Netz-Experte Jörg Schieb: Auch E-Mails können sicher sein

Bild 1 vergrößern +

De-Mail macht Mails sicherer

Die meisten E-Mails werden vollkommen ungeschützt verschickt. Auf dem Weg vom Absender zum Empfänger kann sie theoretisch jeder mitlesen. Die Absenderangabe lässt sich mit wenig Aufwand ändern oder manipulieren, dazu sind nicht mal technische Tricks erforderlich. Dasselbe gilt für den Inhalt der E-Mail: Auch der kann jederzeit verändert werden, ohne dass Absender oder Empfänger davon etwas bemerken. Was tun?

Bislang werden E-Mails praktisch nie geschützt

Obwohl die E-Mail sich zum mit Abstand wichtigsten Kommunikationsmittel gemausert hat, wird wenig Aufwand betrieben, sie sicherer zu machen. Sieht man mal von der Initiative De-Mail ab: Seit kurzem kann jeder Deutsche ein De-Mail-Konto eröffnen und rechtsverbindliche E-Mails mit Behörden, Banken oder Anbietern austauschen. Die E-Mails sind fälschungssicher. Allerdings ist dieser Service von einer Einführungsphase abgesehen kostenpflichtig – und auch nicht sonderlich weit verbreitet.

Doch E-Mails lassen sich auch so mit relativ geringem Aufwand verschlüsseln. Niemand kann sie dann mitlesen. Auch das Absichern des Inhalts ist möglich: Der Empfänger kann so leicht überprüfen, ob der Absender stimmt und ob die E-Mail unversehrt bei ihm angekommen ist. Jeder kann diese Verfahren nutzen – und das sogar kostenlos.

Schlüsselpaar bringt Sicherheit: Aufschließen und Abschließen

Bild 2 vergrößern +

Das Prinzip Ver- und Entschlüsseln von Daten

Bei diesen Schutzverfahren bekommt jeder User einen Schlüssel. Oder besser: ein Schlüsselpaar. Den öffentlichen Schlüssel (Public Key) darf jeder kennen, er kann öffentlich verteilt werden. Mit dem privaten Schlüssel (Private Key) muss man vorsichtig sein: Der bleibt geheim, damit werden die eigenen E-Mails unterschrieben (signiert). Der Empfänger einer so geschützten E-Mail kann die Authentizität der Nachricht mit dem öffentlichen Schlüssel überprüfen.

Alles eigentlich keine Hexerei, vor allem, weil die Software die nötigen Dinge im Hintergrund selbst erledigt. Trotzdem ist das Ganze mit etwas Aufwand verbunden: Man muss erst mal die nötige Software installieren, Schlüssel organisieren und auch dafür sorgen, dass die Partner der E-Mail-Kommunikation ebenso ausgestattet sind – anderenfalls macht der Schutz keinen Sinn und verschlüsselte E-Mails bleiben ein geheimnisvoller, unlesbarer Zeichensalat.

Am weitesten verbreitet: Pretty Good Privacy und OpenPGP

Kostenlos erhältliche Software gpg4win

PGP (Pretty Good Privacy) und S/MIME nennen sich die Verfahren, die einen solchen Schutz bieten. Der am weitesten verbreitete Standard zum Verschlüsseln und Signieren ist OpenPGP. Hier kann sich jeder kostenlos mit Schlüsseln versorgen. Allerdings braucht man auch noch Software, die idealerweise mit der eigenen E-Mail-Software kooperiert. Zum Beispiel ein Programm wie das kostenlos erhältliche Gpg4win. Die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) in Auftrag gegebene Software soll den Einstieg in die Welt der sicheren E-Mails ermöglichen. Allerdings funktioniert die Kooperation mit E-Mail-Programmen wie Outlook oder Thunderbird nur leidlich oder gar nicht. Da ist Frust programmiert. Besser ist es daher, für die auf dem PC verwendete E-Mail-Software (Outlook, Mail, Thunderbird) die passenden Plugins zu laden, um PGP dort zu aktivieren.

Wer auf einem Smartphone oder Tablet E-Mails signieren oder verschlüsseln will, hat es richtig schwer: Hier existieren mitunter nur Apps, um signierte E-Mails zu überprüfen, aber keine, um selbst E-Mails sicher zu verschicken. Die Anbieter nehmen das Thema einfach nicht ernst genug, das gilt für Apple, Google und Microsoft gleichermaßen – und ist auch beklagenswert, da mehr Sicherheit im E-Mail-Verkehr im Interesse aller wäre.

Mehr Vertrauen durch Zertifikat

Eine Alternative ist das digitale Beglaubigen von E-Mails mit einem Zertifikat. Der Absender lässt sich von einem angesehenen Anbieter ein Zertifikat ausstellen und hängt dieses digitale Zertifikat der E-Mail an. Der Empfänger kann mit wenig Aufwand überprüfen, ob das Zertifikat in Ordnung ist und damit zumindest den Absender leicht überprüfen. Das erledigt in der Regel die E-Mail-Software, hier ist kein zusätzlicher Aufwand nötig.

Beim Versenden von E-Mails wird das Zertifikat automatisch genutzt – eine bequeme Methode, E-Mails sicher zu verschicken. Die nötige Vorgehensweise hängt jedoch vom jeweiligen Betriebssystem und E-Mail-Client ab, lässt sich mit etwas Einsatz aber durchaus bewerkstelligen. Wünschenswert wäre es natürlich, wenn Softwareanbieter und auch Onlinedienste mehr auf das wichtige Thema achten und die User besser an die Hand nehmen würden.

Über den Autor

Jörg Schieb ist der Computerexperte und Netzkenner der ARD und setzt schon seit Jahren Pretty Good Privacy (PGP) ein, um vertrauliche E-Mails abzusichern. Allerdings eher selten, denn nur Wenige sind bereit, denselben Aufwand zu betreiben - und nur dann klappt es.