Was ist E-Mail-Verschlüsselung?

Wenn Sie möchten, dass die Informationen in E-Mails vom Absender bis zum Postfach des Empfängers sicher sind, benötigen Sie eine E-Mail-Verschlüsselung. Sie stellt sicher, dass die Inhalte der E-Mail während der Übertragung nicht von Dritten mitgelesen, oder gar verändert werden können.

Sobald Sie sich jedoch mit dem Thema »Verschlüsseln von E-Mails« befassen, sehen Sie sich unmittelbar mit Begrifflichkeiten wie »privater Schlüssel«, »öffentlicher Schlüssel«, »Zertifikate«, »Signierung«, »S/MIME«, »PGP«, »Widerrufszertifikat« und vielen mehr konfrontiert. Haben Sie diese Begriffe einst verinnerlicht und den aufwendigen Weg der Implementierung herkömmlicher E-Mail-Verschlüsselungsmethoden erfolgreich gemeistert, werden Sie sich vermutlich direkt auf die Suche nach alternativen Methoden zur Verschlüsselung von E-Mails begeben.

Anwenderfreundliche Lösung für E-Mail-Verschlüsselung

Wir haben dieses Problem erkannt und von Beginn an eine Lösung konzipiert, die einen anderen Weg geht, der ohne diese Komplexität auskommt. Unser Add-In ermöglicht es, ohne die Installationen von Software auf Client-Seite, ohne den Austausch von Zertifikaten, ohne die Anlage von Benutzerkonten und auch ohne Vorkenntnisse ad-hoc bidirektional zu kommunizieren.

Cryptshare stellt so eine interessante Alternative zu herkömmlichen E-Mail Verschlüsselungslösungen dar und ist konsequent auf Benutzerfreundlichkeit ausgelegt, was zu sehr hoher Benutzerakzeptanz führt.

E-Mail ist unsicher und für jedermann lesbar

Dieses Video vergleicht E-Mail mit einer Postkarte.
Sie werden erstaunt sein, wie viele Gemeinsamkeiten es gibt:

1. E-Mail ist ein günstiges Medium
2. Kann während des Transports von jedem mitgelesen werden
3. Die beinhalteten Informationen können verändert werden
4. Das Medium bietet nur begrenzten Platz für Anhänge
5. Dem Empfänger bleibt verborgen, welche Stationen eine E-Mail durchläuft und was dort mit ihr geschieht.

Wie funktioniert E-Mail-Verschlüsselung mit PGP?

Eine Verschlüsselungssoftware wie PGP ("Pretty Good Privacy") erzeugt ein Schlüsselpaar.
Einen öffentlichen Schlüssel (public key) und einen privaten Schlüssel (private key).

Was ist ein öffentlicher Schlüssel?

Der öffentliche Schlüssel ist für jedermann im Internet verfügbar und kann verwendet werden, um verschlüsselte E-Mails an Sie zu senden. Sie sollten Ihren öffentlichen Schlüssel an alle Kommunikationspartner senden und ihn auf sogenannten Public-Key-Servern veröffentlichen. Diese Keyserver sind öffentliche Rechner, auf denen Sie nach öffentlichen Schlüsseln von E-Mail-Adressen suchen können.

Warum sollte ich meinen öffentlichen Schlüssel freigeben?

Je mehr Leute Ihren öffentlichen Schlüssel kennen, desto wahrscheinlicher ist es, dass sie Ihnen E-Mails verschlüsselt senden.

Was ist ein privater Schlüssel?

Der private Schlüssel ist streng geheim und darf nur Ihnen zugänglich sein.
Mit diesem privaten Schlüssel können nur Sie entschlüsseln, was andere Ihnen mit Ihrem öffentlichen Schlüssel gesichert geschickt haben.

Der private Schlüssel wird mit einem Passwort gespeichert, so dass er auch im Falle einer Veröffentlichung geschützt bleibt. 

Was hat es mit dem Signieren von E-Mails auf sich?

Zusätzlich zur E-Mail-Verschlüsselung können Sie Ihre E-Mails auch signieren. Die E-Mail wird mit einer digitalen Signatur versehen, die auf Ihrem privaten Schlüssel basiert. So können Ihre Empfänger überprüfen, ob die E-Mail wirklich von Ihnen stammt und sicher sein, dass sie nicht manipuliert wurde.

Wie werden PGP verschlüsselte E-Mails übertragen?

Nachdem die Verschlüsselung der E-Mail im E-Mail-Client des Absenders stattgefunden hat, erfolgt die Übertragung in der Regel TLS-gesichert (Transport Layer Security) an den Postausgangsserver mittels SMTP (Simple Mail Transfer Protocol) des Senders. Danach wird die E-Mail über eine unbekannte Anzahl von Servern geroutet, bis sie auf dem Zielserver des Empfängers ankommt. Der Transport der E-Mail vom Mailserver zum E-Mail-Client des Empfängers erfolgt dann in der Regel TLS-gesichert über IMAP oder POP3. 

Die Übertragung erfolgt also über öffentliche Server und kann überall kopiert werden.

Ist die E-Mail-Kommunikation mit PGP sicher?

Ja und nein. Der Text einer E-Mail ist mit PGP sehr sicher. Bei PGP handelt es sich um eine sogenannte Ende-zu-Ende-Verschlüsselung (englisch „end-to-end encryption“, „E2EE“). Da ausschließlich die Kommunikationspartner (also die jeweiligen Endpunkte der Kommunikation) die Nachrichten entschlüsseln können. Das verspricht im Allgemeinen ein hohes Sicherheitsniveau.

Sogenannte Metadaten wie Absender, Empfänger und Betreff der Nachricht können aus technischen Gründen nicht verschlüsselt werden.

Wenn eines Tages jemand Zugang zu Ihrem privaten Schlüssel erhält, wird er alle verschlüsselten E-Mails im Klartext lesen können - auch noch Jahrzehnte später.

Im Jahr 2018 haben Sicherheitsforscher die Verschlüsselung von E-Mail-Systemen ausgehebelt und Details über Sicherheitslücken in den beiden Verschlüsselungsverfahren PGP und S/MIME veröffentlicht. Die Sicherheitslücke ging unter dem Namen EFAIL um die Welt. Unter bestimmten Bedingungen lassen sich E-Mails damit entschlüsseln.

Warum hat sich PGP in Unternehmen nicht durchgesetzt?

Obwohl PGP-Integrationen wie Gpg4win für Outlook und Enigmail für Thunderbird unter Windows oder GPGtools für MacOS die Einrichtung und den Alltag mit PGP erleichtern, verursacht die Implementierung noch immer erheblichen Aufwand.

Die folgenden Schritte sind für jede einzelne E-Mail-Adresse in einem Unternehmen erforderlich:

  • Installieren und Konfigurieren der PGP-Integration für E-Mail-Client
  • Öffentlichen Schlüssel erstellen und auf dem Schlüssel-Server veröffentlichen
  • Passwort für privaten Schlüssel erstellen und sicher in der lokalen IT-Umgebung speichern (Passwort-Manager)
  • Privaten Schlüssel erstellen und sicher in der lokalen IT-Umgebung speichern
  • Schulung aller Mitarbeiter im Umgang mit dieser E-Mail-Verschlüsselungsmethode
  • Sensibilisierung & Schulung von externen Kommunikationspartnern für PGP

All dies bedeutet eine Menge Arbeit für die IT-Abteilung eines Unternehmens. Und nur die Informationen in der E-Mail sind gesichert. Das Problem der großen und sensiblen Dateianhänge ist nicht gelöst. 

Mit der E-Mail-Verschlüsselung mit Cryptshare haben wir es für Administratoren und Anwender einfacher gemacht.

Wie funktioniert E-Mail-Verschlüsselung mit Cryptshare?

Cryptshare verfolgt einen völlig anderen Ansatz zur sicheren E-Mail-Kommunikation als PGP & S/MIME. Hier müssen keine privaten und öffentlichen Schlüssel oder Zertifikate für einzelne E-Mail-Adressen erzeugt werden. Sogar die Übertragung von vertraulichen E-Mails über SMTP haben wir aus den unter PGP genannten Gründen vermieden.

Jedes Unternehmen verfügt über einen eigenen Cryptshare-Server, der in der eigenen DMZ oder beim Webhosting- sowie Cloud-Provider der Wahl betrieben wird. Anwender erstellen ihre E-Mails, wie gewohnt, im E-Mail-Client und fügen gegebenenfalls beliebig große Anhänge hinzu. Nun wählt der Anwender eine E-Mail-Klassifizierung um die Schutzbedürftigkeit der in der E-Mail beinhalteten Information festzulegen oder klickt direkt auf den "Mit Cryptshare senden"-Button.

Nun öffnet sich ein Dialogfenster. Dort kann er, abhängig von der zuvor gewählten Klassifizierung, eine individuelle Aufbewahrungsfrist der Nachricht auf dem Server, ein einmaliges Passwort sowie Einstellungen wie "E-Mail-Betreff verschlüsseln" oder "Sprache des Empfängers" wählen. Die Übermittlung des Passwortes kann auf unterschiedliche Arten stattfinden – beispielsweise telefonisch, per Brief, Fax, SMS oder auch persönlich. Welches Maß an Sicherheit angewendet wird, hat der Anwender selbst in der Hand.

Wie werden bei Cryptshare verschlüsselte E-Mails übertragen?

Die Nachricht und Anhänge werden über eine HTTPS-Verbindung mit TLS-Verschlüsselung an den Cryptshare-Server übertragen. Dort werden sie auf Viren geprüft und AES-verschlüsselt (Advanced Encryption Standard) abgelegt. Dabei wird für jeden Kommunikationsvorgang ein anderer Schlüssel verwendet. Anschließend sendet der Cryptshare-Server eine Benachrichtigung an den/die Empfänger, welche den Download-Link sowie die Kontaktdaten des Absenders zur Verfügung stellt.

Diese Benachrichtigung selbst beinhaltet keine vertraulichen Informationen. Die vertrauliche Nachricht wird von E-Mail-Client zu E-Mail-Client übertragen, ohne dass ein E-Mail-Server oder -Provider mit den sensiblen Informationen in Berührung kommt. Während bei S/MIME und PGP mehrere Server während des Transportes im Spiel sind, ist es hier nur einer – der des Unternehmens, in dessen Rechenzentrum der Inhalt der empfangenen Nachricht abliegt.

Mit einem einfachen Klick auf den Download-Link und nach Eingabe des Passwortes kann der Empfänger die Daten nun über eine HTTPS-Verbindung mit TLS-Verschlüsselung abrufen. Zeitgleich informiert der Cryptshare-Server den Absender darüber, dass die Daten vom Emfpänger abgerufen wurden.

Bei Cryptshare entfallen die Größenlimitierungen für Dateianhänge, und alle Versand- und Empfangsvorgänge werden vollständig protokolliert. Klare Benachrichtigungen an den Absender, wann E-Mails und Dateien versandt und an den beabsichtigten Empfänger zugestellt worden sind, unterstützen Unternehmen, Richtlinien und Compliance-Vorgaben wie die DS-GVO einzuhalten. So können auch auffällige Aktivitäten im Zusammenhang mit der E-Mail-Kommunikation besser festgestellt werden. Weitere Vorteile unserer Lösung.

Muss für jede E-Mail manuell ein neues Passwort vergeben werden?

Nein. Unsere revolutionäre Cryptshare QUICK Technology erzeugt systemgenerierte Einmal-Schlüssel im Hintergrund.

Wie funktioniert Cryptshare? Die Antwort in 2 Minuten!

Diese kurze Animation zeigt Ihnen, wie Sie vertrauliche Nachrichten und große Dateien mit Cryptshare versenden können.

Sie erfahren, wo sich der Cryptshare Server befindet, was passiert, wenn ein Benutzer eine Übertragung initiiert, wie diese an den/die Empfänger zugestellt wird und wie der Absender benachrichtigt wird, wenn seine Dateien heruntergeladen wurden.

E-Mail-Verschlüsselung in Unternehmen

E-Mail-Verschlüsselung ist längst gesetzliche Anforderung

Um sowohl interne Daten als auch die der Kunden und Partner zu schützen, gibt es inzwischen eine Vielzahl an Gesetzen, Regulierungen und Compliance-Anforderungen, welche Unternehmen zu befolgen haben.

Darunter sind

um nur ein paar Beispiele zu nennen, die deutsche Unternehmen beeinflussen.

Neben diesen allgemeinen Regelungen gibt es auch themen- und branchenspezifische Gesetze wie das US Health Insurance Portability and Accountability Act (HIPAA), das den sicheren Umgang mit Patientendaten oder im Immobiliengeschäft sicherstellt, das Consumer Financial Protection Bureau (CFPB) regelt die Privatsphäre der Kunden, sowie die NTA 7516 für die WvGGZ in den Niederlanden.

Dies sind zwar nur einige wenige Beispiele, aber die Tendenz ist steigend, dass weitere Gesetze und spezifische Regelungen folgen.


Warum trotzdem die meisten Geschäfts-E-Mails unverschlüsselt gesendet werden

Mitarbeiter sind aus ihrem privaten Umfeld die Benutzerfreundlichkeit der Verbraucheranwendungen gewohnt, die sie auf ihrem Heimcomputer und mobilen Endgeräten täglich nutzen. Diese sind jedoch meist nicht konform mit den bereits gründlich etablierten Compliance-Standards, Gesetzen und Maßnahmen der Unternehmenswelt. Verfügbare Technologien wie z.B. S/MIME und PGP bieten zwar teilweise den nötigen Schutz, sind jedoch zu kompliziert einzurichten und nicht besonders benutzerfreundlich. Darüber hinaus bleiben Metadaten immer noch ungeschützt und es wird durch sie nicht ermöglicht, große Dateien sicher auszutauschen, was in der heutigen Zeit unverzichtbar geworden ist. Professionelle Lösungen auf dem Markt versuchen diese Herausforderungen zu lösen, jedoch schaffen es wenige, dabei einfach in der Handhabung und kostengünstig zu bleiben.

Trotz des erodierenden Mythos von der E-Mail als sicheres Werkzeug für die Kommunikation von Nachrichten und Dateien werden die meisten E-Mails immer noch unverschlüsselt versendet – und geschäftliche E-Mails sind mit Sicherheit keine Ausnahme. Beim näheren Hinsehen stellt sich nämlich heraus, dass die Mehrheit der Verschlüsselungslösungen für die meisten Nutzer keine Option ist, denn sie erfordern für ihre Implementierung zu viel (technischen) Aufwand.

Das beste Beispiel hierfür: S/MIME und PGP.

Abgesehen von der aufwändigen Implementierung von S/MIME & PGP sind zudem alle Kommunikationspartner, die nicht den komplexen Einführungsprozess durchlaufen haben, außen vor und weiterhin von der verschlüsselten Kommunikation ausgeschlossen.

Cryptshare hingegen funktioniert nicht nur ohne irgendwelche Hürden, sondern bietet zusätzlich viele weitere Vorteile:

S/MIME

Vorteile von E-Mail Verschlüsselung mit Cryptshare

  • Verschlüsselung von E-Mail
  • Verschlüsselte Betreffzeile
  • Verschlüsselung von großen Anhängen
  • Selbsterklärend und intuitiv zu nutzen
  • Kein Austausch von Zertifikaten benötigt
  • Keine Nutzeraccounts benötigt
  • Keine Software-Installation benötigt
  • Protokollierung aller Vorgänge für Compliance

Verschlüsselte E-Mail geht jetzt auch komfortabel

Cryptshare QUICK Technology kombiniert die Sicherheit für Daten im Transfer mit Bedienkomfort für Nutzer

Für Cryptshare ist die Bedienungsfreundlichkeit seit jeher ein Schlüsselaspekt gewesen und der Aufwand für Nutzer ist auf das absolute Minimum reduziert.

Die kürzlich veröffentlichte Cryptshare QUICK Technology bringt dies sogar noch einen Schritt weiter und kombiniert die Sicherheit für Daten im Transfer mit dem Bedienkomfort für Nutzer. Sobald QUICK mit nur wenigen Klicks aktiviert wurde, macht sie den Schutz des regelmäßigen Austauschs zwischen Kommunikationspartnern kinderleicht.

Alle Transfers werden durch individuelle und systemgenerierte Einmal-Schlüssel geschützt – nicht durch nur ein Schlüsselpaar, wie es bei S/MIME und PGP der Fall ist. Da die Schlüssel automatisch vom System erzeugt und Metadaten wie die Betreffzeile ebenfalls verschlüsselt übertragen werden können, wird das Risiko von Social-Engineering-Attacken dramatisch reduziert.

S/MIME und PGP mögen einem zwar als erstes in den Sinn kommen, wenn man an E-Mail-Verschlüsselung denkt, doch sie sind definitiv nicht die nutzerfreundlichsten oder sichersten Lösungen.

Für viele Anwender die mit Verschlüsselung ihre Daten im Transfer schützen möchten, beinhalten sie sie zu oft Hindernisse, um erfolgreich implementiert zu werden.

Für die sichere Geschäftskommunikation wird eine verlässliche Lösung gebraucht: eine Lösung, die transparent ist, Hindernisse sowie Kommunikationsbeschränkungen aus dem Weg räumt und dabei von jedem gleich genutzt werden kann.

Denn nur so wird sich die Verschlüsselung von E-Mails auch in der Breite wirklich durchsetzen können.

E-Mail-Verschlüsselung in Outlook und Notes

Email Verschlüsselung und große Anhänge für Outlook

Wie Sie in Outlook E-Mails verschlüsseln und beliebig große Dateien versenden und empfangen können, erfahren Sie in diesem Video. Sichere E-Mails in Outlook - Weit über S/MIME & PGP hinaus.

E-Mail-Verschlüsselung und große Anhänge für Notes

In diesem Video erfahren Sie, wie Sie große Dateien und verschlüsselte E-Mails über HCL Notes versenden können.

Vor- und Nachteile der E-Mail

Klicken Sie auf die Panels um mehr zu erfahren

E-Mail

E-Mail

Universal verfügbar, jedoch unsicher
und nicht für große Dateien geeignet.

E-Mail ist bereits heute in den meisten Unternehmen das Rückgrat der Kommunikation. E-Mail Systeme sind effektiv, erprobt und die Einführungskosten haben sich längst amortisiert. Somit wird uns E-Mail noch lange Zeit begleiten. Die Kosten steigen jedoch, wenn große Datenvolumina übertragen und in Postfächern gespeichert werden. Auch das Risiko einer Kompromittierung von Daten, die unverschlüsselt per E-Mail versendet werden, kann erhebliche Kosten mit sich bringen.

Sofern E-Mail nicht durch komplexe und teure Verschlüsselungslösungen erweitert wird, bietet E-Mail kaum Sicherheit. E-Mail ist einer der Hauptgründe für die Kompromittierung von Daten außerhalb der Grenzen des eigenen Unternehmens.

Zur Einhaltung von Sicherheitsrichtlinien ist es erforderlich, Sicherheitsmaßnahmen zu ergreifen, die über das Niveau von E-Mail hinaus gehen. Beispielsweise durch die Klassifizierung von Daten und Richtlinien darüber, welche Informationen über E-Mail ausgetauscht werden dürfen und welche über ein anderes, sicheres System.

E-Mail ist mit all seinen Stärken und Schwächen sehr einfach zu nutzen. Deshalb verwenden wir E-Mail fast ständig, manchmal auch unreflektiert. Wir nehmen an, dass E-Mail schon sicher genug sein wird und so kommt es, das schnell die falsche Art von Informationen auf diesem Wege das Unternehmen verläßt.

E-Mailverschlüsselung

Verschlüsselte E-Mail (PGP & S/MIME)

Sicher, aber zu teuer oder zu kompliziert. Oft nicht sofort verfügbar. Löst nicht das Problem großer Dateien.

Komplex, teuer und besser geeignet für die wiederkehrende Kommunikation zwischen bekannten Absendern und Empfängern. Lösungen für verschlüsselte E-Mail sind teuer in der Anschaffung, Installation und der Betriebsführung. Diese Lösungen bieten ein hohes Maß an Sicherheit, allerdings nur wenig Flexibilität.

Die Verschlüsselung von E-Mails und Dateianhängen ist lückenlos und daher sehr sicher. Die fehlende Möglichkeit, ad hoc Informationen auszutauschen oder große Dateien anzuhängen, bringt jedoch das Risiko mit sich, dass Anwender im Bedarfsfall auf Datenträger ausweichen.

Aufgrund der hohen Kosten, der mangelnden Flexibilität und der geringen Verbreitung wird häufig vor dem Einsatz von verschlüsselten E-Mail Lösungen zurückgeschreckt. Insbesondere die Tatsache, dass ein Zertifikat ausgetauscht werden muss, bevor verschlüsselt kommuniziert werden kann, da hier Eingriffe in die IT Infrastruktur Dritter durchgeführt werden müssen.

Einmal eingerichtet bieten Lösungen für verschlüsselte E-Mail ein hohes Maß an Benutzerfreundlichkeit. Sobald jedoch die Anforderung aufkommt, auch mit verschiedenen, wechselnden Partnern zu kommunizieren oder größere Dateianhänge auszutauschen, bieten diese Lösungen keine echte Alternative.

Vergleich von E-Mail-Verschlüsselungsmethoden

AnforderungS/MIME & PGPCryptshare
E-Mail-Verschlüsselung
Bedienung ohne Vorkenntnisse
Keine technische Voraussetzungen beim Empfänger
Einfache Installation & Konfiguration (1h)
Anhänge beliebiger Größe möglich
E-Mail-Schutzklassifizierung
Verschlüsselung des Betreffs
Zeitlich festlegbare Aufbewahrung der Dateien auf dem Server
Protokollierung aller Transfers
Uneingeschränkter Nutzerkreis

E-Mail-Sicherheit Insights

Ressourcen zu E-Mail-Sicherheit, die Sie interessieren könnten:

Whitepaper Schützen Sie Ihre Geschäfts E-Mails.

Whitepaper

Schützen Sie Ihre Geschäfts E-Mails.

Der Schlüssel zum Erfolg.

Weiterlesen

WHITEPAPER Email security demystified

WHITEPAPER

Email security demystified

What is email and why do we rely on it so much? (Englisch)

Weiterlesen

Whitepaper Sichere E-Mail und Dateiaustausch, nicht nur im Microsoft 365 Universum.

Whitepaper

Sichere E-Mail und Dateiaustausch, nicht nur im Microsoft 365 Universum.

Weiterlesen