28.03.2015
Sichere E-Mail für alle

Empfehlungen zum flächendeckenden Einsatz von E-Mail-Verschlüsselung

Unmittelbare Handlungsempfehlung: 

Einrichtung einer öffentlichen Zertifizierungsstelle für die Ausstellungvon X.509-Zertifikaten zur Verwendung mit S/MIME

 

 Die Situation im März 2015

 

Die Vertraulichkeit von E-Mail ist zwar gesetzlich garantiert, um ihre technische Durchsetzung muss sich aber der einzelne Benutzer selber kümmern, indem er für eine Ende-zu-Ende-Verschlüsselung sorgt.  Zwar gibt es seit mehr als 20 Jahren zuverlässige, wohletablierte und standardisierte Verfahren, um mit elektronischen Signaturen und Verschlüsselung die Integrität, Authentizität und Vertraulichkeit von E-Mail sicherzustellen.  Viele Mail-Programme sind aber diesbezüglich so wenig benutzerfreundlich, dass nur eine kleine Minderheit unter den E-Mail-Benutzern Verschlüsselung und Signierung tatsächlich praktiziert [BITCOM 2014]. De facto ist die grundgesetzlich garantierte Vertraulichkeit der E-Mail-Kommunikation nicht gesichert: kriminelle Einzelpersonen und Organisationen können sich Zugriff nicht nur auf die Verkehrsdaten, sondern auch auf die Inhalte der meisten E-Mails verschaffen.  Die aktuelle Situation ist somit nicht verfassungskonform [Papier 2014].

 

 Benutzerfreundliche sichere E-Mail ist möglich

 

Neben etablierten Techniken zur E-Mail-Sicherung wie PGP und S/MIME gibt es eine Vielzahl neuartiger Ansätze und Produkte, die teilweise sehr benutzerfreundlich, meistens aber nicht interoperabel mit anderen Ansätzen sind.  S/MIME mit X.509-Zertifikaten ist der einzige weltweit gültige Standard, der die folgenden wünschenswerten Eigenschaften hat:

  • wird von allen gängigen E-Mail-Programmen unterstützt, ohne dass der Benutzer etwas dazu tun muss;
  • entlastet den Benutzer vom Vertrauensmanagement der verwendeten Schlüssel.

 

Ein hoher Grad von Benutzerfreundlichkeit und eine flächendeckende Verbreitung von S/MIME kann allerdings nur dann erreicht werden, wenn auch das organisatorische Umfeld stimmt [Löhr 2015]:

  1. Die Beglaubigung des Schlüsselbesitzes durch die Ausstellung entsprechender Zertifikate muss extrem einfach erfolgen.  Einfache Klasse-1-Zertifikate müssen mit „one-click“ bezogen werden können.
  2. Die Zertifikatsausstellung muss kostenlos sein.
  3. Die Zertifizierungsstelle muss staatlich organisiert, aber neutral und „absolut vertrauenswürdig“ sein:
    a.     Sie muss hochsichere und quelloffene Software einsetzen.
    b.    Sie muss in einem hochsicheren Betriebsmodus arbeiten.
    c.    Sie muss über einen Beirat o.ä. verfügen, in dem interessierte Organisationen vertreten sind, die jederzeit Einsicht in Software und Betriebsorganisation nehmen können.
  4. (Regulierung:)  Provider werden verpflichtet, neue E-Mail-Accounts nur dann endgültig freizuschalten, wenn die Benutzer über Schlüsselpaar und Zertifikat verfügen.
  5. (Regulierung:)  Die Hersteller von Mail-Programmen werden veranlasst, Fehler in ihren Programmen zu beseitigen und die Programme hinsichtlich der Sicherheitsfunktionen so benutzerfreundlich und datenschutzfreundlich („privacy by default“) zu gestalten, wie es dem Stand der Kunst entspricht.  Dafür können konkrete Vorgaben gemacht werden.  (Es gibt Beispiele, die als Vorbilder dienen können.)
  6. (Forschungs/Entwicklungsförderung:)  Die Entwicklung neuartiger, vorbildlicher Software für benutzer- und datenschutzfreundliche sichere E-Mail auf der Basis von S/MIME wird auch mit staatlicher Unterstützung vorangetrieben.
  7. Die Bundesregierung startet eine Verschlüsselungs-Kampagne.  Damit zeigt sie, dass sie bei den Bürgern um konkrete Mitwirkung bei der sicheren Ausgestaltung des Internet wirbt.  Es wäre dies ein schönes Beispiel dafür, wie die Regierung den Bürger bei der Wahrnehmung seiner Grundrechte bestmöglich unterstützt, von ihm aber auch die aktive Wahrnehmung dieser Rechte erwartet.

 

Bei alldem darf nicht vergessen werden, dass E-Mail nicht das einzige – und nicht einmal mehr das populärste – Kommunikationsmedium im Netz ist.  Wir beschränken uns hier aber bewusst auf E-Mail, um das Thema „sichere Kommunikation zwischen Benutzern“ im Hinblick auf schnelle erste Erfolge geeignet zu fokussieren.

 

 Sichere E-Mail jetzt!

 

Im Rahmen des aktuellen Forschungsprogramms des BMBF zur IT-Sicherheit sollen auch Projekte zur E-Mail-Sicherheit gefördert werden – und das ist gut so. Seit den ersten Enthüllungen von Edward Snowden sind aber mittlerweile schon fast zwei Jahre vergangen.  Es wäre nicht vertretbar, weiter untätig auf Forschungsergebnisse zu warten, wenn bereits jetzt konkret gehandelt werden kann, und zwar durch Umsetzung der oben aufgeführten Punkte 1 bis 3. Dies gilt umso mehr, als auch potentielle zukünftige Entwicklungen, basierend auf noch zu erwartenden Forschungsergebnissen, den S/MIME-Standard mitberücksichtigen müssen.  Investitionen in die dafür notwendige Infrastruktur sind also nicht verloren.

 

Eine Zertifizierungsstelle nach Punkt 3 fällt zwar nicht vom Himmel, kann aber ohne großen Aufwand geschaffen werden.  Das Know-how dafür gibt es.  Seit Jahren etabliert sind IT-Sicherheitsfirmen, zu deren Geschäftsmodell die Ausstellung von Zertifikaten gehört (bisweilen sogar kostenlos für Testzwecke).  Auch staatlich geförderte oder halbstaatliche Organisationen stellen Zertifikate aus.  Im Wissenschaftsbereich gibt es Stellen für kostenlose Zertifikate beim DFN und bei der Fraunhofer-Gesellschaft.  Das vorhandene Know-how in eine für jeden Bürger offene Zertifizierungsstelle einzubringen ist kein Problem.  (Denkbar ist auch als erster Schritt eine unmittelbare Öffnung dieser Stellen für jedermann).

 

Dass man für ein Zertifikat nichts bezahlen muss, ist eine wesentlich Voraussetzung für den Erfolg einer Verschlüsselungskampagne: für die Wahrnehmung eines Grundrechts sollte man nicht extra bezahlen müssen.  Dass die Zertifikatserstellung bei existierenden Organisationen häufig kostenlos ist, liegt im wesentlichen daran, dass sie weitgehend automatisiert oder sogar (bei Klasse-1-Zertifikaten) vollautomatisch erfolgen kann.  Natürlich kann die notwendige Hardware und Software für eine neu einzurichtende Zertifizierungsstelle nicht kostenlos betrieben werden.  Würde man sich aber anfangs auf Klasse-1-Zertifikate beschränken, wären für die Aufrechterhaltung des Betriebs nur wenige Personen erforderlich. 

 

Eine Verschlüsselungskampagne kann nur dann die beabsichtigte Wirkung entfalten, wenn sie mit dem Versprechen einer einfachen Handhabung verbunden ist und dieses Versprechen auch eingehalten wird.  Was die Erzeugung des Schlüsselpaars und des Zertifikats (Klasse 1) betrifft, so kann beides in einfachster Weise über eine Webseite der Zertifizierungsstelle erfolgen, in der lediglich die Benutzeridentität in Form einer E-Mail-Adresse einzugeben ist. 

 

Die potentielle Schwachstelle der Benutzerfreundlichkeit liegt bei der korrekten Installation von Schlüsseln und Zertifikat im Gerät des Benutzers sowie beim täglichen Umgang mit der E-Mail-Sicherung.  Hier reicht der Komfort gängiger Mail-Programme von fast perfekt (Apple Mail) über mäßig (Outlook) bis unzumutbar (Thunderbird).  So könnte man guten Gewissens eine Kampagne starten, die sich an alle Apple-Mac-Benutzer richtet, nicht aber eine, die auch Outlook oder gar Thunderbird abdeckt.  Die Regierung darf daher nicht mit dem Hinweis auf die Selbstregulierung des Marktes untätig bleiben, sondern muss durchsetzen, dass für jedes gängige System ein bezüglich S/MIME maximal benutzerfreundliches Mail-Programm verfügbar ist (vgl. Punkt 5 oben).

 

Die aktuellen Schwächen einiger E-Mail-Programme sind die einzige – allerdings große – Hürde auf dem Weg zu flächendeckender E-Mail-Verschlüsselung.  Diejenigen Bürger aber, die sich davon nicht abschrecken lassen bzw. nicht betroffen sind, sollten auf bestmögliche Weise unterstützt werden.  Man kann heute schon etwas tun, was früher oder später ohnehin getan werden muss – eine neutrale Zertifizierungsstelle gemäß den obigen Punkten 1 bis 3 schaffen.

 


Bewertung:

schlecht
gut

Bewertung abgeben: