Zuwachs an Sicherheit dank De-Mail

ITM: Herr Gettwart, welche konkreten Einsatzszenarien von De-Mail sind in mittelständischen Unternehmen denkbar bzw. lohnen sich für Mittelständler am meisten?

Klaus Gettwart: Einsatzszenarien – und das ist das große Missverständnis der De-Mail – müssen von den Unternehmen selbst identifiziert werden. Nicht das Auto entscheidet über das Fahrziel, sondern der Fahrer. Das Sicherheitsbedürfnis hinsichtlich Vertraulichkeit und Zustellsicherheit ist individuell und kann auch nur individuell beantwortet werden. Leider haben viele Unternehmen darüber noch nicht nachgedacht. Generell kann man sagen, es sind die Dokumente, die besonders vertraulich und zustellsicher ankommen sollen. Dies können Verträge, besondere Vereinbarungen, Übermittlung persönlicher Daten oder die Kommunikation mit Behörden sein. 

ITM: Inwiefern können bereits vorhandene Systeme an De-Mail angebunden bzw. integriert werden – zum Beispiel E-Mail-Programme (z.B. Exchange, Lotus Notes), ERP-Systeme, Archiv- oder Dokumenten-Management-Lösungen?

Gettwart: Alle diese Systeme sind an De-Mail problemlos anbindbar. Die Komplexität steigt eben um ein weiteres Medium und um weitere Adressen im Sinne von De-Mail-Adressen. 

ITM: Wie viele mittelständische Unternehmen nutzen Ihrer Schätzung nach heute bereits De-Mail-Services bzw. den E-Postbrief der Deutschen Post?

Gettwart: Da sich die großen Anbieter konsequent über Nutzungsverhalten ausschweigen, ist zu vermuten, dass insbesondere im Mittelstand die Nutzungszahlen noch gering sind. Das Erreichen der Promillegrenze wäre schon viel.

ITM: Stichwort Sicherheit: Die Nationale Initiative für Informations- und Internet-Sicherheit e.V. bezeichnet die De-Mail beispielsweise als „offenes Scheunentor“ für Geheimdienste. Grund dafür sei das „fundamental unsichere Verschlüsselungskonzept“. Wie schätzen Sie eine solche Kritik ein?

Gettwart: Man kann das Kind auch mit dem Bade auskippen. Wenn heute weit über 99 Prozent aller E-Mails, die zum Teil hochvertrauliche Informationen enthalten, unverschlüsselt übertragen werden, dann ist der Zuwachs an Sicherheit bei De-Mail völlig ausreichend. Einen wesentlich höheren Sicherheitsstandard hat die qualifizierte Signatur, die aber wegen ihrer Kompliziertheit in der Anwendung gescheitert ist. Oder bezahlen Sie deshalb nicht mehr mit der Kreditkarte, weil auch sie Sicherheitslücken hat? Kein System ist sicher.

ITM: Fakt ist, dass die De-Mail nicht über eine Ende-zu-Ende-Verschlüsselung verfügt. Inwieweit könnte hier in Zukunft seitens des Gesetzgebers bzw. der De-Mail-Provider nachgebessert werden?

Gettwart: Im Gesetz ist bereits verankert, dass eine End-to-End-Verschlüsselung angeboten werden kann. Wer das möchte, kann eine solche Verschlüsselung schon heute nutzen. Der Markt wird das bei entsprechender Nachfrage anbieten. Das Handling wird dadurch deutlich komplexer und deshalb sollte es lediglich als Option bestehen bleiben.

ITM: Stichwort Internationalität: Inwieweit kann De-Mail für den internationalen Dokumentenaustausch mit Kunden oder Lieferanten genutzt werden? Inwieweit ist künftig geplant, De-Mail-Services auch international anzubieten?

Gettwart: Über Webzugänge ist das innerhalb des De-Mail-Netzes schon heute möglich. Nur gibt es vergleichbare Empfänger in anderen Ländern beispielsweise in USA nicht. Innerhalb der EU gibt es Vorgaben, dass jedes Land „sichere Kommunikation“ einführen muss und die Normierungsaktivitäten laufen bereits. Das wird aber noch einige Jahre dauern. 

ITM: Was würden Sie Mittelständlern raten, die sichere E-Mail-Services etablieren wollen: die Verwendung von qualifizierter digitaler Signatur, PGP-Verschlüsselung, De-Mail oder anderer E-Mail-Services wie z.B. Regify?

Gettwart: Ich würde Unternehmen – und somit auch Mittelständlern – raten, sich generell mit sicherer Kommunikation über das Internet auseinanderzusetzen. Das kann auch ein Portal sein, über das Daten abgerufen werden. Das gewählte Sicherheitsniveau ist aber in Abwägung von Aufwand, Nutzen und möglichen Risiken individuell zu entscheiden. Ich finde die gesamte Sicherheitsfrage ist deutschtypisch überzogen.