Beiträge

Verschlüsselte E-Mail Kommunikation dank StartTLS

Sichere Verschlüsselung dank StartTLS

Der Wunsch nach einem verschlüsselten E-Mail Austausch ist nicht neu und erhält auf Grund der zurückliegenden Enthüllungen geheimdienstlicher Aktivitäten im IT-Bereich zusätzliche Dynamik.

Gleichzeitig verlangen Anwender und Unternehmen nach Lösungen, die keinen zusätzlichen Verwaltungsaufwand mit sich bringen und die Funktionalität der E-Mail Kommunikation in keiner Weise einschränken.

Hier bietet das StartTLS Verfahren einen sicheren und zugleich praxistauglichen Ansatz.

Im Gegensatz zu einer End-zu-End Verschlüsselung, wie sie das PGP-Verfahren oder S/MIME bieten, wird beim Start-TLS Verfahren nur die Server-zu-Server Kommunikation verschlüsselt. Daher sind an den E-Mail bzw. Groupware-Clients keine Konfigurationsänderungen oder Software-Installationen erforderlich.

Wie funktioniert StartTLS?

StartTLS wird von den meisten E-Mail Servern unterstützt und muss lediglich aktiviert werden. Weiterhin ist ein Verschlüsselungs-Zertifikat erforderlich, wie es auch für den verschlüsselten Zugriff auf Webseiten (https://) genutzt wird. Das Zertifikat sollte von einer vertrauenswürdigen und verbreiteten Certification Authority (CA) stammen, damit es von allen Gegenstellen akzeptiert wird. Umgekehrt sollte der SMTP-Server auch nur Verbindungen mit Zertifikaten von vertrauenswürdigen öffentlichen CAs akzeptieren.

Bei einem selbst signierten Zertifikat besteht grundsätzlich das Risiko eines Man-in-the-Middle Angriffs. Mit einem gewissen technischen Aufwand könnte eine Instanz im Netz eines der beteiligten Internet-Provider vortäuschen, der Server des Nachrichtenempfängers zu sein und die Kommunikation entschlüsseln. Diese Gefahr ist bei einer vertrauenswürdigen CA – also einem gekauften Zertifikat – äußerst gering.

Damit die Nachrichtenübertragung auch tatsächlich verschlüsselt erfolgt, müssen die Mailserver des Senders und des Empfängers StartTLS unterstützen. Tut einer dies nicht oder gelingt der Aufbau einer sicheren Verbindung aus einem anderen Grund nicht, werden die Nachrichten über eine unverschlüsselte SMTP-Verbindung übertragen.

Für den Benutzer ist im Vorfeld nicht erkennbar, ob der Versand verschlüsselt erfolgt. Dies kann erst in der empfangenen Nachricht anhand des Mail-Headers festgestellt werden.

Mandatory TLS

Da die Verschlüsselung über StartTLS nur funktioniert, wenn beide Partner mitspielen, gehen größere Organisationen, die Wert auf Datensicherheit legen, mittlerweile dazu über, verschlüsselten E-Mail Verkehr von und zu Ihren Geschäftspartnern zu erzwingen.

Man spricht hier auch vom Mandatory TLS Verfahren. Die SMTP-Gateways des Mailsystems werden so konfiguriert, dass die SMTP-Kommunikation an bestimmte Ziel-Domains ausschließlich TLS-verschlüsselt erfolgt. Gelingt es nicht, einen verschlüsselten Kanal aufzubauen, werden die betreffenden Nachrichten nicht versandt, sondern bleiben für eine gewisse Zeit in der Ausgang-Warteschlange stehen. Die Partnerunternehmen werden meist im Rahmen eines standardisierten Prozesses eingebunden und müssen Ihre Systeme entsprechend konfigurieren.

Hat das Unternehmen einen Serviceprovider mit dem Betrieb des Groupware-Systems beauftragt oder nutzt einen Dienst aus der Cloud, wie z. B. Hosted Exchange, so kümmert sich der Outsourcing Partner um alle notwendigen Schritte.

Das Thema Transport Layer Security (TLS) im Zusammenhang mit der E-Mail Kommunikation wurde in der Vergangenheit von Unternehmen aus dem Automotive-Bereich stark vorangetrieben. Wer als Geschäftspartner die geforderten Standards nicht umsetzen kann, verliert gegenüber großen Auftraggebern schnell an Attraktivität.

Unterschiede zu einer End-zu-End Verschlüsselung

Im Gegensatz zu einer End-zu-End Verschlüsselung bleiben die E-Mail Nachrichten beim TLS-Verfahren unverschlüsselt in den Postfächern der Anwender liegen. Ein Angreifer, der sich Zugang zu den Mailservern verschafft, auf denen die Postfächer untergebracht sind, kann daher alle Inhalte lesen.

Beim PGP oder S/MIME Verfahren können die Nachrichteninhalte nur gelesen werden, wenn die genutzten Clients mit einer entsprechenden Software, bzw. einem persönlichen Zertifikat ausgestattet sind.

Dies ist mit einem hohen Verwaltungsaufwand und Kosten verbunden. Auch nach einem Austausch der Clients müssen die alten Zertifikate (S/MIME) oder Schlüsselpaare (PGP) wieder eingebunden werden, um ältere verschlüsselte Nachrichten lesen zu können.
Da man nicht (mehr) davon ausgehen kann, dass Daten, die über das Internet zwischen zwei Systemen im Inland übertragen werden, nur die Systeme der Netz-Provider durchlaufen und vor unberechtigtem Zugriff geschützt sind, sollten E-Mails mit vertraulichem Inhalt oder personenbezogenen Daten heute nicht mehr unverschlüsselt versandt werden. Das TLS-Verfahren bietet hierfür eine sichere und zuverlässige Basis.

Als Anbieter von Microsoft Exchange aus der Cloud unterstützt cojama seit mehr als sechs Jahren auf seiner Infrastruktur das StartTLS Verfahren.