Teil 3 Inside De-Mail – Scharfe Kritik des Datenschutzbeauftragten an De-Mail technisch falsch

Wichtiges Update am Ende des Artikels!

Forderung nach serverseitiger Ende-zu-Ende Verschlüsselung technisch nicht umsetzbar.

Eine telefonische Nachfrage beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit ergab ein paar Interessante Details zum Zitat des Datenschutzbeauftragten Peter Schaar an der angeblich fehlende Ende-zu-Ende Verschlüsslung bei De-Mail. Die oft zitierte und bei Twitter unzählige Mal wiederholte Forderung des Datenschutzbeauftragen nach einer „echten“ Ende-zu-Ende Verschlüsselung betrifft nach Auskunft der Rechtsabteilung leider nicht eine nutzergesteuerte PGP oder S/Mime Verschlüsselung. Auf gezielte Nachfrage mussten die Stellen im zuständigen Büro leider zugeben, dass die Forderung nach einer einfach zu handhabenden Ende-zu-Ende Verschlüsselung nur eine politische Forderung darstellt, die sich aber technisch nicht umsetzen lässt. Wie bereits im Artikel „Teil 2 Inside De-Mail – Alte Kritikpunkte neu aufgewärmt“ erwähnt, soll De-Mail eine S/Mime Verschlüsselung und die damit verbunden Zertifikate unterstützt. Dies benötigt jedoch, wie bei jeder asymmetrischen Verschlüsslung, eine aktive Eigenarbeit des End-Nutzers durch Verwendung und Installation der nötigen Software. Jeder Nutzer muss sich in Eigenregie in das Thema einarbeiten und sich die notwendigen Zertifikate und die notwendige Software selbst beschaffen. Dies benötigt neben Arbeit, Zeit und Wissen auch die Sensibilität für das Thema Sicherheit. Eine anbietergestützte Ende-zu-Ende Verschlüsselung ist weder sicher noch empfehlenswert, da hier Inhalt und Schlüsselverwaltung in den gleichen Händen liegen.

Somit sind sich die Stellen beim Bundesbeauftragten für Datenschutz und die Informationsfreiheit darüber bewusst, dass die Aussage von Peter Schaar zum Thema der fehlende Ende-zu-Ende Verschlüsselung bei De-Mail eine Aussage ist, welche zwar datenschutzrechtlich Sinn macht, technisch aber nicht haltbar ist. Eine saubere asymmetrischen Verschlüsslung bringt immer zusätzliche Arbeit für den End-Nutzer. Dies sollte allen Interessenten bewusst sein. Somit können die De-Mail Anbieter keine echte Ende-zu-Ende Verschlüsselung ihrerseits anbieten. Eine Forderung in diese Richtung hört sich gerade für Kritiker des neuen System gut an lässt sich aber in Realität nicht umsetzen.

Nutzer, welche ihre De-Mails per S/Mime verschlüsseln wollen, sollten darum noch einige Zeit warten. Nach Auskunft der Telekom und United Internet (GMX und Web.de) sind bereits Plugins für Outlook, Thunderbird und Lotus Notes in Planung mit denen dann eine Einbindung von De-Mail in die Mail-Clients ermöglicht werden soll. Somit können dann auch S/Mime Verschlüsselungen sicher auf dem heimischen Rechner durchgeführt werden.
Wie aus dem Hause des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit weiter betonte wird, ist es wichtig die Nutzer darauf aufmerksam zu machen, dass trotz verschlüsselter Übertragungskanäle die De-Mails weiterhin auf dem Server kurz entschlüsselt werden und somit auch weiterhin eine Angriffsfläche für Hacker bieten. Sollte also eine Firma oder eine Versicherung sensible Daten über De-Mail verschicken, wird immer zu einer zusätzlichen individuellen Verschlüsselung geraten.

Bitte zu diesem Artikel auch unbedingt folgende Artikel lesen, da sonst Information unklar erscheinen könnten:
INSIDE De-Mail – Ein Blick hinter die Kulissen
Teil 2 Inside De-Mail – Alte Kritikpunkte neu aufgewärmt

Update 20. Oktober 2010:
Die Pressestelle des Bundesbeauftragen für den Datenschutz und die Informationsfreiheit hat in einem persönlichen E-Mail umfassend zur Thematik der Ende-zu-Ende Verschlüsslung Stellung genommen. Wie zu erwarten war, liegt das Management einer sicheren Verschlüsslung mit S/MIME Zertifikaten auch beim De-Mail System in den Händen des Nutzers. Dieser kann und muss selbst per Browser-Plugin oder E-Mail-Client-Plugin für eine sichere Ende-zu-Ende Verschlüsslung seiner Korrespondenz sorgen. Zitat:

Alle Lösungen sind allerdings abhängig von der Software-Konfiguration des jeweiligen Anwenders (z.B. dem Browser oder dem E-Mail Client).

Schwierigkeiten im Bereich der Ende-zu-Ende-Verschlüsselung – sowohl bei einer Lösung mittels Browser Plug-Ins als auch bei E-Mail-Clients – bereitet jedoch das Schlüsselmanagement. In diesen Bereich fällt insbesondere die Verteilung der öffentlichen Schlüssel als auch die Verwaltung bei den Nutzern. Die Verteilung der Schlüssel wird bei De-Mail durch den öffentlichen Verzeichnisdienst, in dem die Nutzer ihre Verschlüsselungszertifikate einstellen können erleichtert und unterstützt. Die Verwaltung der Schlüssel bleibt hingegen den Nutzern überlassen. Dabei hat der Nutzer die Aufgabe dafür Sorge zu tragen, dass der Schlüssel zur Entschlüsselung der Nachrichten nicht verloren geht. Vor diesem Hintergrund wurde auf eine verpflichtende Ende-zu-Ende-Verschlüsselung bei De-Mail verzichtet. Eine Verpflichtung der Nutzer, mit (software-) technischen Problemen (z.B. Löschung des Schlüssels, fehlerhafte Verschlüsselung, usw.) und dem Schlüsselmanagement umgehen zu müssen, ist aus Sicht der Nutzerakzeptanz nicht sinnvoll. Eine optionale Nutzung für schützenswerte Daten ist vorgesehen, die Verschlüsselung wird – soweit es von zentraler Stelle aus möglich ist (z.B. durch einen Verzeichnisdienst) – unterstützt und gefördert.

Rein technisch gesehen, ist im Hinblick auf asymmetrische Verschlüsselung das De-Mail Systeme somit identisch zum herkömmlichen E-Mails System. Die Verteilung der Schlüssel wird jedoch durch einen Verzeichnisdienst erleichtert. Eine „Anfrage“ beim Kommunikationspartner zur Schlüsselübergaben entfällt damit. Es stellt sich natürlich die Frage in wie weit dieses Verzeichnis dafür genutzt werden kann, die Thematik der sicheren Verschlüsselung noch breiter in die Öffentlichkeit zu tragen? Wird mit dem Einzug der De-Mail in die rechtsverbindliche digitale Kommunikation auch ein Einzug der individuellen Entschlüsselung einhergehen, oder wird die „Generation Facebook“ weiterhin ihre sensiblen Daten per Postkarten durchs Internet versenden.

Wichtig ist an dieser Stelle zu erwähnen, dass die in der E-Mail enthaltene Aussage NICHT von Peter Schaar persönlich stammt, sondern ein offizielles Statement der Pressestelle darstellt.

Bätschman

Zweiter Account von Ralf Bachmann

–> Details: https://www.ralfbachmann.de/author/ralfbachmann/