Der Verschlüsselungstrend hält an – kein Wunder, im Hinblick auf die alltäglich gewordenen Cyberangriffe. Abgesehen davon reagieren auch die Gesetzgeber und setzen inzwischen die Verschlüsselung wichtiger Daten in immer mehr Vorschriften voraus. Auf EU-Ebene gilt beispielsweise die DSGVO, auf Landesebene wirken zusätzliche Gesetze sowie Empfehlungen der lokalen Sicherheitsbehörden.
Insbesondere unverschlüsselte E-Mails bieten viel Angriffsfläche, da sie meist über zahlreiche Server durch unterschiedliche Länder geleitet werden. Auf diesem Weg kann ein Angreifer sitzen und die unverschlüsselten Mails abfangen oder mitlesen.
Daher wird im Austausch mit externen Partnern eine verschlüsselte Datenübertragung gewählt, wenn es sich um vertrauliche Informationen handelt. Unterschiedliche technische Verfahren bieten sich an, darunter die klassische E-Mail-Verschlüsselung. Sie bringt allerdings einige Nachteile bei der Zusammenarbeit mit:
Komplizierter Schlüsselaustausch
Der Schlüsselaustausch ist kompliziert und kostet Zeit. Die gängigsten Verfahren waren bislang OpenPGP und s/MIME. Hierbei werden zunächst Schlüsselpaare samt Passwort für das verwendete Mail-Konto erstellt. Neben dem privaten gibt es auch einen öffentlichen Schlüssel, der auf einem Server liegt. Diese Methode basiert auf einem asymmetrischen Verschlüsselungsverfahren. Der Empfänger muss demnach ebenfalls ein Schlüsselpaar erstellt sowie einen öffentlichen Key hochgeladen haben.
Auf die Art und Weise werden mit jedem externen Kommunikationspartner separate Schlüssel getauscht. Dabei wird ein Grundverständnis beim Mitarbeiter vorausgesetzt, womit sich nichttechnische Anwender mit wenig Routine schwertun. Auch ist das Verfahren wegen des Aufwands nicht für den Austausch einiger weniger E-Mails geeignet.
E-Mails nicht revisionssicher
Weiterer Schwachpunkt ist, dass die beiden Verfahren OpenPGP und s/MIME zwar den Transport und E-Mail-Anhänge verschlüsseln. Was in der Folge mit den Dokumenten passiert ist jedoch nicht nachvollziehbar. Die Verfahren bieten keine Abstufung der Sicherheit: Wer auf der Empfängerliste ist, hat das Dokument im Original und für immer. Die Empfänger können die Datei unverschlüsselt an Dritte weitergeben oder auf unsicheren Datenträgern speichern. Auch die E-Mail-Nachricht selbst ist auf den jeweiligen Servern im Klartext vorzufinden. Insofern entsprechen die Verfahren also nicht den üblichen Compliance-Anforderungen zum Schutz vertraulicher Informationen, die von einer vollen Kontrolle und einer revisionssicheren Protokollierung des Zugriffs ausgehen.
Unsicher: EFAIL nutzt Lücke in verwundbaren E-Mail-Clients
Ein schockierendes Ergebnis zieht sich neuerdings durch die Schlagzeilen: Weder s/MIME noch OpenPGP können die Sicherheit von verschlüsselt versendeten Nachrichten ausreichend gewährleisten. Die neue Sicherheitslücke („EFAIL“) ermöglicht es Angreifern, eine E-Mail auf dem Versandweg abzufangen und zu manipulieren. Dies erfolgt durch einen sogenannten „man in the middle“. Der Hacker weist die E-Mail-Programme des Empfängers dazu auf, den Klartext der Nachricht an ihn zu schicken. Hierbei ist allerdings nicht die Verschlüsselung an sich unsicher, vielmehr wird ein unverschlüsselter, beziehungsweise ein dem Angreifer bekannter verschlüsselter Teil der E-Mail genutzt, um dem Browser diesen Befehl zu erteilen.
Laut Ars Technica sind die entsprechenden Plugins in den meisten gängigen Mailprogrammen wie Thunderbird, Mail (macOS) und Outlook von der Sicherheitslücke betroffen. Diese verschlüsseln E-Mails zwar automatisch, aber nicht über den gesamten Weg. Dieser Vorfall zeigt, dass die sichere Verschlüsselung allein, ein Gesamtsystem noch nicht sicher macht. Systeme sind immer nur so stark, wie das schwächste Glied – in diesem Fall die Mailprogramme.
Alternativen zur E-Mail-Verschlüsselung bieten umfassenderen Schutz
Aus den genannten Gründen versenden Unternehmen, denen Vertraulichkeit wichtig ist, sensible Dokumente nicht per E-Mail. Vielmehr werden sie auf einer Plattform zum sicheren Informationsaustausch gespeichert – ähnlich einem Tresor. Dazu kommen umfassende Schutzmaßnahmen für vertrauliche Dokumente wie Wasserzeichen und Information-Rights-Management-Technologien, welche die Integrität der Dateien gewährleisten. So wird die Zusammenarbeit ermöglicht – bei gleichzeitiger Kontrolle über die Datei. Zudem werden alle Zugriffe revisionssicher dokumentiert.
Dieser „all Security inclusive“-Ansatz ermöglicht den unbedenklichen Informationsaustausch, der sich mit den jeweiligen Anforderungen und dem aktuell geltenden Stand der Technik weiterentwickelt – wie die Brainloop Services.
Credit Suisse setzt auf Brainloop
Kürzlich hat sich die Credit Suisse genau aus diesem Grund gegen die E-Mail-Verschlüsselung und für Brainloop entschieden. Wollen Sie mehr zu unseren Lösungen erfahren? Dann probieren Sie es doch direkt selbst einmal aus!
Geschrieben von Nadine Stimmer
Collaboration, Informationssicherheit
This could also be of interest:
Unter Verschluss: Sichere Prozesskommunikation in Anwaltskanzleien
Kryptische Botschaften: Das 1×1 der Verschlüsselung
7 Tipps: Worauf Sie vor der Verschlüsselung von Daten achten sollten
