Wie geschützt ist der Übertragungsweg von E-Mails wirklich?
Das SMTP-Protokoll schreibt eine Verschlüsselung beim Empfang von E-Mails nicht zwingend vor. Dementsprechend ungeschützt findet die Kommunikation in Unternehmen häufig statt.
Es ist keine große Überraschung, dass sich Unternehmen und Anwender eine sichere Kommunikation per E-Mail wünschen. Die Wahrheit ist jedoch, dass viele der täglich versendeten und empfangenen Nachrichten nicht ausreichend geschützt sind. Es ist natürlich nicht sehr beruhigend, dass die Nutzer sich nicht sicher sein können, wie gut oder schlecht ihre E-Mail-Security wirklich ist. Einer der Gründe dafür liegt darin, dass Unternehmen in der Regel auf indirekte und nicht auf direkte Sicherheitsmaßnahmen vertrauen, um ihre E-Mail-Kommunikation zu schützen.
Wenn ein Anwender eine Nachricht versenden will, dann schreibt er den Inhalt meist im Klartext, hängt benötigte Attachments an die Mail und klickt dann auf den Absenden-Button. Wir gehen dabei ganz selbstverständlich davon aus, dass die von uns genutzten E-Mail-Systeme die Inhalte der Nachrichten schützen, bis sie ihren Empfänger erreichen und dass die Mails nicht unterwegs abgefangen, von anderen gelesen oder anderweitig verändert werden können.
Bei den dabei genutzten indirekten Sicherheitsmaßnahmen vertrauen wir auf eine schon seit längerem verbreitete Verschlüsselung der Übertragungs-Session durch entweder das SSL-Protokoll (Secure Sockets Layer) oder seinen Nachfolger TLS (Transport Layer Security). Viele gehen davon aus, dass die Nachrichten und anhängende Dateien sicher sind, weil sie durch SSL oder TLS geschützt werden.
Wo liegt also das Problem? Verschlüsselte Sitzungen sind im SMTP-Protokoll (Simple Mail Transfer Protocol) gar nicht vorgeschrieben. Und genau dieses Protokoll wird Ihre Nachricht irgendwann an den Empfänger übermitteln, wenn sie die Systeme Ihres Unternehmens verlassen hat. SMTP unterstützt durchaus auch verschlüsselte Verbindungen, sie sind aber nicht zwingend vorgesehen. Als Absender einer Nachricht können Sie schlicht nicht darauf vertrauen, dass die Verbindung auch wirklich von Ende zu Ende verschlüsselt ist.
Im Vergleich dazu werden bei einer direkten Sicherheitsmaßnahme die Nachricht und ihr Inhalt verschlüsselt, bevor sie an das Messaging-System übergeben werden.
Der Weg, den eine E-Mail normalerweise nimmt
Bevor wir tiefer in die Materie einsteigen, gehen wir zunächst auf den Weg ein, den eine E-Mail vom Absender bis zum Empfänger nimmt. So lässt sich leichter herausfinden, wo die Sicherheit Ihrer Nachrichten nicht mehr gewährleistet ist.
Vom Client zum Mail-Server: Hier müssen Sie sich in der Regel keine Sorgen machen. Die Verbindung zwischen dem Anwender und dem Mail-System, egal ob es ein Cloud-basiertes oder ein firmeninternes System ist, ist in praktisch allen Fällen sicher. Wenn ein Anwender die Verbindung zu einem Cloud-Dienst selbst überprüfen will, dann genügt es, auf die URL im Browser zu achten. Beginnt sie mit HTTPS (Hypertext Transfer Protocol Secure) und nicht mit HTTP (Hypertext Transfer Protocol), dann nutzen Sie eine sichere Verbindung, die entweder durch SSL oder TLS geschützt wird.
Kommunikation zwischen mehreren Mail-Servern innerhalb eines Unternehmens: Auch hier können Sie meist davon ausgehen, dass die Nachrichten über verschlüsselte Verbindungen miteinander ausgetauscht werden. Praktisch alle Unternehmen außer ganz kleinen Firmen nutzen in der Regel mehr als eine Domäne und haben auch mehr als nur einen einzigen Mail-Server im Einsatz. Weil diese Server normalerweise von denselben Mitarbeitern aufgesetzt und kontrolliert werden, können Sie in den meisten Fällen darauf vertrauen, dass die dabei genutzten Sicherheitsmaßnahmen auf dem aktuellen Stand der Technik sind und dass für die Verbindungen zwischen den Servern mit SSL oder TLS verschlüsselte Kanäle genutzt werden.
Vom internen Mail-Server eines Unternehmens zu einem externen Mail-Server: Das ist der Punkt, an dem das Vertrauen auf indirekte Sicherheitsmaßnahmen in Schwierigkeiten gerät. Anwender, die Nachrichten an externe Empfänger schicken, können nicht mehr davon ausgehen, dass die Inhalte unterwegs nicht eingesehen werden können.
Wie bereits erwähnt, ist das mittlerweile in die Jahre gekommene SMTP-Protokoll dafür verantwortlich, Nachrichten zwischen verschiedenen Systemen zu übermitteln. Das Simple im Namen diesen Protokolls bedeutet aber auch genau das: Das Protokoll ist einfach gehalten. Das ursprüngliche SMTP-Protokoll nutzt den TCP-Port (Transmission Control Protocol) 25, um Nachrichten unverschlüsselt zu übertragen. Bereits seit einiger Zeit ist es für einen Server möglich, verschlüsselte Verbindungen über Port 465 anzufordern. Aber wird das auch genutzt? Sie können sich nicht sicher sein, dass Ihre Datenverbindungen auch wirklich so behandelt werden.
Im Regelfall nutzen Systeme, die einen bestimmten Sicherheitsgrad nicht unterstützen können, eine niedrigere Sicherheitsstufe. Das geht dann solange weiter, bis sowohl das sendende als auch das empfangende System einen gemeinsamen Modus gefunden haben, den sie beide unterstützen. Für die Interoperabilität zwischen verschiedenen Systemen ist das hervorragend, für eine gewünschte sichere Übertragung von E-Mails ist es aber alles andere als ideal. Im schlimmsten Fall einigen sich die beteiligten Systeme auf eine Übertragungsmöglichkeit, bei der die Nachrichten im Klartext übermittelt werden, so dass sie an jeder Schnittstelle problemlos eingesehen und kopiert werden können.
Nicht auf indirekte Sicherheitsmaßnahmen verlassen
Selbst wenn also die Anwender wissen (weil ihre Admins es ihnen gesagt haben), dass das E-Mail-System eines Unternehmens nur mit sicheren SMTP-Empfängern kommuniziert, sind ihre Nachrichten trotzdem nicht automatisch auf dem ganzen Weg bis zum Empfänger geschützt. Der Mail-Server, der die Nachricht in Empfang genommen hat, übergibt sie möglicherweise an ein weiteres System, über das Ihr Unternehmen keine Kontrolle mehr hat. Es gibt also keine Möglichkeit, sicherzustellen, dass die weiteren genutzten Knotenpunkte im Internet auch wirklich sicher sind und durchgehend Verschlüsselung nutzen.
Wenn in einem Unternehmen regelmäßig Nachrichten und Dateianhänge verschickt werden, die geheime oder sensible Informationen enthalten, dann sollten Sie sich deshalb nicht allein auf indirekte Sicherheitsmaßnahmen verlassen. Die Anwender müssen jedoch darauf vertrauen können, dass die mit dem Thema IT-Security befassten Mitarbeiter die benötigten direkten Schritte einleiten, um die Inhalte der gesendeten E-Mails zu schützen. Dazu gehört eventuell auch die Einführung eines Verschlüsselungssystems wie S/MIME oder OpenPGP.
