peterschreiber.media - stock.ado
E-Mail-Verschlüsselung per Gateway im Detail erklärt
E-Mails transportieren oft sensible Inhalte. Eine Ende-zu-Ende-Verschlüsselung schützt diese. Das kann beispielsweise über ein Gateway erfolgen. Was passiert dabei im Hintergrund?
E-Mails gehören zum Berufsalltag. Auf ihrem Weg können sie leicht zum Ziel von Cyberkriminellen werden. Verhindern lässt sich der Verlust von Daten durch solche Angriffe mittels einer Ende-zu-Ende-Verschlüsselung. Damit diese auch konsequent eingesetzt wird, müssen Unternehmen ihren Mitarbeitern ein benutzerfreundliches Verfahren anbieten. Ein Gateway leistet das. Doch was passiert, nachdem eine Nachricht per Sendebutton zum Empfänger abgesandt wurde?
Auch wenn Videokonferenzen und andere Nachrichtenkanäle auf dem Vormarsch sind – E-Mails bestimmen noch immer die Kommunikation in Unternehmen. Die Anzahl der E-Mails, die Berufstätige in Deutschland erhalten, ist in den vergangenen drei Jahren weiter gestiegen. So empfangen Mitarbeiter laut einer Untersuchung des Digitalverbandes Bitkom nicht mehr 21 E-Mails (2019), sondern durchschnittlich 26 E-Mails am Tag. Dadurch kann jedoch der E-Mail-Verkehr zu einer der größten Schwachstellen in Unternehmen werden. Liegen die E-Mails unverschlüsselt, also im Klartext vor, können sie von Außenstehenden gelesen und manipuliert werden.
Die Reisestrecke einer E-Mail
Die meisten Unternehmen wissen, dass sie ihren E-Mail-Verkehr schützen sollten. Ebenso bekannt ist ihnen, dass eine Ende-zu-Ende-Verschlüsselung sensible Informationen in elektronischen Nachrichten wirksam schützen würde. Hierbei wird die E-Mail vom Sender verschlüsselt und erst, nachdem sie an zahlreichen Zwischenstationen vorbeikam, bei dem Empfänger wieder entschlüsselt.
Allein nach dem Abschicken im E-Mail-Client des Absenders durchläuft eine Nachricht den Groupware-Server des Absenders, wo das Postfach liegt, verschiedene Mail Transfer Agents (MTA) für die Weiterleitung oder Archivierung einer Kopie der E-Mail sowie Antiviren- und DLP-Lösungen (Data Loss Prevention). Erst dann gelangt sie über öffentliche Knotenpunkte des Internets bis zur Infrastruktur des Empfängers, wo sie erneut mehrere MTAs und einen Groupware-Server passiert.
Jede dieser Stationen innerhalb und außerhalb der E-Mail-Infrastruktur eines Unternehmens könnte von einem Hacker kompromittiert sein, um die Nachrichten abzufangen. E-Mail-Verschlüsselung erscheint vielen Anwendern jedoch zu komplex. Sie sind es gewohnt, die im Klartext vorliegenden E-Mails mit einem einfachen Klick zu versenden und wollen sich ungerne mit den technischen Fragen einer E-Mail-Verschlüsselung auseinandersetzen.
Hoher Aufwand mit Ende-zu-Ende-Verschlüsselung
Bei der Ende-zu-Ende-Verschlüsselung kommt ein Schlüsselpaar aus einem öffentlichen und einem privaten Schlüssel zum Einsatz. Den öffentlichen Schlüssel des Empfängers nutzt der Absender, um die ausgehende E-Mail an den jeweiligen Empfänger zu verschlüsseln. Mit dem zweiten, seinem privaten Schlüssel, entschlüsselt der Empfänger dann die bei ihm eingegangene Nachricht. Deshalb muss eine Vielzahl öffentlicher Schlüssel wie in einem „Verschlüsselungsadressbuch“ verwaltet und der private Schlüssel beim Empfänger geschützt werden.
Wenn eine E-Mail im Client des Absenders verschlüsselt und erst im Client des Empfängers entschlüsselt wird, dann entfällt die Möglichkeit, ein- und ausgehende Nachrichten auf ihrem Weg durch Antivirus- und DLP-Lösungen prüfen zu lassen. Außerdem müssen geschäftliche E-Mails aufgrund rechtlicher Vorgaben in ihrem Originalzustand bis zu zehn Jahre lang aufbewahrt werden. Bei verschlüsselten Nachrichten bedeutet das: so wie ursprünglich verschlüsselt.
Bei einer verschlüsselten Nachricht lässt sich der Inhalt nicht automatisch durchsuchen. Dafür stehen nur noch die Metainformationen wie Betreff, Absender und Empfänger zur Verfügung. Wer nach mehreren Jahren nicht mehr genau weiß, wann wer wem die gerade benötigte Nachricht mit welchem Betreff geschickt hat, den erwartet eine langwierige, manuelle Suche.
Das Gateway als Logistikzentrum
Der Aufwand für die Ende-zu-Ende-Verschlüsselung scheint also erheblich. Zusätzlich gibt es verschiedene Standards für die E-Mail-Verschlüsselung, die nicht miteinander kompatibel sind. Somit muss für jeden Kommunikationspartner der jeweils passende Standard gewählt werden. Heutzutage können Unternehmen auf ein Verschlüsselungs-Gateway zurückgreifen, um diese Herausforderung zu bewältigen. Ein Gateway verschlüsselt E-Mails Ende-zu-Ende, verwaltet die Schlüssel und nutzt immer die jeweilige Verschlüsselungsmethode des Empfängers. Da eine solche Lösung transparent ist, merkt der Benutzer davon nichts und kann seine gewohnten Prozesse beibehalten.
„Ein Gateway verschlüsselt E-Mails Ende-zu-Ende, verwaltet die Schlüssel und nutzt immer die jeweilige Verschlüsselungsmethode des Empfängers.“
Marcel Mock, Totemo
Das Gateway basiert auf dem Prinzip, dass der Absender einer E-Mail beim Versand der Nachricht nur auf einen Verschlüsselungsbutton klickt. Im Hintergrund fragt der Client dann das Gateway nach einem öffentlichen Schlüssel und das Gateway generiert ein Schlüsselpaar, dessen öffentlichen Teil es an den Client zurückschickt. Dieser kann nun die Nachricht intern verschlüsseln, die über den Groupware-Server in den geschützten Bereich des Gateways gelangt.
Diese sichere Zone fungiert wie ein Logistikzentrum, in dem die E-Mail entschlüsselt wird, damit sie beispielsweise von der DLP-Lösung kontrolliert werden kann. Da das Verschlüsselungs-Gateway die öffentlichen Schlüssel aller Benutzer managt, kennt es die verwendeten Standards der Empfänger oder fragt diese ab. Nach den Sicherheitskontrollen nutzt das Gateway den öffentlichen Schlüssel des jeweiligen Empfängers, um die Nachricht umzuschlüsseln – sozusagen in eine andere, abgeschlossene Schatulle zu verpacken. Anschließend wird die Nachricht in den gewohnten Kreislauf zurückgegeben, über den sie an den Empfänger gelangt und von diesem entschlüsselt und gelesen werden kann.
Umgekehrt empfängt das Gateway eine eingehende Nachricht als erstes und entschlüsselt diese für eine Prüfung durch Antispam- und Antivirus-Lösungen. Anschließend wird sie für den internen Empfänger umgeschlüsselt.
Um die E-Mail rechtskonform und wiederauffindbar zu archivieren, generiert das Gateway zudem eine neue E-Mail mit den Meta-Informationen als Inhalt der Nachricht. An diese werden dann sowohl die verschlüsselte als auch eine unverschlüsselte Kopie der E-Mail angehängt, bevor diese neue E-Mail an das Archiv übergeben wird. Damit gewinnen Unternehmen eine nutzerfreundliche Form der Ende-zu-Ende-Verschlüsselung und die Möglichkeit, verschlüsselte E-Mails im rechtlich notwendigen, also ursprünglichen Zustand auffindbar zu archivieren.
Einen zusätzlichen Bonus hat diese Form der Ende-zu-Ende-Verschlüsselung: Viele Unternehmen, die auf ein herkömmliches Verfahren setzen, versuchen den Aufwand zu reduzieren, indem interne E-Mails weiterhin im Klartext verschickt werden. Für ein Gateway ist es eine einfache Übung, diese nun ebenfalls standardmäßig zu verschlüsseln.
Die Autoren sind für den Inhalt und die Richtigkeit ihrer Beiträge selbst verantwortlich. Die dargelegten Meinungen geben die Ansichten der Autoren wieder.
