De-Mail-Nutzer können Ende-zu-Ende verschlüsseln

ITM: Herr Vogler, welche konkreten Einsatzszenarien von De-Mail sind in mittelständischen Unternehmen denkbar bzw. lohnen sich am meisten?

Jürgen Vogler: Für De-Mail eigenen sich alle Szenarien, bei denen es wichtig ist, dass sowohl Empfänger, als auch Absender eindeutig nachweisbar sind. Weiterhin ist De-Mail das Mittel der Wahl, wenn der Nachweis des Versandes oder Eingangs wichtig ist oder wenn von der Versendung eine Frist abhängt. Das reicht von der Gehaltsabrechnung, über Rechnungen und Mahnungen bis hin zur Zusammenarbeit mit zum Beispiel Zulieferbetrieben.

ITM: Wie viele mittelständische Unternehmen nutzen Ihrer Schätzung nach heute bereits De-Mail-Services bzw. den E-Postbrief der Deutschen Post?

Vogler: Die Zahl der Unternehmen, die diese Dienste bereits nutzen liegt im höheren fünfstelligen Bereich.

ITM: Stichwort Sicherheit: Die Nationale Initiative für Informations- und Internet-Sicherheit e.V. bezeichnet die De-Mail beispielsweise als „offenes Scheunentor“ für Geheimdienste. Grund dafür sei das „fundamental unsichere Verschlüsselungskonzept“. Wie schätzen Sie eine solche Kritik ein?

Vogler: Die Kritik ist unberechtigt, denn es steht jedem Nutzer von De-Mail frei, seine Mails Ende-zu-Ende zu verschlüsseln. Allerdings kann dies nicht das System übernehmen, sondern der Nutzer muss eine zusätzliche Software installieren und auch sicherstellen, dass der Empfänger die Mails auch tatsächlich lesen kann, also einen sogenannten privaten Schlüssel zur Entschlüsselung der Nachricht hat. Grundsätzlich dient De-Mail nicht der Verschlüsselung, sondern um Nachweisbarkeit des Versandes und des Empfanges und rechtssichere Klarheit über Sender und Empfänger. Hier sei erwähnt, dass dies häufig in der Berichterstattung verwechselt wird.

De-Mail ermöglicht eine rechtssichere Kommunikation, ist jedoch kein Verschlüsselungstool. Im Umkehrschluss sind alle bekannten Verschlüsselungsverfahren (z.B. PGP) zwar dazu geeignet, Inhalte zu verschlüsseln – ein rechtsgültiger Nachweis über eine Kommunikation ist damit jedoch nicht möglich. Eine Ende-zu-Ende Verschlüsselung ist bei De-Mail nicht vorgeschrieben und somit ist ein theoretisches „Mitlesen“ möglich. Wie bei allen anderen Verfahren besteht für Ermittlungsbehörden die Möglichkeit, bei richterlichem Beschluss, Einsicht in die Kommunikation zu beantragen, um Gefahrenabwehr zu betreiben.

Der Gesetzgeber hat sich bewusst dafür entschieden die Ende-zu-Ende-Verschlüsselung nicht vorzuschreiben, da durch die Provider ein Malware-Check durchgeführt werden soll, damit sichergestellt werden kann, dass durch De-Mails keine Viren, Trojaner, etc. verteilt werden. Würde eine Ende-zu-Ende-Verschlüsselung zwingend vorgeschrieben werden, so würde auch der potentielle Trojaner verschlüsselt werden … Sie würden durch jede Firewall kommen und den Zielrechner auf jeden Fall erreichen. Sie sehen, dass jede Medaille zwei Seiten hat.

Soweit die Theorie, denn selbstverständlich kann jeder selbst entscheiden, ob die Daten, die via De-Mail versendet werden sollen, zusätzlich Ende-zu-Ende verschlüsselt werden sollen. Das steht in keinem Widerspruch zum De-Mail-Verfahren.

ITM: Fakt ist, dass die De-Mail nicht über eine Ende-zu-Ende-Verschlüsselung verfügt. Inwieweit könnte hier in Zukunft seitens des Gesetzgebers bzw. der De-Mail-Provider nachgebessert werden?

Vogler: Der Gesetzgeber könnte die Ende-zu-Ende-Verschlüsselung vorschreiben. Dann wäre es nicht mehr dem Nutzer überlassen, selbst zu entscheiden und der Malware-Check wäre nicht mehr möglich. Außerdem würde die Komplexität für den „normalen“ Enduser erhöht, so dass eine geringere Akzeptanz die Folge wäre. Auch heute schon kann jeder seine Nachrichten Ende-zu-Ende verschlüsseln. Es machen aber nur sehr wenige. Es gibt sicherlich Gründe, wieso sich Verfahren, wie PGP nur in wenigen Fällen genutzt werden. Die Provider bieten teilweise für Firmen schon eine Gateway-zu-Gateway-Verschlüsselung an und für Privatpersonen, die Ende-zu-Ende verschlüsseln wollen, gibt es die Möglichkeit, freie Verschlüsselungsprogramme zusätzlich zu nutzen.

ITM: Stichwort Internationalität: Inwieweit kann De-Mail für den internationalen Dokumentenaustausch mit Kunden oder Lieferanten genutzt werden? Inwieweit ist künftig geplant, De-Mail-Services auch international anzubieten?

Vogler: Das ist schwer zu beantworten. Schon heute kann jeder auch international De-Mail nutzen, der sich gemäß der Identifizierungsvorschrift identifizieren lässt. Darüber hinaus hat Mentana Claimsoft im Spocs-Projekt bewiesen, dass De-Mail auch international kompatibel ist. Hier müsste nur noch die „juristische Kompatibilität“ hergestellt werden, da De-Mail in Deutschland auf dem De-Mail-Gesetz basiert und in anderen Ländern auf anderen Gesetzen ähnliche Systeme existieren. Hier müssen auf europäischer Ebene noch die Kompatibilitäten hergestellt werden.

ITM: Was würden Sie Mittelständlern raten, die sichere E-Mail-Services etablieren wollen: die Verwendung von qualifizierter digitaler Signatur, PGP-Verschlüsselung, De-Mail oder anderer E-Mail-Services wie z.B. Regify?

Vogler: Wenn schon die digitale Signatur eingesetzt wird, sehe ich aktuell keinen Grund das zu ändern. Wem die Nachweisbarkeit von Versand und Zugang der Nachrichten wichtig ist, kann De-Mail nutzen, aber auch andere Lösungen können dies sicherstellen. Darüber hinaus muss der Mittelständler prüfen oder gemeinsam mit einem Anbieter prüfen lassen, ob die Art der Kommunikation zusätzlich zu verschlüsseln ist (z.B. Gesundheitsdaten, Patientendaten etc.). Wenn dies erforderlich ist, dann sollte zusätzlich zur De-Mail die De-Mail-Gateway-zu-Gateway-Verschlüsselung genutzt werden oder eine vollständige Ende-zu-Ende-Verschlüsselung.