E-Mail Verschlüsselung Teil 2: Clientbasierte vs. Gatewaybasierte E-Mail-Verschlüsselung
Wenn man sich für die Einführung von E-Mail-Verschlüsselung entschieden hat, gibt es zwei unterschiedliche Möglichkeiten der Umsetzung. Zum einen gibt es die klassische Variante, bei der das Zertifikat auf dem Computer des Benutzers installiert und in den E-Mail-Client integriert wird. Ab diesem Zeitpunkt kann der Benutzer alle seine ausgehenden E-Mails signieren. Sobald er den öffentlichen Schlüssel seines Kommunikationspartners bekommen hat, kann er an diesen Partner die E-Mails zusätzlich verschlüsseln. Dieses Szenario wird clientbasierte Verschlüsselung genannt, da alle kryptografischen Vorgänge auf der Clientseite geschehen.
Das folgende Schaubild verdeutlicht den Nachrichtenfluss. Die E-Mail kommt verschlüsselt aus dem Internet und wird verschlüsselt im Postfach des Benutzers abgelegt. Das Zertifikat für die Entschlüsselung der E-Mail muss auf dem Computer installiert sein, auf dem der Benutzer die Nachricht lesen möchte.
Nachrichtenfluss bei der clientbasierten Verschlüsselung
Das Gegenteil der clientbasierten Verschlüsselung ist die gatewaybasierte Verschlüsselung. In die gerade beschriebene E-Mail-Kette kommt nun ein Verschlüsselungs-Gateway hinzu, welches sämtliche Schlüssel verwaltet. Dies beinhaltet alle öffentlichen Schlüssel der Kommunikationspartner und auch die privaten Schlüssel der Benutzer.
Nachrichtenfluss bei der gatewaybasierten Verschlüsselung
Das Verschlüsselungs-Gateway erhält die verschlüsselte E-Mail, entschlüsselt sie und schickt sie in dieser Form an den Mailbox-Server weiter. Der Benutzer muss sich nun nicht mehr darum kümmern, dass das passende Schlüsselmaterial auf dem Computer vorhanden ist. Dies hat besonders beim mobilen Zugriff auf E-Mails enorme Vorteile. Egal von welchem Endgerät der Benutzer die E-Mail schickt, sie wird an zentraler Stelle verschlüsselt. Ein weiterer Vorteil ergibt sich auch für alle anderen Benutzer des Systems. Auch deren E-Mails können nun ohne weiteres mit dem zentral gespeicherten öffentlichen Schlüssel des Empfängers verschlüsselt werden.
Folgende Vor- und Nachteile sowie Besonderheiten ergeben sich bei den jeweiligen Ansätzen:
Clientbasierte Verschlüsselung
Vorteile:
– Die E-Mail liegt verschlüsselt im Postfach. Kein anderer Benutzer, außer dem Zertifikatsinhaber kann die Nachrichten lesen
– Der Benutzer kann selbst entscheiden, wann eine E-Mail verschlüsselt und signiert werden soll.
Nachteil:
– Die E-Mail liegt verschlüsselt im Postfach. Damit sind folgende Dinge nicht mehr möglich:
o Stellvertretung (die Stellvertretung benötigt dafür das Zertifikat)
o Automatische Weiterleitung
o Mobiler Zugriff nur dann, wenn das Zertifikat auf dem Mobilgerät vorhanden ist
– Unternehmensrichtlinien können in der Eile vergessen werden, wenn vertragliche Verpflichtung zur Verschlüsselung mit bestimmten Partnern besteht.
– Das gesamte Schlüsselmaterial muss auf jedem Computer zur Verfügung stehen, auf dem E-Mails gelesen und verschlüsselt werden sollen.
– Benutzerschulung dringend erforderlich
Gatewaybasierte Verschlüsselung
Vorteile:
– Die E-Mail liegt unverschlüsselt im Postfach. Daraus ergeben sich folgende Vorteile:
o Stellvertretung ohne weiteres möglich.
o Automatische Weiterleitung
o Mobiler Zugriff
o Kein Problem bei der Wiederherstellung archivierter E-Mails
– Unternehmensrichtlinien werden ohne Ausnahme umgesetzt.
– Zentrale Zertifikatsverwaltung ohne Schulung der Benutzer
– Benutzer arbeiten wie gewohnt weiter
– Benutzer hat trotzdem Einfluss auf die Verschlüsselung der E-Mail ( per Add-In oder Betreffzeilen Steuerung )
Nachteile:
– E-Mails liegen unverschlüsselt im Postfach. Jeder mit Zugriffsrechten auf das Postfach, kann sie lesen.
Auch wenn die Vorteile einer gatewaybasierten Variante zu überwiegen scheinen, so gilt es im Einzelfall zu prüfen, ob der Einsatz der clientbasierten Verschlüsselung nötig ist. Häufig kommen in Unternehmen hybride Varianten zum Einsatz. Vor allem Benutzer aus dem HR-Bereich, dem Betriebsrat oder der Geschäftsleitung benötigen eine clientbasierte Verschlüsselungsmöglichkeit, da mit personenbezogenen Daten von Mitarbeitern gearbeitet wird. Dies kann in der Regel parallel zu einem Verschlüsselungs-Gateway implementiert werden.
Viele Grüße Arnd Rößner