ein akzeptables Maß an Sicherheit bieten. Bei der Auswahl eines Herstellers sollte man deshalb nicht zuletzt auf Alltagstauglichkeit und Usability achten. Denn diese Faktoren sind ausschlaggebend für die tatsächliche Nutzung durch das anfälligste Glied der Kette, den Nutzer.

Über den Autor

Max Sperber ist freier Journalist für Printmedien wie die Süddeutsche Zeitung. Außerdem arbeitet er beim Münchner Software-Hersteller FTAPI im PR-Bereich und betreut die Social-Media-Accounts des Unternehmens.

(ID:43574707)